← España

PS-00611-2021

1/20  Expediente Nº: PS/00611/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 1 de abril de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente nº: PS/00611/2021 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 14/11/2020 tiene entrada en la Agencia Española de Protección de Datos un escrito del reclamante en el que expone que: “Una persona llamó el día 27/10/2020 telefónicamente a Vodafone y haciéndose pasar por él, compró un Iphone 12 y cambió las tarifas que él tenía contratadas. Firmó un contrato a su nombre cambiando su teléfono (***TELÉFONO.1), su correo electrónico (***EMAIL.1) y su fecha de nacimiento (***FECHA.1). El contrato por la compra del terminal incluía un pago inicial de 49 euros, 24 mensualidades de 38,01 euros y un pago final de 96 euros, todo domiciliado a mi cuenta corriente. Recibió un sms de Vodafone con un enlace al nuevo contrato que no leyó hasta el día 29/10/2020 Acudió a las dependencias de la Guardia Civil en ***LOCALIDAD.1 (Valladolid) para interponer la pertinente denuncia. Llamó a Vodafone y quedaron en enviarle en unas horas las grabaciones de las llamadas y la firma del contrato hecha de forma telefónica. Pero no lo hicieron. Volvió a llamar y le dijeron que se las enviarían en unos días. Tampoco lo hicieron. Volvió a llamar y le dijeron que no había grabaciones, que se hizo con firma electrónica y que le llamarían de fraude. Pero tampoco le llamaron. Llamó nuevamente y le contestaron que no había fraude y que habían revertido algunos cambios pero el contrato sigue ahí, la deuda y la permanencia”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 Anexa a su reclamación, entre otros, los documentos siguientes: - Copia de contrato entre VODAFONE y el reclamante fechado a 27 de octubre de 2020 donde consta su dirección de contacto, nombre, apellidos y DNI y como teléfono de contacto el número ***TELÉFONO.1 y en el campo de email consta ***EMAIL.1 y donde consta asimismo en el apartado de “Datos de dispositivos” un Iphone 12 con número de línea móvil ***TELÉFONO.2. - Copia de denuncia interpuesta ante la Guardia Civil. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados con ella, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos, de conformidad con lo establecido en el Titulo VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales (en lo sucesivo LOPDGDD). La Inspección de Datos de la AEPD dirigió a la denunciada un requerimiento informativo, solicitando que: En el plazo máximo de un mes, desde la recepción de este escrito, deberá analizar la reclamación y remitir a esta Agencia la siguiente información: 1. La decisión adoptada a propósito de esta reclamación. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5. Cualquier otra que considere relevante. La notificación del citado requerimiento, según documentación que obra en el expediente fue aceptada en fecha 16/12/2020. La reclamada no contestó en el plazo concedido al efecto. TERCERO: Con fecha 29/03/2021 VODAFONE ESPAÑA, S.A. remite a esta Agencia la siguiente información y manifestaciones: 1. Que la contratación fue catalogada de fraudulenta con fecha 05/11/2020, habiéndose emitido los abonos correspondientes. 2. Que en la actualidad el reclamante consta de baja como cliente en sus sistemas. 3. Que con fecha 27/10/2020 registraron la aceptación de una oferta a través del canal de Televenta mediante la cual se adquirió un móvil y se modificaron algunos de los datos personales asociados a la cuenta del reclamante, en concreto, fecha de nacimiento, dirección de correo electrónico y teléfono de contacto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 4. Que la adquisición fraudulenta de terminal móvil se efectuó aportando los datos personales del reclamante, actuando de conformidad con la Política de Seguridad para contratación por parte de clientes particulares. Esto es, que requirieron al contratante nombre y apellidos así como el DNI. 5. Que a partir de una llamada de la mujer del reclamante con fecha 29/10/2020 es cuando tuvieron conocimiento de lo sucedido. 6. Que de ninguna manera pudieron conocer en el momento de la contratación que el que realizó la llamada telefónica en la que se realizó el pedido fraudulento, no era el reclamante, pues aportó todos sus datos de forma correcta: nombre, apellidos y DNI. 7. Que el reclamante era cliente de VODAFONE. Aporta copia de carta enviada al reclamante fechada a 23/03/2021. Aporta captura de pantalla de sus sistemas donde consta una llamada desde la línea ***TELÉFONO.1 aceptando la oferta asociada al reclamante. Aporta capturas de pantalla de sus sistemas donde consta una llamada del reclamante solicitando la grabación del día 27/10/2020 y donde el campo “histórico” se visualiza parcialmente, manifestando VODAFONE que al final de dicho campo consta “Comprobamos que no existe grabación de la fecha indicada 27/10/20” Aporta captura de pantalla de sus sistemas donde consta como “llamante” el reclamante, “fecha de creación” consta “03/11/2020” y en “código apertura” consta “Suplantación Datos”. Aporta captura de pantalla de sus sistemas asociado al reclamante donde consta en el campo “Información de Servicio” y dentro de éste, en el campo “Paquete contratado” consta “No existe paquete. SIN MOVIL ACTIVO”. CUARTO: Con fecha 31/03/2021 el reclamante remite a esta Agencia la siguiente información y manifestaciones: 1. Que necesita acceder a la grabación. 2. Que la contratación se realizó desde otro número de teléfono del que no era titular. Aporta factura VODAFONE con periodo de facturación desde 22/01/2021 al 21/02/2021 donde consta cuotas de pagos relativos a un terminal móvil asociado a la línea ***TELÉFONO.2. QUINTO: Con fecha 12/08/2021 VODAFONE ESPAÑA, S.A. remite a esta Agencia la siguiente información y manifestaciones: 1. Aporta capturas de pantalla de sus sistemas ya aportadas con anterioridad y donde ahora se manifiesta en texto añadido “Confirmo que la oferta es aceptada por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 llamada realizada desde la línea ***TELÉFONO.1, que está a nombre de otro cliente A.A.A. ***NIF.1” 2. Aporta captura de pantalla de la Política de Seguridad donde consta que se solicitará “TITULAR: Clave de acceso de atención al cliente o DNI. NO TITULAR: Clave de acceso de atención al cliente”. 3. Que no se encuentra disponible la grabación. 4. Aporta copia de contrato sin firma por parte del reclamante. El reclamado manifiesta que “[…]copia del contrato que se genera automáticamente por el sistema una vez se realiza la grabación al interesado para la contratación de los servicios de Vodafone. En relación con esta última, […], no se encuentra disponible en los sistemas de Vodafone, por lo que no puede ser aportada en este procedimiento.” SEXTO: Con fecha 3 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO Notificado el citado acuerdo de inicio el 07/02/2022, la parte reclamada presentó en fecha 21/02/2022 escrito de alegaciones en el que tras remitirse en su integridad a lo que denomina las “alegaciones presentadas” en fechas 23 de marzo de 2021 (en adelante, el “Escrito de Alegaciones de 23 de marzo”) y 12 de agosto de 2021 (en adelante, el "Escrito de Alegaciones de 12 de agosto"), en síntesis, manifestaba que: 1) Actuó de conformidad con la Política de Seguridad para contratación por parte de clientes particulares. A esta cuestión se dedica la Alegación Primera. 2) Subsidiariamente, para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en la infracción imputada a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. A esta cuestión se dedica la Alegación Segunda. 3) Subsidiariamente a los puntos 1) y 2) anteriores, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las circunstancias atenuantes identificadas en la Alegación Tercera. En base a las alegaciones expuestas solicita que teniendo por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito. OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 14/11/2020 tiene entrada en la Agencia Española de Protección de Datos un escrito de la parte reclamante en el que expone que: “Una persona llamó el día 27/10/2020 telefónicamente a Vodafone y haciéndose pasar por él, compró un Iphone 12 y cambió las tarifas que él tenía contratadas. Firmó un contrato a su nombre cambiando su teléfono (***TELÉFONO.1), su correo electrónico (***EMAIL.1) y su fecha de nacimiento (***FECHA.1). El contrato por la compra del terminal incluía un pago inicial de 49 euros, 24 mensualidades de 38,01 euros y un pago final de 96 euros, todo domiciliado a mi cuenta corriente. Recibió un sms de Vodafone con un enlace al nuevo contrato que no leyó hasta el día 29/10/2020 Acudió a las dependencias de la Guardia Civil en ***LOCALIDAD.1 (Valladolid) para interponer la pertinente denuncia. Llamó a Vodafone y quedaron en enviarle en unas horas las grabaciones de las llamadas y la firma del contrato hecha de forma telefónica. Pero no lo hicieron. Volvió a llamar y le dijeron que se las enviarían en unos días. Tampoco lo hicieron. Volvió a llamar y le dijeron que no había grabaciones, que se hizo con firma electrónica y que le llamarían de fraude. Pero tampoco le llamaron. Llamó nuevamente y le contestaron que no había fraude y que habían revertido algunos cambios pero el contrato sigue ahí, la deuda y la permanencia”. Anexa a su reclamación, entre otros, los documentos siguientes: - Copia de contrato entre VODAFONE y el reclamante fechado a 27 de octubre de 2020 donde consta su dirección de contacto, nombre, apellidos y DNI y como teléfono de contacto el número ***TELÉFONO.1 y en el campo de email consta ***EMAIL.1 y donde consta asimismo en el apartado de “Datos de dispositivos” un Iphone 12 con número de línea móvil ***TELÉFONO.2. - Copia de denuncia interpuesta ante la Guardia Civil. SEGUNDO: VDF reconoce en su escrito de 29/03/2021: 1. Que la contratación fue catalogada de fraudulenta con fecha 05/11/2020, habiéndose emitido los abonos correspondientes. 2. Que en la actualidad el reclamante consta de baja como cliente en sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 3. Que con fecha 27/10/2020 registraron la aceptación de una oferta a través del canal de Televenta mediante la cual se adquirió un móvil y se modificaron algunos de los datos personales asociados a la cuenta del reclamante, en concreto, fecha de nacimiento, dirección de correo electrónico y teléfono de contacto. 4. Que la adquisición fraudulenta de terminal móvil se efectuó aportando los datos personales del reclamante, actuando de conformidad con la Política de Seguridad para contratación por parte de clientes particulares. Esto es, que requirieron al contratante nombre y apellidos así como el DNI. 5. Que a partir de una llamada de la mujer del reclamante con fecha 29/10/2020 es cuando tuvieron conocimiento de lo sucedido. 6. Que el reclamante era cliente de VODAFONE. 7.Que conforme a una captura de pantalla de sus sistemas consta una llamada desde la línea ***TELÉFONO.1 aceptando la oferta asociada al reclamante. TERCERO: VDF reconoce en su escrito de 12/08/2021: 1. Que consta en sus sistemas de información en relación con la llamada realizada el 27/10/2020 para la contratación de los servicios “que la oferta es aceptada por llamada realizada desde la línea ***TELÉFONO.1, que está a nombre de otro cliente A.A.A.***NIF.1” 2. Que en su Política de Seguridad consta que se solicitará “TITULAR: Clave de acceso de atención al cliente o DNI. NO TITULAR: Clave de acceso de atención al cliente”. 3. Que en sus sistemas de información consta “que la grabación al interesado para la contratación de los servicios de Vodafone no se encuentra disponible en los sistemas de Vodafone, por lo que no puede ser aportada en este procedimiento” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 II En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Antes de entrar a responder el contenido de las alegaciones se hace necesario hacer algunas precisiones en relación con las fechas respecto de lo que en su escrito de alegaciones VDF denomina “La infracción trae causa de los siguientes hechos”: En primer lugar, existe un error en cuanto a las fechas de la llamada del presunto infractor, la contratación de la adquisición de un dispositivo móvil, el cambio de tarifas contratadas y la modificación de datos; así como del envío del SMS al teléfono del reclamante, la interposición de la denuncia de éste ante la Guardia Civil y su comunicación a VDF de la posible actuación fraudulenta del presunto defraudador; y también de la fecha en que se catalogan los hechos como fraude. VDF indica en su escrito de alegaciones como año en que tienen lugar los mismos el año 2021 cuando realmente se producen en el año 2020. En segundo lugar, la AEPD pone a disposición de VDF la notificación electrónica del traslado de la reclamación de la parte reclamante el 15/12/2020, no el día 16/12/2020, que es el día en que VDF accede a la notificación electrónica y se le entiende notificado a efectos administrativos., conforme a lo establecido en el artículo 43 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPAC), que prevé que: “1. Las notificaciones por medios electrónicos se practicarán mediante comparecencia en la sede electrónica de la Administración u Organismo actuante, a través de la dirección electrónica habilitada única o mediante ambos sistemas, según disponga cada Administración u Organismo. A los efectos previstos en este artículo, se entiende por comparecencia en la sede electrónica, el acceso por el interesado o su representante debidamente identificado al contenido de la notificación. 2. Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido. Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido. 3. Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única. 4. Los interesados podrán acceder a las notificaciones desde el Punto de Acceso General electrónico de la Administración, que funcionará como un portal de acceso”. En tercer lugar, aunque el escrito de contestación de VDF al traslado del expediente figura firmado en fecha 23/03/2021 la contestación no es entiende realizada hasta que el escrito se presenta en registro, esto es, el 29/03/2021. Si bien, aunque tanto en una fecha como otra la contestación se produce fuera del plazo establecido al efecto para realizarla, se tuvieron en cuenta las manifestaciones de VDF contenidas en dicho escrito a la hora de dictar el acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 En cuarto lugar, la AEPD pone a disposición de VDF la notificación electrónica del requerimiento de información el 28/07/2021, no el día 02/08/2021, que es el día en que VDF accede a la notificación electrónica y se le entiende notificado a efectos administrativos, conforme al artículo 43 de la LPAC. Entrando a analizar el contenido de su escrito de alegaciones, como ya se indicó en el antecedente sétimo de esta propuesta, tras remitirse en su integridad a lo que denomina las “alegaciones presentadas” en fechas 23 de marzo de 2021 (en adelante, el “Escrito de Alegaciones de 23 de marzo”) y 12 de agosto de 2021 (en adelante, el "Escrito de Alegaciones de 12 de agosto"), en relación con los requerimientos de información E/10012/2020 y E/02109/2021; VDF articula su defensa en base a las siguientes alegaciones: 1) Actuó de conformidad con la Política de Seguridad para contratación por parte de clientes particulares. A esta cuestión se dedica la Alegación Primera. 2) Subsidiariamente, para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en la infracción imputada a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. A esta cuestión se dedica la Alegación Segunda. 3) Subsidiariamente a los puntos 1) y 2) anteriores, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las circunstancias atenuantes identificadas en la Alegación Tercera. En base a las alegaciones expuestas solicita que teniendo por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito. Respecto de que VDF “1) Actuó de conformidad con la Política de Seguridad para contratación por parte de clientes particulares. A la que dedica la Alegación Primera en base a los siguientes argumentos: - Que VDF de ninguna manera pudo conocer en el momento de la contratación que se estuviera pudiendo realizar un alta sin el consentimiento del Sr. Fuentes. Esto es así dado que el procedimiento de seguridad de Vodafone para clientes particulares quedó garantizado, pues, al ser el Sr. Fuentes cliente ya existente en la compañía Vodafone, le fueron solicitados al contratante todos los datos personales requeridos para poder realizar la tramitación de la contratación, esto es, nombre, apellidos y DNI. - Que VDF en el momento de la contratación, sí que se disponía de una causa legitimadora para tratar los datos del Reclamante, en concreto, la ejecución de un contrato en el que el interesado era parte (artículo 6.1

  1. b)del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 Hay que señalar que no es cierto como alega VDF que de ninguna manera pudiera entender o llegar a saber que la persona que realizó la llamada telefónica que ha dado lugar a la incoación del presente procedimiento sancionador no se tratara del Sr. Fuentes, toda vez que en la documentación que VDF aporta junto con en su escrito de 12 agosto de 2021 consta que VDF sabía que la línea telefónica desde la que se realizó la llamada no pertenecía al Sr. Fuentes, si no que pertenecía a otro cliente distinto, estando acredita perfectamente la identidad de la persona que realizo dicha llamada, supuesto defraudador, con nombre, apellidos, DNI y línea telefónica desde la que se realizó la llamada. Por lo tanto, VDF pudo conocer desde el principio que la línea desde la que se hizo la llamada no era del Sr. Fuentes, o al menos sospecharlo, de tal manera que no debería haber permitido que una persona distinta desde una línea telefónica diferente a la del legítimo titular, ahora reclamante, contratara a nombre de éste un nuevo terminal móvil, y modificara algunos de sus datos personales; y además, VDF emitió la facturación correspondiente a la adquisición del terminal al ahora reclamante. Y ello a pesar de que VDF contaba con herramientas adecuadas para identificar desde qué línea se estaba realizando la llamada y a quién pertenecía esa línea, y por lo tanto pudo conocer desde el principio que la línea desde la que se hizo la llamada no era del Sr. Fuentes y por lo tanto, que quien prestó el consentimiento no fue el Sr. Fuentes, por lo que VDF, no contaba con el consentimiento ni con ninguna otra base de legitimación para realizar las operaciones de tratamiento de las que se deriva la incoación de este procedimiento sancionador. Conforme a su política de seguridad VDF en ningún caso le podría haber pedido a la persona que realizó la llamada desde una línea telefónica diferente a la del legítimo titular, ahora reclamante, los datos que se exigirían al titular de la línea y que supuestamente serían los que habría facilitado el presunto defraudador. Si no que, conforme a su propia política de seguridad, le debería haber exigido que hubiera suministrado la clave de acceso de atención al cliente del legítimo titular de la línea telefónica respecto de la cual se estaban haciendo las operaciones, de tal manera que si el supuesto defraudador no hubiera facilitado dicha clave de acceso de atención al cliente no se debería haber permitido la contratación del nuevo terminal, ni la modificación de los datos personales de la parte reclamante, ni se habrían enviado las facturas. Esto pone de manifiesto que VDF no habría cumplido su propia política de seguridad, habiéndose producido un fallo en la misma. Por lo motivos expuestos, el contenido de esta alegación no desvirtúa ni los hechos ni lo fundamento de derecho contenidos en el acuerdo de inicio y debe ser desestimada esta primera alegación. Respecto a la petición que realiza VDF relativa a que: “2) Subsidiariamente, para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en la infracción imputada a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. A la que dedica la Alegación Segunda. Indicar que VDF tras señalar que no ha actuado culposamente, por lo que no procedería la imposición de sanción alguna, transcribe el artículo 28.1 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP), que recoge el principio de culpabilidad que rige el procedimiento administrativo sancionador y trae a colación la jurisprudencia del TS en relación la exculpación y una sentencia de la Audiencia Nacional interpretando el artículo 9 de la LOPD de 1999, supuestamente en relación a los casos en los que un tercero ha accedido, mediante actividades delictivas, a datos de los interesados custodiados por un responsable del tratamiento, para tratar de justificar que no concurre en la actuación de VDF culpabilidad alguna, ni a título de dolo ni al título de culpa. Alegando VDF que ha actuado en todo momento cumpliendo con la diligencia debida que le es exigible, no pudiendo imputársele culpabilidad alguna, al haber empleado la diligencia que le era exigible para identificar al solicitante de un producto o servicio en el canal telefónico. Remitiéndose a lo expuesto en su Alegación Primera anterior, para acreditar esa exigencia. Primero, para resultar exculpada conforme exige la jurisprudencia del Tribunal Supremo en relación con la exculpación, que trae a colación VDF en la presente alegación, en virtud de la cual “no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601])”, VDF tendría que haber acreditado que en el presente caso actuó con la diligencia debida, si bien por las razones ya expuestas al responder a la alegación 1, no consta acreditado en el presente procedimiento sancionador que VDF haya empleado la diligencia que le era exigible en relación con la reclamación que ha dado lugar a su incoación. Segundo, debemos discrepar de la interpretación que VDF hace de la doctrina contenida en la Sentencia de la Audiencia Nacional (Sala de lo ContenciosoAdministrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723]: que en relación con los casos en que un tercero ha accedido, mediante actividades delictivas, a datos de los interesados custodiados por un responsable del tratamiento, puesto que no existiría una “identidad sustancial”, “en mérito a hechos, fundamentos y pretensiones sustancialmente iguales”, conforme a la jurisprudencia reiterada del Tribunal Supremo en relación con la “identidad sustancial” (valga por todas STS, Sala Tercera de lo Contencioso-administrativo, Sección 6ª, Sentencia de 16 de enero de 2012, Rec. 4907/2011). En primer lugar, la sentencia citada por VDF difiere en los hechos puesto que en ella se hace referencia a un hacker con elevados conocimientos técnicos que rompiendo los sistemas de seguridad establecidos accede a una base de datos y hace una copia de la misma, sin que se hubiera llevado a cabo ninguna actuación por parte de la entidad que sufre el ataque de seguridad que indique que dicha entidad haya realizado gestiones con el hacker que conlleven prestaciones de servicios o modificación de los datos de la base de datos hackeada y realizadas por la propia entidad que ha sido objeto de la violación de seguridad. Mientras que en la reclamación que ha dado lugar a la tramitación del presente procedimiento sancionador se trataría de un tercero, cliente de VDF, que haciéndose pasar por el reclamante, desde una línea telefónica distinta a la del reclamante, y que VDF conocía que pertenecía a otra persona distinta (la línea telefónica desde la que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 hizo la llamada es distinta de la línea telefónica asociada a la parte reclamante; le consta a VDF que la línea telefónica desde la que se hizo la llamada pertenece a otra persona identificada por su nombre, apellidos y DNI) pero contrata a nombre de la parte reclamante la adquisición de un terminal de telefonía móvil, modifica las tarifas que tenía contratadas la parte reclamante y algunos de sus datos identificativos; hechos todos que VDF reconoce que conocía, y, a pesar de ello, tramita la petición formulada por el tercero sin el consentimiento de la parte reclamante. En segundo lugar, la sentencia citada por VDF difiere en cuanto los fundamentos, puesto que en ésta la infracción que se imputaría a la entidad presuntamente infractora sería una vulneración del actual artículo 32 del RGPD, al entenderse que las medidas de seguridad que tenía implementadas no eran adecuadas. Mientras que a VDF se le imputa una infracción del artículo 6 del RGPD, por haber realizado un tratamiento de los datos (contratación de un terminal de telefonía, emisión de facturas, modificación de las tarifas, y de ciertos datos de carácter personal de la parte reclamante) sin el consentimiento del titular de los mismo, la parte reclamante. En tercer lugar, la sentencia citada por VDF difiere en cuanto a las pretensiones, puesto que lo que se pretende por la parte recurrente en la sentencia es la anulación en base a que no se ha especificado ni concretado en las resoluciones de la Agencia recurridas las condiciones de seguridad que no han funcionado a no ha sido observadas en el caso. Mientras que VDF pretende en sus alegaciones es la improcedencia de la imposición de sanción alguna acordándose el sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas, es decir, por no haberse tratado los datos sin el consentimiento de la parte reclamante, o por estar amparado el tratamiento en alguna otra base de legitimación. En la citada Sentencia de la Audiencia Nacional de 25 de febrero de 2010 recoge que: "Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de la misma. Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad" Por lo motivos expuestos, el contenido de esta alegación no desvirtúa ni los hechos ni lo fundamento de derecho contenidos en el acuerdo de inicio por ello, también, debe desestimarse esta segunda alegación. Respecto a la tercera alegación de VDF “3) Subsidiariamente a los puntos 1) y 2) anteriores, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las circunstancias atenuantes identificadas en la Alegación Tercera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 Por estar referida a los atenuantes y agravantes que resultan de aplicación al presente procedimiento sancionador se considera más adecuado dar respuesta en el fundamento de derecho cuarto de esta propuesta de resolución en que se contienen tales agravantes y atenuantes. III De conformidad con las evidencias de las que se dispone en el presente momento de propuesta de resolución del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos incumplen lo establecido en el artículo 6.1. del RGPD, por lo que podría suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: «Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  2. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; [ ].» A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: «En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  3. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…).» IV A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  4. a)a
  5. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  6. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  7. b)la intencionalidad o negligencia en la infracción;
  8. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  9. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  10. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  11. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  12. g)las categorías de los datos de carácter personal afectados por la infracción;
  13. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  14. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  15. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  16. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  17. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  18. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  19. a)El carácter continuado de la infracción.
  20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20
  21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  23. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  24. f)La afectación a los derechos de los menores.
  25. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  26. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso, sin perjuicio de lo que resulte de la instrucción, se han tenido en cuenta, en especial, los siguientes elementos. - La naturaleza y gravedad de la infracción, teniendo en cuenta el propósito de la operación de tratamiento de que se trate así como el nivel de los daños y perjuicios que hayan sufrido; conforme a lo establecido en el artículo 83.2.
  27. a)del RGPD, toda vez que los datos personales sobre los que se ha perdido la disposición (de forma temporal), afectan a la remisión de un duplicado de factura con los datos personales del legítimo titular de la línea, a la suscripción de un contrato para la adquisición de un terminal de telefonía móvil que contenía los datos bancarios de su legítimo titular. Estos hechos, confirman la naturaleza de la infracción como muy grave puesto que acarrea la pérdida de disposición y control sobre los datos personales. - La intencionalidad o negligencia en la infracción; conforme al artículo 83.2.
  28. b)del RGPD, hay que señalar que el grado de responsabilidad cae dentro del ámbito de actuación de la reclamada y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”, no sirviendo como excusa que el tercero que realiza el fraude ha conseguido superar la política de seguridad de la reclamada. - Negar la concurrencia de una actuación negligente por parte de VDF equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto" - Que se trata de una empresa cuya actividad principal está vincula con el tratamiento de datos personales, conforme a lo establecido en el artículo 76.2.
  29. b)de la LOPDGDD, El desarrollo de la actividad empresarial que desempeña la reclamada requiere un tratamiento continuo y a gran escala de los datos personales de los clientes. Encontrándose posicionada la reclamada como una de las operadoras de telecomunicaciones más grandes de nuestro país. Por otra parte, se han tomado en consideración, como atenuantes: - Artículo 83.2.
  30. c)RGPD:  Medidas tomadas por el responsable para paliar los daños y perjuicios sufridos por los interesados: Positivas. A saber: Devolución de los importes cargados en concepto de cuotas para la adquisición del terminal móvil - Artículo 76.2.
  31. c)LOPDGDD:  Los beneficios obtenidos como consecuencia de la comisión de la infracción. Se descarta la obtención de un beneficio económico más allá de percibir el precio del coste fijado para el terminal de telefonía móvil, objeto de la contratación fraudulenta. – - Artículo 76.2.
  32. h)LOPDGDD: El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. Diversos operadores de telecomunicaciones, entre los que se encuentra VDF, suscribieron con AUTOCONTROL un Protocolo que, sin perjuicio de las competencias propias de la AEPD, prevé mecanismos para la resolución privada de controversias relativas a la protección de datos en el ámbito de contratación y publicidad de servicios de comunicaciones electrónicas, con fecha 15 de septiembre de 2017. Protocolo cuya aplicación efectiva debe ser considerado como atenuante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 A tratar de rebatir los agravantes y atenuantes, anteriormente citados, dedica VDF la alegación 3 de su escrito de alegaciones señalando que en su Acuerdo de Inicio, la Agencia hace alusión a los criterios de graduación de la sanción y realiza determinados juicios de valor que no se comparten por Vodafone. Así, en relación con la naturaleza y gravedad de la infracción VDF indica que la Agencia, a la hora de categorizar la infracción como muy grave, al verse afectados los datos incluidos en una factura, no incluye en su análisis que el Defraudador ya conocía ciertos datos del Reclamante, motivo por el cual pudo superar la Política de Seguridad de Vodafone y que, a mayor abundamiento, en el presente caso sólo hay un afectado (el Reclamante). Asimismo, la Agencia no parece tomar en consideración que se realizaron todas las acciones pertinentes para garantizar la seguridad de la cuenta con anterioridad a la notificación de la reclamación por la Agencia. Se llevaron a cabo las gestiones necesarias para anular el pago a plazos. En segundo lugar, en relación con la intencionalidad o negligencia, alega VDF que la Agencia, para cuantificar la sanción, no entra a valorar la diligencia y rapidez con la que mi representada tramitó, analizó y resolvió la reclamación interpuesta por la mujer del Sr. Fuentes. Respecto a la necesidad de adopción de “medidas de prevención adecuadas” alega VDF que, desde el 14 de marzo de 2012, actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente, y cuya última modificación ha sido implementada en fecha 4 de enero de 2022. Que en dicha Política de Seguridad se establece qué tipo de información debe requerir al cliente para cada gestión solicitada; cómo proceder en caso de que un usuario no supere dicha Política, así como las actuaciones preventivas en situaciones de fraude. Y que la misma es de obligado cumplimiento para todos los empleados y agentes de Vodafone, quienes se encargan de aplicarla y respetarla. Y que en este sentido, a fin de evitar que se produzcan incidencias similares, Vodafone trabaja de forma continua en mejorar las Políticas de Seguridad implementadas en la contratación de servicios y en cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. Asimismo, desde Vodafone se están revisando los procesos internos para asegurar que se cumplen las Políticas de Seguridad definidas o introducir los cambios necesarios cuando se considere pertinente, en diversos ámbitos del negocio de VDF. Respecto a la alegación en relación con la calificación como muy grave de la infracción conviene indicar que VDF señala que es porque se vean afectados los datos en una factura, pero omite la suscripción de un contrato para la adquisición de un terminal de telefonía móvil que contenía los datos bancarios de su legítimo titular, todo lo que acarrea la pérdida de disposición y control sobre los datos personales. En relación con la superación de la política de seguridad hay que señalar que la misma se produce por un fallo en ella, ya que, se permite a un tercero, diferente a su titular, la superación de dicha política aportando los datos que se exigirían al titular de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 la línea y no los datos que se exigirían en caso de que no fuera el titular de la línea, según consta en su propia política de seguridad. En relación con la afirmación de que la Agencia en su acuerdo de inicio no ha tomado en consideración las acciones pertinentes realizadas por VDF para garantizar la seguridad de la cuenta con anterioridad a la notificación de la reclamación por la Agencia, y las gestiones necesarias para anular el pago a plazos, debe ser descartada puesto que han sido tenidas en cuenta como atenuantes en el acuerdo de inicio en virtud de lo establecido en el Artículo 83.2.
  33. c)RGPD. La Agencia no comparte que VDF que tardar 6 días desde que tuvo conocimiento de los supuestos hechos fraudulentos hasta que adoptó medidas en relación con los mismos pueda ser considerada una actuación diligente y rápida, toda vez que VDF podía haber adoptado cualquier otra decisión tendente a bloquear las actuaciones supuestamente fraudulentas antes de adoptar las medidas definitivas. En relación con la alegación sobre la existencia y contenido de la política de seguridad de VDF señalar que ha quedado acreditado en el presente procedimiento que la misma no se ha cumplido puesto que se ha permitido la superación de la misma a una persona que no era titular de línea telefónica facilitando los datos exigidos en la política de seguridad para un titular. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 70.000 € (setenta mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 € (cincuenta y seis mil euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-260122 B.B.B. INSPECTOR/INSTRUCTOR ANEXO RELACIÓN DE DOCUMENTOS OBRANTES EN EL PROCEDIMIENTO.            Reclamación de C.C.C. Traslado reclamación a VODAFONE ESPAÑA, S.A.U. Admisión a trámite a C.C.C. Contestación traslado de reclamación de VODAFONE ESPAÑA S.A.U Escrito de C.C.C. Solicitud información adicional a VODAFONE ESPAÑA, S.A.U. Contestación requerimiento de VODAFONE ESPAÑA S.A.U. Informe actuaciones previas. Acuerdo de inicio de apertura de procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. nformación de la apertura del procedimiento al reclamante C.C.C. Alegaciones al acuerdo de inicio de VODAFONE ESPAÑA S.A.U. >> SEGUNDO: En fecha 19 de abril de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 56000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00611/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  34. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-230522 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.