← España

PS-00620-2025

1/16  Expediente Nº: EXP202517289 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de enero de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, VODAFONE). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 12 de marzo de 2026 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente Nº: EXP202517289 (PS/00620/2025) PROPUESTA DE RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 11 de agosto de 2025 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, VODAFONE o la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). El reclamante manifiesta haber recibido el 11 de agosto de 2025 un mensaje de carácter publicitario a través de la aplicación WhatsApp desde el número ***TELÉFONO.1, en el que el remitente se identificaba como empleada de una tienda Vodafone de ***LOCALIDAD.1, ofreciéndole una promoción comercial. Señala que no ha autorizado el tratamiento de sus datos personales con fines publicitarios, que se encuentra inscrito en la Lista Robinson y que la comunicación revela información sobre su condición de cliente de Movistar, circunstancia que, a su juicio, evidenciaría un acceso o cruce de bases de datos sin su consentimiento. Junto al escrito de reclamación, se acompaña la siguiente documentación: - Captura de pantalla de una conversación mantenida a través de la aplicación WhatsApp, en la que se observa una comunicación recibida el mismo día de la captura. En dicha conversación aparece como remitente el número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/16 ***TELÉFONO.1, identificado en WhatsApp como “Vodafone ***LOCALIDAD.2”, no figurando como contacto guardado ni existiendo grupos en común. El mensaje recibido tiene carácter comercial y se inicia con el texto: “(…)”. Se ofrece una promoción comercial, preguntando al destinatario si “sigue con Movistar” y añadiendo que, por acudir a la tienda a informarse, se le ofrecería un detalle adicional. El texto completo del mensaje se incluye en los hechos probados. - Captura de pantalla de la respuesta del reclamante en la que manifiesta su disconformidad con la comunicación recibida, indicando que se ha producido el uso de sus datos personales sin consentimiento, que se encuentra inscrito en la Lista Robinson y que la comunicación constituye publicidad no solicitada. SEGUNDO: En fecha 16 de octubre de 2025, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (en lo sucesivo, LOPDGDD), por parte de esta Agencia, se dio traslado de dicha reclamación a la ASOCIACIÓN PARA LA AUTORREGULACIÓN DE LA COMUNICACIÓN COMERCIAL (en lo sucesivo, AUTOCONTROL) al concurrir los presupuestos previstos en el sistema de autorregulación publicitaria, y en particular en el Código de conducta para el “Tratamiento de datos en la actividad publicitaria”, al que la entidad Vodafone se encuentra adherida. TERCERO: En fecha 11 de noviembre de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 26 de noviembre de 2025 se recibe en esta Agencia contestación de AUTOCONTROL, en la que comunica que, tras analizar el contenido de la reclamación presentada contra Vodafone España, S.A.U., y comprobar el cumplimiento de los requisitos de admisibilidad previstos en el apartado 10.2 del Código de Conducta para el Tratamiento de Datos en la Actividad Publicitaria, se acordó dar trámite a la reclamación e iniciar el procedimiento de mediación con fecha 16/10/2025 y en el marco de dicha mediación, la entidad reclamada ha manifestado lo siguiente: - Que la reclamación tiene su origen en el envío de comunicaciones comerciales vía WhatsApp realizadas en nombre de Vodafone, procedentes del número ***TELÉFONO.1, dirigidas a la línea del reclamante ***TELÉFONO.2. Según la información consultada por la propia entidad, la numeración emisora figura registrada en la CNMC como perteneciente a Vodafone España S.A.U. (UNIPERSONAL). - Que, tras las comprobaciones efectuadas, se indica que la línea telefónica del reclamante consta inscrita tanto en la Lista Robinson oficial gestionada por ADigital como en la Lista Robinson interna de Vodafone, figurando esta última inscripción desde el 16 de febrero de 2022, que dicha numeración no ha sido incorporada a plataformas de outbound de Vodafone o Lowi, pero que se realizarán gestiones para asegurar el cese definitivo de las comunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/16 - Expone, además, la existencia de un sistema interno de controles y medidas dirigidas a sus colaboradores y distribuidores que realizan campañas comerciales en su nombre, incluyendo autorizaciones expresas para realizar llamadas, controles de calidad, auditorías a agencias y medidas contractuales correctoras en caso de detección de incumplimientos. - Señala que sus colaboradores están obligados a aplicar sistemas de filtrado por listas de exclusión publicitaria, tanto oficiales como internas, con el fin de evitar comunicaciones a numeraciones inscritas en dichos listados, así como a no reiterar llamadas a números previamente contactados en los últimos seis meses. - Finalmente, la entidad destaca su adhesión a un Código Deontológico del sector, firmado en julio de 2021 por los principales operadores de telecomunicaciones, y manifiesta haber prohibido expresamente a sus colaboradores la realización de llamadas comerciales a rangos aleatorios sin consentimiento, en aplicación del artículo 66.1.

  1. b)de la LGTEL. QUINTO: Con fecha 22 de diciembre de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta vulneración del artículo del artículo 21.1 de la LSSI, tipificada como leve en el art. 38.4.
  2. d)de la citada norma, con una sanción inicial de 5.000 euros (cinco mil euros). SEXTO: Con fecha 24 de febrero 2026 la parte reclamada presentó escrito de alegaciones en el que en el que solicita el archivo de las actuaciones, o subsidiariamente que, en caso de imponerse la sanción, se imponga en cuantía mínima a la luz de las circunstancias atenuantes que aprecia existen basando su pretensión, en síntesis, en las consideraciones siguientes: 1. La comunicación comercial recibida por el reclamante a través de WhatsApp responde a una situación puntual consecuencia de que un trabajador de la tienda de ***LOCALIDAD.1 contravino las instrucciones que Vodafone facilita a sus puntos de venta. Estos tienen prohibido por contrato que las tiendas puedan realizar actividad comercial a través de WhatsApp. Por ello, será penalizado, sin perjuicio de que de manera periódica se hagan recordatorios sobre esta materia y se hayan realizado acciones de refuerzo con la tienda concreta, en particular. Además, señala que los datos del reclamante obraban en poder de Vodafone por haber sido antiguo cliente. 2. Asegura que no concurre el dolo o negligencia exigibles para apreciar la existencia de culpabilidad en tanto que Vodafone había prohibido a sus puntos de venta realizar este tipo de prácticas. 3. De manera subsidiaria, entiende que la sanción a imponer debe modularse atendiendo a las circunstancias del RGPD, en particular lo relativo al artículo 83.2
  3. b)del RGPD por adopción de medidas, así como 83.2
  4. j)de la misma norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/16 Junto al escrito de alegaciones se presenta la siguiente documentación: - Documento nº 1 – 03/07/2022 – Contrato de Servicio Móvil, Banda Ancha, Fijo y TV (clientes particulares). Consta la identificación del reclamante y la marcación de las casillas de oposición a la recepción de comunicaciones comerciales de Vodafone y a la cesión de datos anonimizados y agregados basados en navegación, tráfico, facturación y localización. - Documento nº 2 – 03/07/2022 – Registro de firma online y aceptación de condiciones relativo a la parte reclamante. Se acreditan las aceptaciones relativas a política de protección de datos, financiación, condiciones generales, permanencia y activación del servicio. En el apartado de privacidad figura la negativa al tratamiento de datos de localización, tráfico y facturación, a la cesión de datos (incluidas empresas del grupo y terceros) y a la recepción de comunicaciones comerciales. - Documento nº 3 – Contrato de Canal Especialista Exclusivo de Punto de Venta (Vodafone España, S.A.U. – SOCIPHONE, S.L.), vigente del 01/04/2025 al 31/03/2028. La cláusula 2.1.
  5. d)excluye la promoción y contratación a distancia mediante correo electrónico, SMS u otros sistemas de televenta, salvo adenda específica de teleconcertación. El contrato establece, además, obligaciones de verificación de identidad y correcta grabación de datos, régimen de exclusividad, prohibición de reventa, tipificación de conductas fraudulentas y penalizaciones, incluida la repercusión de eventuales sanciones administrativas. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero.- VODAFONE ESPAÑA, S.A.U., con NIF A80907397 es una mercantil dedicada a la prestación de servicios de comunicaciones electrónicas bajo la marca Vodafone. Segundo.- En el contrato de Canal Especialista Exclusivo de Punto de Venta con vigencia desde el 1/04/2025 hasta el 31/03/2028, suscrito con la entidad SOCIPHONE, S.L., se establece que VODAFONE ESPAÑA, S.A.U. es la parte que presta los servicios y regula la promoción y comercialización de los mismos a través de puntos de venta físicos gestionados por agentes. Tercero.- La numeración telefónica ***TELÉFONO.1 figura registrada en la Comisión Nacional de los Mercados y la Competencia como perteneciente a Vodafone según consta en la contestación trasladada por AUTOCONTROL de fecha 26/11/2025. Cuarto.- La línea ***TELÉFONO.2, titularidad del reclamante, consta inscrita en la Lista Robinson interna de Vodafone desde el 16/02/2022 tal y como reconoce la propia Vodafone a través del sistema AUTOCONTROL. Además, consta inscrita en la Lista Robinson oficial de ADigital. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/16 Quinto.- El 11 de agosto de 2025, desde el número ***TELÉFONO.1, identificado en la aplicación como “Vodafone ***LOCALIDAD.2”, se envía un mensaje al teléfono ***TELÉFONO.2 que comienza con el texto: “(…)”. Sexto.- Tras los hechos acontecidos, VODAFONE ESPAÑA, S.A.U ha enviado un recordatorio a la tienda Vodafone ***LOCALIDAD.2 (…) recordando que este tipo de actuaciones se encuentran prohibidas y ha penalizado al establecimiento. Asimismo, el 23 de febrero de 2026 ha enviado un recordatorio general a todas las tiendas recordando que las comunicaciones comerciales no autorizadas no están permitidas. FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la DA cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Síntesis de los hechos acaecidos El reclamante manifiesta haber recibido un mensaje de carácter publicitario a través de la aplicación WhatsApp, procedente del número ***TELÉFONO.1, en el que el remitente se identificaba como personal de una tienda Vodafone de ***LOCALIDAD.1 y le ofrecía una promoción comercial. Señala no haber otorgado consentimiento para el tratamiento de sus datos personales con fines publicitarios, encontrarse inscrito en la Lista Robinson y que el contenido del mensaje revela información relativa a su condición de cliente de otro operador de telecomunicaciones. La reclamación se acompañó de capturas de pantalla de la conversación mantenida, en las que consta tanto la recepción del mensaje comercial como la respuesta del reclamante manifestando su oposición y solicitando la eliminación de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/16 En el marco de las actuaciones seguidas la reclamación fue trasladada a la Asociación para la Autorregulación de la Comunicación Comercial (AUTOCONTROL), iniciándose el correspondiente procedimiento de mediación. Con fecha 26/11/2025, esta Agencia recibió comunicación de dicho organismo informando de la tramitación de la mediación y de las manifestaciones realizadas por la entidad reclamada, relativas al origen de la comunicación, a la inscripción del reclamante en listas de exclusión publicitaria y a la existencia de medidas internas de control. Por su parte, en el escrito de alegaciones presentado el 24/02/2026, la entidad reclamada expone que la comunicación remitida a través de WhatsApp tuvo su origen en la actuación de personal de una tienda física de ***LOCALIDAD.1, indicando que el número emisor se encontraba registrado a su nombre en la CNMC y que el reclamante había sido cliente de la entidad hasta el 22/02/202 y aporta el contrato suscrito el 03/07/2022 y el correspondiente registro de firma online, en los que constan los datos identificativos del cliente y la configuración de preferencias relativas a comunicaciones y cesión de datos. Igualmente, incorpora el contrato “Canal Especialista Exclusivo de Punto de Venta” con vigencia 01/04/2025–31/03/2028 en cuyo clausulado se regula la actividad comercial de los agentes y se excluye la promoción y conclusión de operaciones de comercio mediante correo electrónico, SMS u otros medios de comunicación electrónica que supongan contratación a distancia, salvo en los términos expresamente autorizados. III Contestación a las alegaciones al acuerdo de inicio Primero.– Sobre el carácter puntual y aislado de la comunicación remitida por WhatsApp La entidad reclamada sostiene que la comunicación comercial remitida el 11/08/2025 tuvo su origen en una actuación puntual y aislada de personal de una tienda física de ***LOCALIDAD.1, realizada al margen de sus instrucciones internas y de las cláusulas contractuales que prohíben el uso de WhatsApp con fines promocionales. Afirma que la conducta vulneró expresamente las condiciones del denominado “Contrato de Canal Especialista Exclusivo de Punto de Venta”, y que, por tanto, no puede imputársele la infracción apreciada. Esta alegación no puede ser acogida. Conforme al artículo 21.1 de la LSSI) “queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas”. En el presente expediente ha quedado acreditado que el 11/08/2025 se remitió al reclamante una comunicación comercial personalizada desde la numeración ***TELÉFONO.1, identificada como “Vodafone ***LOCALIDAD.2”, numeración que figura registrada en la CNMC como perteneciente a Vodafone España, S.A.U. Asimismo, consta que el destinatario figuraba inscrito en la Lista Robinson desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/16 16/02/2022 y que no había otorgado consentimiento para la recepción de comunicaciones comerciales, circunstancia corroborada por la oposición expresa reflejada en el contrato suscrito. La comunicación fue emitida desde una numeración titularidad de la entidad, en el marco de su red oficial de distribución y utilizando datos personales obrantes en sus sistemas. La red de puntos de venta gestionada por distribuidores forma parte del modelo organizativo libremente elegido por la entidad para la comercialización de sus servicios. La descentralización funcional no rompe el nexo de imputación cuando la actuación se desarrolla bajo la marca corporativa, con numeración registrada a su nombre y en ejecución de su estrategia comercial. La existencia de cláusulas contractuales prohibitivas no excluye la responsabilidad cuando la infracción se produce en el seno de la organización empresarial y mediante recursos integrados en ella. Así, Vodafone responde en este caso al término de prestador de servicios al que hace referencia la ley especial de aplicación: LSSI. Por otra parte, no concurren los presupuestos de la excepción prevista en el artículo 21.2 de la LSSI, que dispone que lo anterior “no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares […]”, exigiendo además que “el prestador deberá ofrecer al destinatario la posibilidad de oponerse […] mediante un procedimiento sencillo y gratuito”. En el presente supuesto consta oposición expresa a comunicaciones comerciales y la inscripción en lista de exclusión interna, lo que excluye la aplicabilidad de dicha excepción. En consecuencia, la alegación relativa al carácter puntual o aislado de la actuación no desvirtúa la imputación de la infracción del artículo 21.1 de la LSSI, al haberse producido la comunicación en el ámbito organizativo del prestador de servicios y mediante recursos integrados en su red comercial. Segundo.– Sobre la inexistencia de culpabilidad y la improcedencia de sanción El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." Lo anterior supone que para que exista culpabilidad (responsabilidad en el ámbito administrativo) los hechos tipificados deben haberse realizado de manera negligente o intencional. A este respecto el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/16 comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por tanto, si bien el principio de culpabilidad exige dolo o culpa, en el ámbito de personas jurídicas su existencia ha de ligarse íntimamente con que se garantice un nivel adecuado de protección al bien jurídico que se tutela. Lo anterior se concreta en el deber de organización adecuada y control eficaz. No basta la mera previsión formal de prohibiciones internas; es necesario que existan mecanismos efectivos que impidan razonablemente la infracción. En el presente supuesto, si bien la entidad aporta cláusulas contractuales y políticas internas sobre el uso de WhatsApp, no consta acreditado que dispusiera de mecanismos técnicos efectivos que impidieran el envío de comunicaciones comerciales a numeraciones inscritas en listas de exclusión. Tampoco consta acreditada la existencia de sistemas automatizados de verificación previa, auditorías periódicas sobre el uso de numeraciones corporativas o controles que bloquearan comunicaciones no autorizadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/16 La diligencia exigible no se satisface mediante la mera existencia de normas internas, sino mediante su eficacia real y verificable. A mayor abundamiento, no puede obviarse que, a pesar de ya no ser cliente de la entidad, esta no había procedido a la supresión de sus datos, lo que ha realizado a raíz del presente procedimiento sancionador. No se aprecia, por tanto, aplicación de responsabilidad objetiva, sino constatación de una deficiencia organizativa en el ámbito de una actividad comercial sometida a regulación específica, que se consumó en una infracción realizada en nombre de VODAFONE. En consecuencia, no puede apreciarse ausencia de culpa en los términos exigidos por el artículo 28.1 de la Ley 40/2015, debiendo desestimarse la alegación segunda. Tercero.– Sobre las circunstancias atenuantes invocadas La entidad solicita la modulación de la sanción invocando la aplicación de circunstancias del artículo 83.2
  6. a)y
  7. j)del RGPD, ligándolo a la adopción de medidas, así como su adhesión a AUTOCONTROL. No obstante, se recuerda que en el presente supuesto la normativa aplicable es la LSSI, sin que puedan ponderarse las circunstancias a las que se hace referencia. Debe señalarse, no obstante que la sanción propuesta, fijada inicialmente en 5.000 euros, se sitúa significativamente por debajo del máximo legal previsto en el artículo 39.1.
  8. c)de la LSSI para infracciones leves, que establece multa “de hasta 30.000 euros” y que había tenido particularmente en cuenta el carácter intencional de la infracción conforme al artículo 40
  9. a)de la LSSI. Por otra parte, el artículo 40 de la LSSI prevé los criterios para la graduación de las multas e incluye que “la cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios: (…)
  10. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes
  11. h)La adopción de medidas para mitigar o reparar el daño causado por la infracción. […]”. Respecto a la aplicación del artículo 40.g), el Código de conducta para el tratamiento de datos en la actividad publicitaria de Autocontrol al que hace referencia VODAFONE, no se corresponde con uno de los previstos en el artículo 18 de la LSSI, que son los que permiten considerar lo dispuesto en el artículo 40.
  12. g)para graduar la sanción. En consecuencia, no resulta de aplicación. En cualquier caso, la mera adhesión a un código de conducta no basta para que pueda ser considerada una circunstancia atenuante. Es necesario probar, no solo la adhesión, sino que las disposiciones previstas por el código para el cumplimiento de la ley se respetan por la entidad adherida. Sin embargo, sí procede ponderar la adopción de medidas correctoras posteriores, pues si bien tales actuaciones no enervan la infracción ya consumada, sí pueden ser consideradas a efectos de graduación de acuerdo con lo previsto en el artículo 40
  13. h)de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/16 En consecuencia, al determinar la cuantía de la multa, habrá de tenerse en cuenta a efectos de su minoración, las circunstancias previstas en el artículo 40
  14. h)de la LSSI, además del resto de elementos que ya fueron tenidos en cuenta en el acuerdo de inicio. IV Prohibición de comunicaciones comerciales no solicitadas o expresamente autorizadas El artículo 21.1 de la LSSI establece, respecto de las comunicaciones comerciales no solicitadas o expresamente autorizadas, lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Por tanto, conforme a este artículo, queda prohibido el envío de comunicaciones comerciales por vía electrónica cuando no hayan sido previamente solicitadas o expresamente autorizadas por el destinatario, salvo que exista una relación contractual previa en la que el prestador de servicio hubiera obtenido los datos personales de forma lícita. Asimismo, para que opere la excepción relativa a la relación contractual previa es necesario que se haya informado al interesado, que la comunicación comercial se refiera a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente y que se ofrezca al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. En el caso analizado, consta acreditado que la entidad reclamada VODAFONE ESPAÑA, S.A.U. remitió al reclamante un mensaje de carácter publicitario el 11 de agosto de 2025 a través de Whatsapp. No consta la existencia de relación contractual previa entre el reclamante y la entidad reclamada que pudiera amparar la aplicación de la excepción prevista en el apartado segundo del citado artículo, ni se ha acreditado que los datos de contacto del reclamante hubieran sido obtenidos de forma lícita en el marco de una contratación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/16 anterior. Antes al contrario, el contenido del mensaje revela que el destinatario era cliente de un operador distinto, lo que excluye, en principio, la concurrencia de dicha excepción. A mayor abundamiento, la circunstancia de que el reclamante se encontrara inscrito en la Lista Robinson es determinante en este caso, sin que las alegaciones relativas a la actuación de colaboradores, distribuidores o terceros puedan exonerar de responsabilidad a la entidad reclamada, en su condición de prestador de servicios al que se atribuye el envío de la comunicación comercial y beneficiario directo de la misma. Lo anterior evidencia que la comunicación comercial realizada por VODAFONE no está amparada por ninguno de los supuestos previstos en el artículo 21 de la LSSI. En consecuencia, lo anterior constituye una vulneración, por parte de la reclamada, de lo establecido en el artículo 21.1 de la LSSI. V Tipificación de la infracción La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
  15. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  16. c)de la LSSI, que estipula lo siguiente: “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones: (…)
  17. c)Por la comisión de infracciones leves, multa de hasta 30.000 euros.” VI Propuesta de sanción El artículo 40 de la LSSI sobre los criterios para la graduación de la cuantía de las sanciones, establece lo siguiente: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  18. a)La existencia de intencionalidad.
  19. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  20. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  21. d)La naturaleza y cuantía de los perjuicios causados.
  22. e)Los beneficios obtenidos por la infracción.
  23. f)Volumen de facturación a que afecte la infracción cometida.
  24. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. Concurre en el presente caso como criterio agravante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/16 La intencionalidad (apartado 40.a), puesto que la comunicación comercial fue emitida de forma consciente y deliberada en nombre de Vodafone, identificándose expresamente como personal de una tienda Vodafone y ofreciendo una promoción comercial. Dicha intencionalidad se ve reforzada por el carácter personalizado del mensaje, que identifica al destinatario por su nombre y revela información relativa a su condición de cliente de otro operador, evidenciando un uso finalista de datos personales con fines comerciales, incompatible con cualquier apreciación de envío meramente accidental. Asimismo, consta acreditado que el destinatario se encontraba inscrito en la Lista Robinson con anterioridad a los hechos, lo que pone de manifiesto una omisión relevante de los deberes de diligencia exigibles a la entidad reclamada. Por otra parte, debe tenerse en cuenta que la entidad reclamada se encuentra adherida a sistemas de autorregulación publicitaria, lo que implica un mayor nivel de conocimiento normativo y refuerza la apreciación de que el incumplimiento del artículo 21.1 de la LSSI no responde a un error excusable. Por último, no puede obviarse que incluso cuando la parte reclamante fue cliente de la VODAFONE en el año 2022, no había consentido el envío de comunicaciones comerciales. En consecuencia, concurre el criterio agravante de intencionalidad previsto en el artículo 40.
  25. a)de la LSSI, circunstancia que debe ser considerada en la graduación de la sanción. Concurre en el presente caso como criterio atenuante: La adopción de medidas para mitigar o reparar el daño causado por la infracción (apartado h), en atención a las diferentes medidas adoptadas por VODAFONE con el objetivo de que los hechos no vuelvan a repetirse. Así, Vodafone ha acreditado haber realizado un recordatorio a su establecimiento Vodafone ***LOCALIDAD.2 recordando que el envío de comunicaciones comerciales no autorizadas se encuentra prohibido, además de penalizar al gerente del establecimiento. Por otra parte, el 23 de febrero de 2026 ha enviado un recordatorio general a todas las tiendas incidiendo en que las comunicaciones comerciales no autorizadas no están permitidas. A la vista de las evidencias obtenidas procede proponer una sanción en 4.000 euros (cuatro mil euros) por la infracción del artículo 21.1 de la LSSI, consistente en el envío de comunicaciones publicitarias o promocionales no solicitadas ni expresamente autorizadas a la parte reclamante. PROPUESTA DE RESOLUCIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/16 PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a la entidad VODAFONE ESPAÑA, S.A.U. con CIF A8090739, por una infracción del artículo 21.2 de la LSSI, tipificada como leve en el art. 38.4.
  26. d)de dicha norma, con una sanción de 4.000 euros (cuatro mil euros). SEGUNDO: De conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta. Con la aplicación de esta reducción, la sanción quedaría establecida en 3.200 euros (tres mil doscientos euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. A.A.A. EL INSTRUCTOR DEL PROCEDIMIENTO. Índice del Expediente EXP202517289 11-08-2025 Reclamación de B.B.B. 16-10-2025 Traslado reclamación a ASOCIACIÓN PARA LA AUTORRE 7 11-11-2025 Escrito a B.B.B. 26-11-2025 Alegaciones de ASOCIACION PARA LA AUTORREGULACION 18 01-12-2025 Admisión a trámite a B.B.B. 27-01-2026 Acuerdo de inicio a VODAFONE ESPAÑA, S.A.U. 29 03-02-2026 Escrito a B.B.B. 04-02-2026 Solicitud de ampliación de plazo de VODAFONE ESPA 46 05-02-2026 Amp. Plazo y copia exp a VODAFONE ESPAÑA, S.A.U. 51 24-02-2026 Alegaciones de VODAFONE ESPAÑA S.A.U. 108 >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/16 SEGUNDO: En fecha 7 de abril de 2026, VODAFONE ha procedido al pago de la sanción en la cuantía de 3.200,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/16 del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 3.200,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, VODAFONE, en fecha 7 de abril de 2026, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 4.000,00 euros. Tras haber procedido VODAFONE ESPAÑA, S.A.U. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 3.200,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/16 SEGUNDO: DECLARAR la terminación del procedimiento EXP202517289, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  27. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 968-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.