PS-00634-2022

1/18  Expediente Nº: EXP202203183 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a LYCAMOBILE S.L.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202203183 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 15 de febrero de 2022 A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LYCAMOBILE S.L.U. con NIF B92877141 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: 1) Con fecha 22/1/22 recibió un mensaje de LYCAMOBILE indicando que la portabilidad se había registrado con éxito. El reclamante contacta con dicha entidad manifestando que él no había solicitado nada y que ha podido ser un tercero que, en el año 2019, ya suplantó su identidad. 2) Manifiesta que dicho número lo tiene asociado a sus cuentas bancarias, a su dirección de correo electrónico, Amazon, etc. 3) Con fecha 25/1/22, vuelve a recibir un mensaje de la entidad reclamada, indicando que, en breve, se llevará a cabo la portabilidad y, pese a solicitar la cancelación de esta, le indican que aún no figura en sus sistemas, porque la solicitud se realizó desde una tienda física C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 4) El 26/1/22, recibe varios e-mails indicando que, en Facebook se había cambiado la contraseña satisfactoriamente con una dirección IP y una ubicación en Alcobendas, así como también había ocurrido con Amazon, con su tarjeta de socio Consum, etc. Asimismo, el reclamante comprueba que su teléfono no funciona y que no puede acceder a sus direcciones de correo electrónico. 5) Tras lo ocurrido, el reclamante ha tenido que crear una dirección de correo nueva para asociarla a sus cuentas bancarias, pero sigue sin recuperar su línea de telefonía móvil. 6) Indica que el origen de todo pudo ser en 2019 cuando solicitó una tarjeta de fidelización a una dirección de correo electrónico que, por lo que manifiesta, simulaba al comercio real sin serlo, constituyendo un phishing o recogida de datos fraudulenta. 7) Tras lo ocurrido sigue sin recuperar su línea de telefonía móvil. Junto a su reclamación se aporta: - Denuncia ante la Policía Nacional, donde declara que alguien está usando sus datos para apoderarse de su línea de teléfono mediante portabilidad. Indica que el juzgado de instrucción de ***LOCALIDAD.1 le ha archivado cinco veces la causa y que sufre desde 2019 suplantaciones de identidad con retiradas de efectivo de sus cuentas bancarias. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 17 de marzo de 2022, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28 de marzo de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 5 de mayo de 2022, se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “Desafortunadamente no nos es posible gestionar de forma automática la portabilidad de la numeración del interesado de nuevo a Vodafone, sino que esa portabilidad tiene que ser solicitada por el interesado en el operador de destino que desee conforme los procedimientos establecidos para ello. Mi representada colaborará en todo lo que sea necesario para que la portabilidad llegue a buen fin.” TERCERO: Con fecha 6 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: PUNTO 1. En el traslado de la reclamación los representantes de la parte reclamada manifestaron lo siguiente: - Únicamente comercializan servicios de telefonía móvil en modalidad prepago. - El sistema que gestiona las portabilidades sólo aceptará la petición si se han cumplimentado por el operador receptor todos los campos obligatorios de manera adecuada. - Los datos son, para líneas prepago: el NIF/NIE/Pasaporte y nacionalidad del abonado, número de línea y ICC-ID (Identificador de la tarjeta SIM). - Por tanto, el solicitante, no solo se identificó como el interesado, sino que además contaba con el ICC-ID de la tarjeta SIM del operador donante. Indican que este código es un código único que aparece en la propia tarjeta SIM del cliente. Si este número, o cualquier otro dato requerido por la especificación técnica no es correcto, el sistema deniega automáticamente la portabilidad porque se trata de un procedimiento automático. - El usurpador también debería conocer los nombres de usuario y contraseñas de acceso de los otros servicios a los cuales el suplantador tuvo acceso. PUNTO 2. En las presentes actuaciones de investigación se ha requerido a LYCAMOBILE información y documentación sobre los procesos de portabilidad y sobre la portabilidad reclamada, poniéndose de manifiesto lo siguiente: - Los representantes de LYCAMOBILE insisten que el código ICC-ID requerido para el trámite es el de la tarjeta SIM que el reclamante debía tener introducida en su terminal móvil, asociado a la línea portada y que este código solo está en poder de la operadora donante y el cliente, significando que cuando en un trámite se solicita aportar este código, se asegura el trámite, pues se requiere la posesión física de la tarjeta SIM de la línea sobre la que se desea realizar la operación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 - La parte reclamada acepta solicitudes de portabilidad de personas que desean ser sus abonados tanto presencialmente como por vía telefónica o email. No obstante, es necesario que el nuevo cliente obtenga una tarjeta SIM de la entidad para llevar a cabo la portabilidad, que deberá adquirirla y/o activarla presencialmente en un punto de venta donde el interesado, según el procedimiento establecido por la entidad, debe identificarse con su documento acreditativo de identidad. Aportan copia del modelo de contrato “ACUERDO COMERCIAL DE PUNTO DE VENTA PREPAGO XFERA” de distribución de tarjetas SIM en modalidad prepago. En el contrato consta como empresa firmante Xfera Móviles, S.A.U.(XFERA), indicando los representantes de la parte reclamada que es la empresa del Grupo al que pertenecen y a través de cual se gestiona el canal de distribución para todas las marcas. Se verifica que en la cláusula tercera del contrato facilitado figura: «Tercera: IDENTIFICACIÓN DE CLIENTES. 3.1 El DISTRIBUIDOR concluirá por sí mismo la contratación de los Servicios de aquellos clientes que decidan contratar alguno de los Servicios que sean objeto de promoción por el DISTRIBUIDOR (en adelante, los “Clientes”). En todo caso la formalización de la contratación de los Servicios deberá realizarse mediante la introducción de los datos de dicha contratación en la aplicación informática o sistema determinado a ese fin, y que el DISTRIBUIDOR declara conocer y saber utilizar, y activarla como “alta”. A este respecto, el DISTRIBUIDOR asume que el concepto de negocio objeto del contrato no tiene carácter estático, sino claramente dinámico, por lo que XFERA, de buena fe y teniendo presente la situación existente en ese momento, podrá realizar modificaciones y cambios en la forma de introducir los datos de las contrataciones con la finalidad de adaptar el concepto de negocio a las tendencias y circunstancias del mercado. 3.2 El DISTRIBUIDOR pondrá el mayor énfasis y al objeto de detectar cualquier posibilidad de fraude y de evitar la conclusión de contratos cuando existan indicios del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 A tal efecto, rehusará en todo caso la formalización de contratos con Clientes que no se identifiquen adecuadamente mediante un documento acreditativo de la identidad con validez en España (DNI, NIE o pasaporte) o que faciliten datos cuya veracidad sea cuestionable si se analiza con la diligencia de un ordenado comerciante. A este respecto el DISTRIBUIDOR deberá recabar y conservar copia del documento acreditativo de la identidad. 3.3 La obtención de altas de forma irregular, suplantando la identidad de los clientes y/ o sus datos personales, conllevará una penalización establecida en el Anexo 2 por cada alta que cierre utilizando dichas prácticas, con independencia de la fecha del alta, que deberá abonar EL DISTRIBUIDOR a XFERA, además de la retrocesión de la comisión percibida. El incumplimiento de esta obligación de diligencia podrá dar lugar a la terminación anticipada del contrato de conformidad con lo previsto en la cláusula 10. […]» - Los representantes de la parte reclamada han manifestado que el procedimiento de identificación del contratante se realiza mediante exhibición de su documento acreditativo de la identidad original, el cual se registra, junto con el resto de los datos incluidos en la Disposición Adicional Única de la Ley de Conservación de Datos, en el Libro – Registro. - Los representantes de la parte reclamada indican que, en el caso de portabilidades, esta identificación está reforzada, pues además es necesario aportar el ICC-ID de la tarjeta SIM activa en el operador donante para que esta pueda producirse. Manifiestan que es requerida exhibición del DNI o documento de identidad y además conocimiento de un código único de una tarjeta que está en el interior del dispositivo móvil del interesado indicando que este código cuenta con una complejidad bastante relevante y no es precisamente de fácil acceso en según qué dispositivos. Indican que esta medida, hasta el momento, ha sido adecuada para evitar suplantaciones, manifestando que prueba de ello es la inexistencia de precedentes en los dos años que lleva la parte reclamada perteneciendo a Grupo. - En el caso del reclamante indican que la solicitud de portabilidad se realizó por medios no presenciales, manifestando que, sin embargo, no consta tampoco realizada por vía telefónica, sino a través del backoffice. Explican que esta modalidad backoffice se activa cuando un punto de venta no es capaz de gestionar la solicitud por sí mismo, bien sea por problemas técnicos o de cualquier otra índole. En este caso se facilitan al backoffice los datos requeridos para llevar a cabo la portabilidad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 • Datos de abonado: NIF/NIE/Pasaporte y nacionalidad/CIF. • Numeración de la línea. • ICC-ID o Número(

1. s)de serie de la(
2. s)SIM (sólo en el caso de abonados de prepago) La comprobación de la identidad deberá realizarse por el punto de venta, conforme lo dispuesto en el contrato de distribución. - Se ha requerido a la parte reclamada para que aporte copia del documento acreditativo de la identidad del cliente que se especifica en el contrato facilitado “ACUERDO COMERCIAL DE PUNTO DE VENTA PREPAGO XFERA” que indica en su cláusula 3.2 “a este respecto el DISTRIBUIDOR deberá recabar y conservar copia del documento acreditativo de la identidad”. Los representantes de la parte reclamada no aportan copia del documento acreditativo de la identidad, manifestando lo siguiente: “En relación con el modelo de contrato proporcionado, indicar que la obligación a la que hace referencia la referida cláusula 3.2 es aplicable a la contratación en modalidad pospago no prepago. En particular en la marca Llamaya, la cual se comercializa también mediante este mismo contrato se oferta también modalidad pospago y convergente […]. En este sentido, la contratación de líneas prepago como ya indicamos a esta Agencia se ciñe a lo dispuesto por la legislación aplicable a dicha modalidad de contratación conforme a la ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones prevé en su Disposición adicional única lo siguiente: «los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. […] La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro registro el nombre, apellidos y nacionalidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación he dicho documento. […] » La inclusión en el libro registro no requiere de la conservación de copia de documento acreditativo de la personalidad, de hecho, según el tenor literal de la norma y atendiendo a la naturaleza del servicio modalidad prepago, la conservación del documento acreditativo de la identidad podría considerarse un tratamiento excesivo de datos. Téngase en cuenta que el motivo de recabar datos en la contratación en modalidad prepago es la llevada del libro-registro, el cual existe para cumplir con la mencionada ley y quienes hacen uso de tales datos, esto es, los agentes facultados, no requieren tampoco recabado de copia del documento acreditativo de la identidad, por lo que la conservación de este no atendería ni a una obligación legal ni a un interés público. Hágase mención también que, en términos estrictamente contractuales, la tenencia de una tarjeta con saldo, el cual puede recargarse por cualquier medio permitido para ello incluso por terceros distintos del titular, da derecho a la prestación del servicio de telefonía no el hecho de ser A o B, como sí sucede en el pospago, que es un servicio de tracto sucesivo prestado en virtud de un contrato está vinculado a un pago periódico por domiciliación bancaria. Por hacer un símil, el prepago sería asimilable a las antiguas cabinas telefónicas, mientras tienes saldo, tienes servicio y el saldo está vinculado a un ICC-ID asociado a un MSISDN (numeración). Por lo anterior al tratarse del alta de una línea prepago no se conserva documento acreditativo de la identidad.” - Sobre las reiteradas llamadas telefónicas a LYCAMOBILE por el reclamante para cancelar la portabilidad. Requerida información a LYCAMOBILE sobre los contactos mantenidos por parte del reclamante, se ha constatado la existencia de las siguientes llamadas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 - 22/01/2022 9:27 cliente indica que ha recibido un SMS de aviso de portabilidad en la que han suplantado su identidad. - 24/01/2022 16:15 Cliente llama para cancelar la portabilidad, el agente revisa los sistemas y no ve ninguna solicitud, el cliente insiste en que tiene un SMS informándole del trámite. Como en Atención al Cliente no consta ninguna solicitud en vuelo y la línea no está portada a LYCAMOBILE el agente le dice que no puede gestionar la cancelación. - 24/01/2022 18:00 Cliente llama nuevamente para cancelar la portabilidad con suplantación de identidad, el agente revisa el histórico de llamadas codificadas en el CRM y le indica que la única manera de cancelar la petición en el caso de que exista, ya que en los sistemas no aparece dicha gestión, es solicitar la cancelación al operador donante (VODAFONE) ya que esa línea no está con LYCAMOBILE, el cliente cuelga. - 24/01/2022 18:11 Cliente llama nuevamente para cancelar la portabilidad con suplantación de identidad, el agente verifica que no se ha solicitado desde el servicio de Atención al Cliente y le informa que no aparece ninguna gestión de portabilidad entrante a LYCAMOBILE. El agente le sugiere llamar a VODAFONE para cancelar la petición y el cliente pide un email al agente para hacernos llegar la solicitud de cancelación por escrito. (Le facilita el email de XX@lycamobile.es). - 25/01/2022 11:16 Cliente llama nuevamente para cancelar la portabilidad con suplantación de identidad. El agente le pide el ID de la solicitud y por la nomenclatura le indica que no ha sido solicitada desde el servicio de ATC, si no solicitada en un punto de venta. Además, el cliente nos indica que ya ha enviado la denuncia por email y el agente le indica que la portabilidad aún no se ha completado ya que ese número no consta como cliente LYCAMOBILE. - 25/01/2022 13:36 Cliente llama nuevamente para cancelar la portabilidad con suplantación de identidad. El agente no puede localizar ninguna solicitud en curso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 VODAFONE le ha llamado e indicado que en los próximos minutos aceptará la gestión. El cliente indica que ha mandado la denuncia por email y cuelga. - 25/01/2022 19:21 Cliente llama nuevamente para cancelar la portabilidad con suplantación de identidad, facilitando el número de línea, el agente le explica que con esa numeración aún no es cliente. Se ha verificado que según el documento “procedimiento de portabilidad” aportado por LYCAMOBILE, la portabilidad en cuestión debería de haber sido introducida en el sistema MNP y constar como “pending” (pendiente). Por otro lado, en el referido documento se cita: “6. En el caso de que recibamos una llamada de cliente solicitando una cancelación de portabilidad, los compañeros de ATC crearán un ticket en CRM informándolo y procederemos a comunicarlo a los compañeros de Portabilidades (portabilidad fija portabilidad.fija@masmovil.com) para que hagan los trámites en el NODO.” Por ello se ha emitido un segundo requerimiento a LYCAMOBILE para que aporte el motivo por el cual los agentes de atención telefónica que contestaron las múltiples llamadas del reclamante entre los días 22 al 25 de enero de 2022 indicaban no ver registrada la portabilidad y no gestionaron una posible suplantación de identidad como el reclamante comunicaba. Los representantes de la entidad han indicado que en las fechas en las que se produjeron los hechos denunciados el frontal de portabilidades del CRM era MNP. Lo cual implica que este sistema (MNP) era completamente manual, de modo que las solicitudes de portabilidad debían ser introducidas a mano sin que pueda apreciarse error en la misma puesto que el ICC-ID, el DNI y nombre del interesado eran correctos y puesto que de lo contrario la portabilidad no hubiera podido producirse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 Siguen manifestando que “cuando en nuestra respuesta anterior indicamos, en varias ocasiones, que los agentes atención al cliente revisan los sistemas, lo que están consultando es el MNP directamente, ya que Atención al Cliente tenía acceso a visualizarlo, lo cual sucedía siempre que existía una incidencia con una portabilidad. Lo que desconocemos es el motivo por el que no eran capaces de localizar la solicitud de portabilidad de la línea […número de línea en cuestión…] en el sistema. Indicar a esta agencia que es la primera vez que tenemos noticia de una portabilidad que no fuera visible en MNP, y que, aunque desconocemos el motivo real, podría deberse tal vez a algún tipo de asincronía del MNP, ya que en esas fechas se estaban realizando en paralelo trabajos de migración de CRM […]. Al no ser visible en el frontal del CRM de portabilidades (MNP) la portabilidad para la que se solicitaba la cancelación no era posible ni cancelarla ni crear un ticket relacionado, puesto que estas actividades se tienen que hacer sobre una solicitud de portabilidad determinada registrada en MNP. Es por ello que los agentes, ante la imposibilidad de llevar a cabo la operativa, invitaban al interesado reiteradamente a ponerse en contacto con Vodafone para rechazar la portabilidad por suplantación en el momento en el que les entrara a través del NODO […] Vodafone estaba facultado para rechazar la portabilidad en el momento que la recibiera si el interesado se hubiera puesto en contacto con ellos e informado de la suplantación” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 4.11 del RGPD define el «consentimiento del interesado» como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Por su parte el artículo 6.1 del RGPD establece que “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones prevé en su disposición adicional única lo siguiente: “Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. […] La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. […]” III En el presente caso se denuncia la portabilidad de una línea de teléfono titularidad del reclamante, sin su consentimiento. La portabilidad objeto de reclamación se llevó a cabo en fecha 26/01/2022 (se inició el proceso el día 22/01/2022) y fue tramitada por LYCAMOBILE, como operador receptor de la portabilidad. Se realizó desde una línea de VODAFONE de contrato (pospago) a una línea prepago de LYCAMOBILE. Se manifiesta que la identificación se realiza con el DNI o documento de identidad, pero no se almacena copia por no exigirlo la normativa específica de portabilidad y que la identificación en prepago se encuentra reforzada con la aportación necesaria del código ICC-ID de la tarjeta SIM, al que tiene acceso el cliente. Sobre la diligencia para resolver el problema por parte de LYCAMOBILE. Constan hasta siete contactos en los sistemas de LYCAMOBILE, entre las fechas 22/01/2022 y 26/01/2022, correspondientes a llamadas telefónicas en las que el reclamante indica que han suplantado su identidad para realizar la portabilidad. Los gestores de atención telefónica de LYCAMOBILE no fueron capaces de anular la portabilidad al no visualizarla en sus sistemas, invitando al reclamante a dirigirse a VODAFONE. Según el procedimiento escrito que han aportado deberían visualizar la portabilidad en curso, ya que debe constar registrada y la información disponible para los gestores de atención al cliente, que pueden iniciar la gestión de la cancelación cuando se solicita. Por ello, se ha requerido a LYCAMOBILE para que informe sobre el motivo de que no se visualizara y cancelara, manifestando los representantes de LYCAMOBILE que desconocen el motivo de la no visualización, pudiendo ser la causa una migración de los sistemas en esas fechas. Sobre la diligencia para resolver el problema por parte de VODAFONE. Constan contactos en los sistemas de VODAFONE con anotaciones registradas en las que el reclamante manifiesta que va a cancelar la portabilidad, y que pese a su solicitud no llevan a cabo la cancelación de sus datos (LYCAMOBILE). Consta anotado (por dos veces) que el reclamante no quiere llamadas de VODAFONE. Con fecha 25/01/2022 consta que se abre un procedimiento de gestión de una retro portabilidad (a VODAFONE) que acaba sin éxito, constando registrados varios intentos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 infructuosos de contactar con el reclamante, por parte de los gestores de VODAFONE, para solucionar el problema. Así las cosas, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la operadora reclamada ha utilizado los datos del reclamante, para llevar a cabo la portabilidad, de la línea de teléfono de la que es titular, sin su consentimiento, ni ninguna otra base legitimadora del artículo 6.1. RGPD. Por lo tanto, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por una presunta vulneración del artículo 6 del RGPD, indicado en el fundamento II. IV El artículo 72.1.
9. b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
10. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
11. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado
12. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; VI De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
13. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. VII Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD y art. 76.2 de la LOPDGDD: Como agravantes los siguientes:  En el presente caso estamos ante un tratamiento habitual de datos personales (art. 76.2.
14. b)LOPDGDD).  Además, nos encontramos ante una clara acción negligente no intencional, pero significativa (artículo 83.2
15. b)ya que se produce la ruptura de la seguridad en el paso que se utiliza como autenticación, para la confirmación de la portabilidad por telefonía móvil, dicha negligencia grave queda acreditada por el hecho de que el reclamante llamó varias veces al operador para avisarles de la portabilidad incorrecta, y a pesar de ello dicha portabilidad se materializó. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a LYCAMOBILE S.L.U. con NIF B92877141, por la presunta infracción del artículo 6 del RGPD, que regula la licitud del tratamiento de los datos personales, considerada como una falta muy grave a efectos de prescripción según el artículo 72.1b) de la LOPDGDD, lo cual supone una infracción del artículo 83.5
16. a)del RGPD. 1. NOMBRAR como instructor a B.B.B. y, como secretario, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). 2. INCORPORAR al expediente sancionador, a efectos probatorios, la reclama- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 ción interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, así como el informe de actuaciones previas de Inspección. 3. QUE a los efectos previstos en el art. 64.2
17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería 70.000 € (SETENTA MIL EUROS), sin perjuicio de lo que resulte de la instrucción. 4. NOTIFICAR el presente acuerdo a LYCAMOBILE S.L.U. con NIF B92877141, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
18. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 € (cincuenta y seis mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 € (cincuenta y seis mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 42.000 € (cuarenta y dos mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, 56.000 € (cincuenta y seis mil euros) o 42.000 € ( cuarenta y dos mil euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 30 de marzo de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 42000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202203183, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a LYCAMOBILE S.L.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
19. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es