REPOSICION-PS-00059-2020

(1)referenciado a dicho contrato del que trae causa de fecha 1/05/2019 entre VDF y Casmar, una relación de 15 entidades jurídicas y personas físicas subcontratadas por Casmar denominada “lista de los subencargados aprobados” (sic), entre las que se encuentra la entidad A-Nexo, en la que consta que la “ubicación actual del tratamiento” (sic) se encuentra en Perú. No consta acreditado que dispongan de un contrato que contenga las preceptivas cláusulas contractuales tipo de la Decisión de la Comisión, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países.

(1)Consta contrato de fecha 27/06/2019 (posterior al de fecha 1/05/209 entre VDF y Camar) entre Casmar y A-nexo (en nombre y representación de la entidad A-NEXO CONTACT CENTER SAC, con RUC 20601266530 y domicilio a efectos de notificaciones en Av. De los Precursores 1192, oficina 303, San Miguel, Lima, Perú.) VIGÉSIMO PRIMERO: TQF afirma a requerimiento de la Inspección de esta AEPD que VDF tiene conocimiento de los subencargados del tratamiento por cuenta de VDF sólo en el momento en el que se le solicita su acceso a la plataforma de contratación de VDF y solo a estos efectos. Es decir, TQF solicita el alta a VDF de los subencargados del tratamiento en nombre y por cuenta de VDF para poder realizar las contrataciones (VDF les suministra usuario de acceso a la plataforma de contratación), sin que se requiera ningún tipo de verificación a los comerciales subencargados del tratamiento en nombre y por cuenta de VDF sobre los datos a utilizar en las llamadas comerciales ni condiciones técnicas y organizativas con las que cuentan, limitándose VDF a generar un usuario con contraseña, previa petición de CASMAR o TQF, que se comunica a los comerciales o al distribuidor final (subencargados) para estar habilitado para realizar altas de líneas contratadas en los sistemas de VDF. VIGÉSIMO SEGUNDO: VDF conoce la interposición de reclamaciones ante la AEPD, ya que desde el mes de noviembre de 2018 se ha dado traslado de las mismas desde la AEPD y no es hasta el mes de julio de 2019 cuando se lo comunica a los distribuidores (encargados) sin que conste a la fecha las medidas adoptadas para evitar tratamientos indebidos. VIGÉSIMO TERCERO: Son ejemplos de estas acciones realizadas por CASMAR a numeraciones inscritas en LRAD o en LRI de VDF, los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/79  E/07147/2019: El reclamante recibe llamadas comerciales, la última en fecha de 12/06/2019 tras haber ejercido el derecho de supresión frente a VDF en fecha de 8/05/2019, y en LRI de VDF desde 9/05/

1.  E/07144/2019: El reclamante recibe llamadas comerciales, la última en fecha de 5/06/2019, tras haber ejercido el derecho de oposición constando en LRI de VDF desde 2/04/2019, la línea móvil, y 20/08/2018 la línea fija. También en LRAD desde marzo de
2.  E/7765/2019: El reclamante recibe llamadas comerciales, la última en fecha de 7/06/2019, tras haber solicitado la supresión frente a VDF en fecha de 2/06/2019 y figurar inscrito en LRAD desde el 14/11/
3.  E/7758/2019: El reclamante recibe llamadas comerciales, la última en fecha de 26/06/2019 figurando en LRAD desde el 22/10/
4. En este caso, el distribuidor llamante es TQF en nombre y por cuenta de VDF. Esta muestra de reclamaciones (la totalidad de evidencias consta en el anexo a esta Propuesta de Resolución) constata que los encargados y subencargados no han utilizado para realizar las acciones de mercadoctecnia por cuenta y en nombre de VDF numeraciones previamente filtradas con los listados de exclusión publicitaria ni han tenido en cuenta los derechos de oposición previamente ejercidos por los afectados, bien ante la propia VDF o bien ante las entidades encargadas o subencargadas cuando actúan en nombre y por cuenta de VDF. Tampoco consta que en las acciones de mercadoctecnia a través de llamadas telefónicas VDF disponga de control adecuado que le permita validar la posibilidad de ejercer el derecho de oposición al interesado, pues VDF se limita a facilitar a los encargados una determinada leyenda sin que exija garantías de su efectiva lectura a los afectados. VIGÉSIMO CUARTO. En el anexo de la presente Resolución figuran el listado completo y detallado de todas las reclamaciones tenidas en cuenta en la valoración de los hechos imputados en este procedimiento.> TERCERO: VODAFONE ESPAÑA, S.A.U. (en lo sucesivo el recurrente) ha presentado en fecha 12 de marzo de 2021, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en los siguientes términos:
5. Infracción del artículo 90.1 de la Ley 39/2015, de PACAP.
6. Errónea aplicación del artículo 28 del RGPD.
7. Inexistencia de una transferencia internacional de datos.
8. Alcance de la infracción sancionada y desproporción de la sanción impuesta.
9. Los hechos imputados no son constitutivos de la infracción prevista en el artículo 77.37 de la LGT.
10. Las medidas ordenadas a VDF carecen de la preceptiva concreción.
11. Otrosí primero, se interesa la práctica de la prueba denegada en el procedimiento sancionador consistente en que se conceda plazo para la aportación “de un informe de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/79 valoración por terceros independiente de la efectiva implantación y eficacia del sistema de enrutamiento implantado por VDF, que fue solicitada en el Otrosí del escrito de alegaciones a la Propuesta de Resolución.
12. Otrosí segundo, que al amparo de lo dispuesto en el artículo 117 de la Ley 39/2015, de PACAP, se interesa la suspensión cautelar de la Resolución recurrida durante la tramitación del presente recurso. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la Resolución recurrida, tal como se transcribe a continuación: << II En cuanto a las alegaciones presentadas al acuerdo de inicio, ya fueron contestadas e la Propuesta de Resolución, en síntesis, en los siguientes términos:
13. En los expedientes notificados se incluyen afectados que son personas jurídicas. Como ya se ha indicado, se han excluido de valoración 29 reclamaciones por las razones que se propusieron sin que se encuentren en el anexo las relativas a personas jurídicas y las referenciadas en las alegaciones de VDF de fecha 1/12/
14. Debe añadirse ahora, que el ámbito de aplicación de la LGT y LSSICE incluye las personas jurídicas y, si se han excluido de valoración 29 expedientes, no ha sido por este motivo.
15. La exposición de hechos en el Acuerdo de Inicio dificulta en extremo analizar y realizar un examen detallado pudiendo menoscabar el derecho a la legítima defensa. Los términos del acuerdo de inicio se ajustan a lo dispuesto en el artículo 64 de la Ley 39/2015, de 1 de octubre, de Procedimiento administrativo común de las Administraciones Públicas. En este sentido, señalar que VDF no ha solicitado práctica de prueba alguna tras el acuerdo de inicio pudiendo haberlo solicitado si realmente considera que menoscaba su derecho a la legítima defensa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/79 A mayor abundamiento, VDF no explicita ni acredita en qué se ha menoscabado su derecho a la legítima defensa y cuál es el perjuicio real y efectivo que se le ha producido. Máxime cuando los hechos nos muestran que ha podido alegar tras el acuerdo de inicio y a lo largo de todo el procedimiento administrativo todo lo que a su derecho convenía, realizado, todo tipo de alegaciones con un volumen importante tanto en sus razonamientos como en su cantidad (incluyendo también, en tal consideración el elevado número de páginas de los documentos presentados por VDF). También ha podido aportar toda la documentación que ha considerado relevante y necesaria. La defensa real y efectiva del reclamado ni tan siquiera se ha mermado en ningún momento. Debemos traer a colación, por todas, la Sentencia de la Audiencia Nacional, de 22 febrero 2019 (RJCA 2019/63), en la que recogiendo asimismo diversa jurisprudencia del Tribunal Constitucional, se afirma taxativamente que “en consecuencia, fuera de los supuestos de nulidad de pleno derecho sólo tienen alcance anulatorio aquellas infracciones del procedimiento, que hayan dejado al interesado en una situación de indefensión real o material por dictarse una resolución contraria a sus intereses sin haber podido alegar o no haber podido probar ( SS.TC. 155/1988, de 22 de julio (RTC 1988, 155), FJ 4; 212/1994, de 13 de julio (RTC 1994, 212), FJ 4; 137/1996, de 16 de septiembre (RTC 1996, 137) , FJ 2; 89/1997, de 5 de mayo (RTC 1997, 89) , FJ 3; 78/1999, de 26 de abril (RTC 1999, 78) , FJ 2, entre otras). […] Ahora bien, no se produce indefensión a estos efectos, tal y como declara la Sentencia del Tribunal Supremo de 11 de octubre de 2012 (RJ 2012, 11351) -recurso nº. 408/2010 -, " si el interesado ha podido alegar y probar en el expediente cuanto ha considerado oportuno en defensa de sus derechos y postura asumida, como también recurrir en reposición, doctrina que se basa en el artículo 24.1 CE (RCL 1978, 2836) , si hizo dentro del expediente las alegaciones que estimó oportunas" ( S.TS. 27 de febrero de 1991), "si ejercitó, en fin, todos los recursos procedentes, tanto el administrativo como el jurisdiccional" ( S.TS. de 20 de julio de 1992). […] En definitiva, la parte actora no concreta qué indefensión material le han producido los supuestos vicios procedimentales denunciados, y en cualquier caso, la ANC ha podido alegar y probar, tanto en vía administrativa previa como en esta vía judicial, cuanto ha estimado conveniente en defensa de sus derechos e intereses legítimos, por lo que ninguna vulneración de su derecho de defensa (artículo 24.2 CE)”. Asimismo, la Sentencia de la Sala de lo Contencioso-Administrativo, Sección 1ª, de la Audiencia Nacional de Audiencia Nacional de 8 de abril de 2019 (RJCA\2019\466), ratifica que la indefensión ha de ser material, traduciéndose en un perjuicio real y efectivo, puesto que “A tal efecto y con carácter general, ha de traerse a colación la doctrina del Tribunal Constitucional según la cual, para apreciar la existencia de lesión constitucional, no basta la existencia de un defecto procedimental, sino que es igualmente necesario que éste se haya traducido en indefensión material, esto es, en un perjuicio real y efectivo, nunca potencial y abstracto, de las posibilidades de defensa en un procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de enero y 1/2000, de 17 de enero , entre otras muchas) . Concepto de indefensión con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/79 relevancia constitucional que, en cualquier caso, no coincide necesariamente con cualquier indefensión de carácter meramente procesal ni menos con cualquier infracción de normas procesales, sino que requiere, como condición indispensable, que la imposibilidad de alegar y probar los propios derechos e intereses y rebatir las alegaciones de contrario hayan producido un real y efectivo menoscabo del derecho de defensa de la parte, un perjuicio de índole material. Sin que exista indefensión material si, a pesar de haberse producido algún quebrantamiento procesal, las partes han podido defender sus derechos e interés legítimos (STC 27/2001 de 29 de enero)”.
16. La diligencia debida en los términos del art 28 del RGPD hace referencia solo a la fase de contratación con el encargado y no debe entenderse respecto del seguimiento posterior del contrato. Se contesta en los siguientes fundamentos de derecho
17. Los proveedores contratados por VDF del departamento interno de televenta han superado un proceso previo de validación y son sometidos a procesos de auditoria en las que se justifica las medidas técnicas y organizativas con las que cuentan para el desarrollo del servicio contratado. El proceso selectivo se entidades encargadas se limita a un checklist inicial, sin que conste evaluación posterior del encargo contratado, tal y como se señala en fundamentos de derecho posteriores. En la Inspección presencial, se constató que (página 11 de la presente Resolución), respecto al segundo escenario, los Distribuidores/Colaboradores/Agentes venden a través de stands en comercios y en la calle, que a su vez también llegan a <<acuerdos con otras agencias de televenta y comerciales>> (subencargados del tratamiento por cuenta y en nombre de VDF) para la realización efectiva de llamadas telefónicas y que gestionan <<sus propios listados>> de números de teléfono de potenciales clientes. Estas <<otras agencias de televenta y comerciales>> subcontratadas no se someten a un proceso de homologación previo -como hacen las adscritas a la plataforma de TVTA- sino que en la actualidad se sigue trabajando con las que ya prestaban el servicio en ONO antes de la fusión con VDF (en fecha 10/01/2018) y no consta que se hayan verificado los medios técnicos y organizativos de los que disponen. Se debe señalar que la decisión por VDF de seguir en la actualidad trabajando con las entidades encargadas del tratamiento que ya prestaban el servicio en ONO antes de la fusión con VDF (en fecha 10/01/2018), acredita que la responsable de dichos tratamientos es VDF. En estos casos, VDF desconoce la identidad de las entidades (otras agencias de televenta y comerciales) subcontratadas por el Distribuidor/Colaborador/Agente y desconoce las garantías de índole técnico u organizativo con las que cuentan. La información relativa a la identidad de estas entidades subcontratadas debe constar en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/79 el anexo al contrato (subcontrato) establecido al efecto, pero sólo consta una vez realizada la subcontratación, es decir, VDF desconoce previamente la cualificación técnica y organizativa y la identidad de estas entidades subcontratadas así como su capacidad para el cumplimiento a la normativa vigente. De las cláusulas del contrato tipo denominado “Canal Presencial 2019-2020” (por ejemplo, con CASMAR de 1 de mayo de 2019) suscrito entre VDF y las entidades adscritas a la plataforma de TVTA, figura la obligación de comunicar previamente a VDF la lista de subencargados del tratamiento por cuenta de VDF que van a utilizar los distribuidores/colaboradores/agentes. Esta comunicación se recoge, entre otras, en las cláusulas 5 (recursos) y 6 (características de la actividad) del citado contrato (se incluye en el expediente). Sólo en las cláusulas 13.4 y 13.5 del citado contrato se hace referencia a la obligatoriedad del cumplimiento de la normativa de protección de datos en los siguientes términos: “… sin perjuicio de las obligaciones asumidas por el COLABORADOR en cumplimiento de la legislación de Protección de Datos vigente en cada momento…” (sic). En la cláusula 13.6 se afirma de forma expresa que el “colaborador tendrá la consideración de encargado del tratamiento debiendo formalizar el Acuerdo estándar de tratamiento de datos que se adjunta como anexo IV…”. Sin embargo, esta comunicación a VDF de las entidades subcontratadas tiene un carácter declarativo a posteriori y no está sujeto a aprobación previa por VDF ni consta reflejada la posibilidad del ejercicio de los derechos de los interesados. La finalidad de esta declaración, según manifiesta VDF, es fundamentalmente para disponer de información cuando se detecte una mala praxis.
18. Respecto de los proveedores externos usando bases de datos propias: estos proveedores no actúan en calidad de encargados del tratamiento sino como responsables de sus propias bases de datos ya que estos datos personales son recopilados en nombre del proveedor y no en el de VDF. Se contesta en los siguientes fundamentos de derecho
19. Respecto de los proveedores externos usando bases de datos facilitadas por VDF: VDF cumple en la contratación con los encargados todos los requisitos establecidos en el art 28 del RGPD y estos prestadores reúnen las condiciones para dar cumplimiento a sus obligaciones, no existiendo falta del deber de diligencia por lo que no procede poner en duda la ejecución efectiva de las obligaciones contractualmente asumidas. Se contesta en los siguientes fundamentos de derecho
20. Respecto de regulación del contrato entre responsable y el encargado de las subcontrataciones realizadas por parte del encargado, en la Guía de la AEPD se aconseja la aplicación de determinadas cláusulas como la utilizada por VDF. En dichas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/79 cláusulas de indica que corresponde al encargado inicial regular la nueva relación y con los mismos requisitos formales que con el responsable. En la Guía aludida se trata de resumir las condiciones iniciales que deben reunir las contrataciones entre responsable y encargado, sin perjuicio del seguimiento que el responsable debe realizar para evaluar el efectivo cumplimiento de las cláusulas suscritas. Se ha de considerar que la Guía contiene orientaciones que deben adaptarse a cada supuesto concreto, ya que la guía citada advierte expresamente que “Este documento tiene como objetivo identificar los puntos clave a tener presentes en el momento de establecer la relación entre el responsable del tratamiento y el encargado del tratamiento, así como identificar las cuestiones que afectan de forma directa a la gestión de la relación entre ambos. Asimismo, pretende ofrecer orientaciones, a modo de recomendación, para confeccionar el documento que regule dicha relación”. En idéntico sentido, se advierte expresamente que su Anexo I al recogerse un ejemplo de lo que podría ser el contrato de encargado de tratamiento, que “Estas cláusulas tienen sólo carácter orientativo y deben adaptarse a las circunstancias concretas del tratamiento que se lleve a cabo”; de tal forma que, a lo largo de la Guía y por múltiples vías se pone de manifiesto de manera indubitada que se trata de orientaciones, que no eximen al responsable del tratamiento de realizar el contrato de tratamiento acorde al RGPD en relación con las circunstancias concurrentes en cada supuesto individual concreto.
21. La necesidad de autorización expresa previa de los subencargados no es un requisito obligatorio, sino que el art 28.2 indica que el encargado debe informar al responsable y, en su caso, éste autorizar dando así al responsable la opción de oponerse. Este aspecto no se contempla en la Guía de la AEPD (opción B). El artículo 28.2 del RGPD indica que “El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios”. Esto implica que se requerirá autorización previa y por escrito para que el encargado del tratamiento pueda recurrir a otro encargado. Y que dicha autorización puede ser específica (con indicación de la entidad subcontratada) o general. Sólo en este último supuesto, ya existiendo autorización general por parte del responsable del tratamiento, es cuando se ha de informar de cambios en la incorporación o sustitución de otros encargados, respecto de la cual, además, puede oponerse el responsable del tratamiento (por ejemplo, si no reúne las medidas técnicas u organizativas que se fijaron en la autorización general). De lo anterior, se concluye que la autorización previa siempre es obligatoria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/79 La autorización previa a la subcontratación de encargados debe evaluar, en todo caso y entre otras cuestiones, las condiciones técnicas y organizativas con las que cuenta el encargado del tratamiento para llevar a cabo el contrato. Tal y como está configurada en el artículo 28.2 del RGPD no es una simple comunicación de índole formal, sino que constituye un verdadero requisito material de cumplimiento del RGPD.
22. Según la DT5ª de la LOPDGDD, los contratos previos al 25/05/2018 mantendrán su vigencia hasta el 25/05/2022, por lo que su contenido no puede ser exigible al no ser de aplicación. La Disposición transitoria 5ª de la LOPDGDD determina que “Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 al amparo de lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y en caso de haberse pactado de forma indefinida, hasta el 25 de mayo de
23. Durante dichos plazos cualquiera de las partes podrá exigir a la otra la modificación del contrato a fin de que el mismo resulte conforme a lo dispuesto en el artículo 28 del Reglamento (UE) 2016/679 y en el Capítulo II del Título V de esta ley orgánica”. La Disposición transitoria 5ª de la LOPDGDD permite “mantener la vigencia” de los contratos de encargado de tratamiento suscritos con anterioridad a la aplicación del RGPD. Se refiere únicamente a la vigencia del contrato. Ello es así porque en cumplimiento de la propia responsabilidad proactiva por el responsable del tratamiento, precisan de su adaptación material al RGPD. Las obligaciones dimanantes del texto legal han de cumplirse desde la plena de aplicación del mismo en mayo de
24. Pues bien, esta Disposición también hace referencia a la modificación del contrato para que resulte conforme a lo dispuesto en el artículo 28 del RGPD. Como hemos indicado, podemos entender que tal modificación se constriñe al contenido formal del artículo 28 del RGPD, permitiendo a cada una de las partes exigir a la otra la modificación del contrato a fin de cumplir con el precepto citado. Pero no afecta a la aplicación de los principios y obligaciones materiales del RGPD ya que se trata de una norma con efecto directo de carácter imperativo y ninguna previsión podría ir en contra de este carácter. Por tanto, la vigencia de los contratos de encargado del tratamiento hasta el 25/05/2022 se mantendrá siempre que su contenido se ajuste a los principios dispuestos en el RGPD y a la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/79
25. El control exhaustivo del responsable sobre los encargados impediría “que puedan marcar un número de teléfono no autorizado”, habiendo tenido VDF la diligencia razonable. El control del responsable del tratamiento sobre el encargado deberá ser el razonable y adecuado durante todo el desarrollo del contrato y en el presente caso constan afectados los derechos y libertades de los interesados de forma reiterada sin que VDF haya adoptado medidas correctoras adecuadas a fin de evitar infracciones como las ahora analizadas.
26. No se ha tenido en cuenta los esfuerzos técnicos realizados por parte de VDF para implementar mejoras en fase de desarrollo, que resultaron acreditadas en el momento de la inspección presencial por parte de la AEPD, minusvalorándose el esfuerzo técnico en desarrollo. Los esfuerzos técnicos realizados por VDF para evitar reclamaciones ante la AEPD no constan que haya sido implantados a día de hoy.
27. Los datos de contacto para acciones de telemarketing puestos a disposición de los proveedores por parte de VDF han sido contrastados previamente con los datos contenido en los listados Robinson internos y de ADigital y se especifica el tiempo de uso para evitar datos desactualizados. Los datos de los interesados objeto de acciones publicitarias no han sido contrastados con los listados de exclusión publicitaria y derechos de oposición, en especial cuando se han ejercido ante encargados o subencargados y no se han comunicado al responsable ni éste haya obligado a su comunicación, en especial en cuanto a acciones publicitarias que parten de numeraciones aleatorias.
28. Los datos objeto de tratamiento solo pueden ser tratados por las entidades encargadas conforme a las instrucciones de VDF que rigen el contrato, en el que se establecen claramente las condiciones en que deben realizarse los tratamientos de los datos personales. No consta por parte de VDF el seguimiento de la ejecución de los contratos suscritos con los encargados en nombre y por cuenta del responsable.
29. VDF solicita a los proveedores que le comuniquen todas las oposiciones que puedan producirse durante las acciones de telemarketing. No consta que VDF requiera a los encargados que le comuniquen los derechos de oposición ejercidos por los interesados y haya desplegado medios técnicos y organizativos que permitan tenerlos en cuenta en posteriores campañas publicitarias.
30. Los datos personales de las bases de datos del proveedor no son transferidos en ningún momento a VDF. Solo tras la contratación del servicio se incluyen en el sistema de información de VDF. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/79 Los datos personales objeto de tratamiento por los encargados se realizan en nombre y por cuenta de VDF como entidad responsable con independencia de que se encuentren incluidos en su sistema de información.
31. Tras la contratación se procede a validar esta tras una llamada de control de calidad. La llamada de control de calidad se realiza una vez efectuada la contratación del servicio ofrecido en nombre de VDF, circunstancia que queda al margen del presente procedimiento.
32. VDF ha implementado medidas complementarias para garantizar un control pormenorizado de la actividad de los proveedores de servicios cuando usan sus propias bases de datos. Dicho control se estimaba que esté operativo en enero de 2020 (nuevo sistema de enrutamiento a través de la troncal de VDF). No consta que VDF haya implantado medidas técnicas y organizativas para garantizar un control pormenorizado de la actividad de los encargados que actúan por cuenta y en nombre de VDF a partir de enero de
33. Ejemplo de reclamaciones posteriores (enero y febrero de 2020) son, entre otras, las siguientes: 22/01/2020 E/02252/2020 A.A.A. 23/01/2020 E/02255/2020 B.B.B. 24/01/2020 E/02262/2020 C.C.C. 25/01/2020 E/02263/2020 D.D.D. 27/01/2020 E/02266/2020 E.E.E. 28/01/2020 E/02269/2020 F.F.F. 03/02/2020 E/02271/2020 G.G.G. 03/02/2020 E/02274/2020 H.H.H.
34. La infracción imputada del art 21 de la LSSICE, no procede toda vez que la licitud de los tratamientos se basa en el interés legítimo, tal y como señala el Considerando 47 del RGPD y así lo reconoce la AEPD en su informe 0173/
35. La LSSICE requiere en el artículo 21 autorización expresamente autorizada para comunicaciones publicitarias electrónicas, y en el presente caso no consta.
36. VDF en todo momento permite al interesado a oponerse a recibir comunicaciones, por lo que no procede imputar infracción del artículo 38.3.d). No consta que tanto VDF como los encargados y subencargados que actúan en nombre y por cuenta de VDF dispongan de las medidas técnicas y organizativas que permitan llevar a cabo el derecho de oposición ejercido por el interesado puesto que consta la reiteración de acciones publicitarias tras el ejercicio de tal derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/79
37. Las reclamaciones relativas a la LSSICE son una minoría y dista mucho del total de reclamaciones presentadas. Consta en el anexo a esta Propuesta que el número de reclamaciones por infracción a la LSSICE ascienden a veinticuatro

(24)de las 162 tenidas en cuenta en la presente Resolución. 21. Respecto de las infracciones relativas a la LGT, VDF facilita siempre la posibilidad de ejercitar el derecho de oposición al interesado, según consta en el art 48.1.

1. b)de dicha norma. También consta que VDF filtra previamente con los listados de exclusión publicitaria antes de facilitar datos de potenciales clientes a los proveedores. Y cuando las bases de datos son externas “no es posible impedir materialmente la realización de una llamada” (sic) si bien se están implantado medidas de control basado en tecnología VozIP que impiden llamar a numeraciones incluidas en listados de exclusión publicitaria. La alegación no puede ser aceptada toda vez que tal y como consta en hechos probados y en el anexo adjunto se han realizado acciones publicitarias por cuenta y en nombre de VDF de forma reiterada aun encontrándose el interesado en la relación de exclusiones publicitarias o habiendo ejercido previamente su derecho de oposición a tales acciones, en contra de los dispuesto en el artículo 48.1.
2. b)de la LGT. 22. La AEPD parece sancionar por recibir reclamaciones sin verificar los hechos descritos en las mismas y concluir de forma automatizada que estas se corresponden con acciones ilegítimas y contrarias al ordenamiento jurídico y, por tanto, adoptando estas decisiones en contra del principio onus probandi que rige el derecho sancionador. Consta en la documentación del expediente notificada a VDF en marzo de 2020 razones suficientes para enervar la presunción de inocencia toda vez que la propia VDF en sus contestaciones a los requerimientos de información de esta AEPD manifiesta su error y procede a corregir puntualmente informando al reclamante. No obstante, esta conducta infractora y posterior adopción de medidas supuestamente correctoras se reiteran de forma permanente, y en ocasiones constan hasta tres reclamaciones posteriores de un mismo afectado tras ser “supuestamente” atendido el derecho de oposición ante VDF 23. La cuantificación de las sanciones es desproporcionada, y no cabe sostener que la conducta de VDF es un incumplimiento reiterado y permanente, pues solo podrían verse afectadas 191 interesados de los 200 millones de acciones comerciales llevadas a cabo por VDF. Respecto a la graduación y cuantificación final de las sanciones propuestas se debe señalar que, sin perjuicio de las nuevas cuantías señaladas en el RGPD y criterios de graduación aplicados, y solo a efectos comparativos con la derogada LOPD, la cuantía sería muy superior a la actual propuesta. En concreto, y solo a efectos comparativos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/79 con la LOPD, ahora se imputan ciento cuarenta y una

(141)infracciones al RGPD que supondrían de forma separada y aplicando la LOPD, una cantidad próxima a los seis millones de euros, considerando cuantía mínima (40.001 €). En el mismo sentido las ciento veinticuatro

(124)infracciones a la LGT y las veinticuatro

(24)a la LSSICE, en las que se ha ponderado las cuantías también de forma conjunta. A mayor abundamiento, respecto de la alegación de que “solo podrían verse afectadas 191 interesados de los 200 millones de acciones comerciales llevadas a cabo por VDF”, se ha de señalar que, como puede ser el caso en el presente procedimiento, de la confluencia de varias reclamaciones de personas individuales afectadas se ponga de manifiesto una actuación del responsable que con carácter general (esto es, no sólo en los casos concretos presentados por los reclamantes) de la que resulte que dichos casos concretos son el reflejo de una pauta o política común aplicada a todas aquellas personas afectadas que estén en el mismo caso que los interesados y que no estén reclamando ni ante VDF ni ante la AEPD. De las reclamaciones presentadas se infiere patrón de conducta en el tratamiento de los datos personales en relación con las operaciones de marketing de VDF (que incluye la negligencia grave en su actuación y la inacción) que impacta directamente, y de manera general e indiscriminada, en los derechos y libertades de los ciudadanos. 24. Constan infracciones prescritas como la referida al E/07180/2019 y otras en las que no se han aportado evidencias de infracción (E/01119/2019 y E/02809/2019). Los expedientes aludidos en la alegación no constan entre los ciento sesenta y dos

(162)valorados en la presente Resolución. 25. En general el Acuerdo de inicio carece de motivación suficiente que sustente la imputación a VDF de las infracciones que relaciona que es una garantía contra la conducta arbitraria proscrita en la C.E. La motivación se exige por mor del art. 35 de la LPACAP, estableciendo el Tribunal Supremo una serie de elementos deben concurrir para que esta sea adecuada. Así, la motivación tiene un carácter finalista, esto es, que se cumpla con la exigencia legal de explicar o exteriorizar el núcleo de la decisión administrativa, a partir de la cual el interesado pueda desplegar sus medios de defensa. Tal y como determina la Sentencia de la Sala de lo Contencioso-Administrativo, Sección 1ª, de la Audiencia Nacional de 13 de septiembre de 2019, “La exigencia de la motivación de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001 , a la finalidad de que el interesado pueda conocer con exactitud y precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/79 control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Todo ello sin perjuicio de la lógica discrepancia de quien obtiene una resolución desfavorable a sus intereses, lo que no constituye falta de motivación, porque su derecho no alcanza a la concesión de lo pedido, ya que nadie tiene derecho a que le den la razón, sino a que la decisión que se le brinda ofrezca la explicación necesaria para que el administrado pueda conocer con exactitud y precisión el contenido del acto>>”. La motivación puede ser breve y sucinta, mas siempre suficiente de tal forma que permita al interesado conocer las razones decisorias administrativas (STS de 15 de diciembre de 1999). Para que la motivación sea suficiente debe ser concreta, esto es, que haga referencia al caso particular discutido en el específico procedimiento administrativo (STS de 23 de septiembre de 2008) y congruente con el contenido decisorio. Si la decisión administrativa lleva aparejado el ejercicio de potestades discrecionales, es preciso que se explicite el proceso lógico que determine tal decisión (STS de 15 de diciembre de 1998). En cuanto a la falta de motivación del acuerdo de inicio, motivo por el que se alega arbitrariedad en la actuación de esta AEPD, se debe señalar que constan suficientemente razonadas en el acuerdo de inicio las infracciones imputadas con base en la documentación que obra en el expediente y que tiene su origen tanto en la inspección presencial efectuada (cuya documentación conoce VDF) en la sede de VDF como en la adjunta en las reclamaciones de los afectados y que figura en el expediente. En el mismo sentido, la infracción ahora imputada de Transferencia Internacional sin las adecuadas medidas exigidas en el RGPD, también se encuentra documentada y acreditada de las propias manifestaciones de VDF en la documentación facilitada a esta AEPD. Del examen del expediente administrativo y de las diversas resoluciones dictadas en su seno, se revela con claridad, de forma amplia y razonada, concreta y congruente, el porqué de la decisión administrativa, cumpliendo más que suficientemente con las prescripciones fijadas por la Ley. III Respecto de las alegaciones presentadas a la práctica de pruebas y el segundo envío de expedientes al objeto de subsanar deficiencias en la documentación inicialmente notificada, se resumen en lo siguiente: 1.- Dos de los expedientes remitidos corresponden a una misma reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/79 2.- Siete de los expedientes remitidos no se encontraban mencionados en el primer envío. 3.- De las 264 numeraciones telefónicas solicitadas a Adigital para su comprobación en listado Robinson, 33 no constan de alta, 4 son de fecha posterior, 1 corresponde a un procedimiento archivado, 1 corresponde a un proveedor y no a un reclamante, 1 no consta recibidas llamadas comerciales y 1 no se corresponde con VDF como entidad reclamada. En primer lugar, en las alegaciones vertidas por VDF en fecha 1/12/2020 no se detallan los procedimientos a los que hace referencia. No obstante, se significa que hay varias reclamaciones que conforman expedientes distintos de un mismo reclamante, toda vez que por los mismos hechos han formulado varias reclamaciones sucesivas al continuar realizándose por VDF los hechos ahora imputados. En segundo lugar, se debe señalar que de las iniciales 191 reclamaciones que dieron origen al presente procedimiento se han suprimido de valoración, aceptando parcialmente las alegaciones de VDF de fecha 1/12/2020, veintinueve reclamaciones

(29)por diversos motivos, como no constar la inclusión de las numeraciones en plazo en los listados de exclusión publicitaria o ejercicio previo de derechos, así como la falta de numeración de llamada emisora, entrante o fecha de la actividad publicitaria, o que las reclamaciones iban dirigidas a entidades diferentes a VDF (en dos casos). Sin embargo, si se valoran aquellas otras en las que la propia VDF confirma en sus propios escritos de contestación a los requerimientos de la AEPD que el reclamante se encontraba incluido en los listados de exclusión publicitaria o que había ejercido previamente el derecho de oposición ante VDF, y que obran en el expediente. Hay que añadir, que en el Anexo de expedientes notificado es cierto que figuran en ocasiones diversos expedientes en los que alguno de ellos no pertenece al presente procedimiento. En este sentido, se debe aclarar que tal circunstancia se debe a que se han indicado también, junto al expediente concreto objeto de valoración en el presente procedimiento, aquellos otros previos -a modo indicativo y sin que se sumen a los ahora valorados- y con el mismo reclamante por los mismos hechos y ya resueltos por Resolución de esta Agencia conforme al artículo 65 de la LOPDGDD, lo que permite acreditar la falta de medidas técnicas y organizativas continuadas en el tiempo en cuanto a la atención de los derechos ejercidos por los afectados. Se puede resumir en que también se han indicado (sin que se sumen a los ahora valorados) las reincidencias infractoras tras resoluciones de esta Agencia en tutela de los derechos oposición/cancelación ejercidos previamente por el mismo reclamante ante VDF. En las alegaciones vertidas por VDF en fecha 1/12/2020 no se detallan los procedimientos a los que hace referencia. Todo ello muestra el patrón de comportamiento, al que anteriormente hacemos mención, en relación con las obligaciones de protección de datos que corresponden a VDF. En cuanto a los 14 números remitidos a Adigital en la práctica de pruebas que VDF alega están repetidos, se debe señalar que, si bien no se indican cuáles son, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/79 corresponden a reclamaciones que parten del mismo número de teléfono receptor de la llamada indebida, por lo que no afecta a los hechos ahora valorados. Alega VDF que otros 49 números no se encuentran en el expediente, sin señalar cuales, por lo que no es posible su análisis. VDF añade que 33 números del listado de práctica de pruebas no constan de alta en Robinson, sin indicar cuales. Al respecto, ya se ha indicado y así consta en el expediente, que VDF en sus propias contestaciones a los requerimientos de esta AEPD afirmaba que se encontraban incluidos en Robinson. El resto de alegaciones se refieren a otros 4 números de teléfono receptores de llamadas, que no indica cuales. Por último, si bien estas alegaciones se refieren a aspectos meramente formales y sin indicar su referencia, se insiste que en adelante solo se tomarán en cuenta para su valoración en el presente procedimiento las reclamaciones ante la AEPD que figuran en el citado anexo (162 reclamaciones), habiéndose eliminado del Anexo aquellas reclamaciones/expedientes que presentaban defectos, incluso formales. IV Respecto de las alegaciones presentadas a la Propuesta de Resolución se resumen según lo arriba indicado en el antecedente quinto, en lo siguiente: 1. Previa: Reiteración de las alegaciones presentadas. 2. Primera: Argumentos en contra de los Hechos Probados. 3. Segunda: Relativa a los expedientes de referenciados en el procedimiento sancionador. requerimiento de información 4. Tercera: Rechazo por parte de la AEPD de las alegaciones presentadas por Vodafone. 5. Cuarta: Presunto incumplimiento del artículo 24 RGPD. Consideración de Vodafone como responsable de tratamiento y responsabilidad de Vodafone. 6. Quinta: Presunto incumplimiento del artículo 28 RGPD. Supuesta falta de control real, continuo, permanente y auditado de los tratamientos realizados por los encargados. 7. Sexta: Presunto incumplimiento Internacionales de datos. del artículo 44 RGPD. Transferencias 8. Séptima: Presunto incumplimiento del artículo 21 LSSICE. Envío de comunicaciones comerciales sin consentimiento y a destinatarios que se han opuesto a dicho tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/79 9. Octava: Presunto incumplimiento de la Ley General de Telecomunicaciones (LGT). Supuesta no atención del derecho de oposición a no recibir comunicaciones comerciales. Como cuestión previa a contestar a las alegaciones, y respecto del bloque documental aportado por VDF, señalar que se compone de una serie de documentos entre los que se encuentran una “propuesta para VODAFONE el servicio de DESARROLLO Y HOSTING para control de robinsones en área Door to Door, siguiendo sus instrucciones en base al Servicio de Gestión de lista Robinsones 2020”, fechado el 17 de agosto de 2020. Tal documento se encuentra sin firmar entre las partes (página 20 de la citada documentación), de tal forma que no se nos acredita que efectivamente tal propuesta se encuentre implantada. Asimismo, también aportan un contrato de prestación de servicios del canal presencial entre VDF y CASMAR que parece que presentan como nuevo modelo a suscribir con sus proveedores. Este contrato, aunque cumplimentado con los datos de las partes, tampoco se encuentra ni fechado ni firmado. Tampoco acredita que ese contrato se esté ejecutando en este momento ni, en su caso, cuáles son las específicas garantías implantadas sobre los derechos de los afectados con las que se está llevando a cabo. Tales documentos no prueban la instauración y funcionamiento presente del sistema que dicen haber implantado (que denominan “enrutamiento”), ni tan siquiera corroborado por los pantallazos que presentan en la documentación. Además, a la fecha continúan incoándose procedimientos sancionadores por los mismos hechos como consecuencia de las reclamaciones presentadas ante esta AEPD. El responsable del tratamiento, derivado de su responsabilidad proactiva, debe de acreditar que ha cumplido, que cumple y que va a cumplir con lo dispuesto en el RGPD y LOPDGDD. Y para acreditar que cumple en la actualidad no bastan meros documentos de parte, borradores; se desconoce fehacientemente si ha llevado a efecto su contenido. La acreditación del cumplimiento debe producirse a través de un certificado de la propia empresa o con la aportación de los antedichos documentos con plena validez jurídica (arts. 1254, 1258 y 1261 del Código Civil). En relación con esto, el Informe 0064/2020 del Gabinete Jurídico de la AEPD atribuye al responsable del tratamiento, dentro de las obligaciones de la responsabilidad proactiva, la carga de “…garantizar la protección de dicho derecho mediante el cumplimiento de todos los principios recogidos en el artículo 5.1 del RGPD, documentando adecuadamente todas las decisiones que adopte al objeto de poder demostrarlo”. Sin perjuicio de lo antedicho, no podemos obviar que el hecho de que estén implantando este nuevo sistema nos indica que con anterioridad no lo estaban llevando a cabo, que los colaboradores de VDF no contrastaban con la Lista Robinson, la lista Robinson interna de VDF ni con la lista Robinson interna de los colaboradores; y que VDF tampoco controlaba el proceso de contraste, ósea, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/79 desconocía si sus colaboradores estaban cumpliendo con sus instrucciones y con la normativa de protección de datos. Recordemos que VDF tiene la obligación de controlar el tratamiento de sus colaboradores como si lo hiciera él mismo, implantando todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen el cumplimiento de sus instrucciones y el cumplimiento de la normativa de protección de datos. En los documentos nuevos aportados, siguen con idéntico planteamiento del que han mantenido a lo largo del procedimiento en cuanto a los encargados del tratamiento. Esto es, indican en tal documentación que los colaboradores con quienes contratan llaman en nombre y por cuenta de VDF para ofrecer productos de VDF: “Que, por lo anterior, el ámbito de este contrato de prestación de servicios es la promoción door-todoor de los Servicios en nombre y por cuenta de VODAFONE-ES y de VODAFONEONO” (página 24 de la documentación aportada). Sin embargo, les obligan a presentarse en su propio nombre y como responsables del tratamiento: “Asimismo, el COLABORADOR dispondrá de sus propias bases de datos de potenciales clientes que deberán cumplir con los requisitos establecidos por la normativa aplicable en materia de protección de datos y a los que ofrecerá los servicios de VODAFONE en el caso de que los mismos muestren su interés. Por ello, el COLABORADOR deberá presentarse ante dichos potenciales clientes en su propio nombre, como responsable del tratamiento de los mismos, cumpliendo con la normativa aplicable en materia de protección de datos personales” (página 30 y 31 de la documentación aportada). Si los colaboradores usan sus propias bases de datos, entonces VDF los considera responsables del tratamiento hasta que se tenga que validar la venta. No obstante, lo anterior, VDF tiene acceso a dichas bases de datos mediante la información que los números de teléfono que sus colaboradores utilicen: “El COLABORADOR deberá informar a VODAFONE en todo momento de todos aquellos números de teléfono que tanto el COLABORADOR como sus terceros colaboradores utilicen para contactar con Clientes o posibles Clientes de VODAFONE en el desarrollo de la actividad objeto del presente contrato. En este sentido, la utilización de números de teléfono no informados previamente a VODAFONE será entendido como un incumplimiento del contrato” (página 33 de la documentación aportada). Podemos observar una clara incongruencia entre estas manifestaciones, lo que redundará en una indefinición de quién es el responsable y encargado del tratamiento entre las partes, pudiendo, asimismo, transmitir una información confusa al cliente o posible cliente sobre quién es el responsable del tratamiento. Lo cierto es que VDF es la responsable del tratamiento, puesto que, aunque las bases de datos no sean propias de VDF, la mercantil las controla suministrando instrucciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/79 para realizar los tratamientos como si fueran propias en el marco de un contrato en el que el colaborador actúa y trata datos personales por cuenta y en nombre de VDF. Mención especial hay que hacer respecto de los correos electrónicos intercambiados por VDF y sus colaboradores y que han sido aportados con esta documentación. En un correo electrónico de fecha 30 de julio de 2019 VDF indica a CASMAR, cuando utilicen sus propias bases de datos, que “Por otro lado, en el caso de que realicen llamadas utilizando sus propias bases de datos, no facilitadas por Vodafone deberá asegurarse de: - Que cuentan con la aprobación previa y expresa de Vodafone para realizar dichas llamadas. - Que disponen de los datos de forma lícita, informando y obteniendo el consentimiento de los titulares para poder realizar acciones comerciales en nombre de Vodafone. Les recordamos que está prohibido el uso de bases de datos con fines de captación en nombre de Vodafone que no cumplan este requisito. - Filtrar sus bases de datos con las listas Robinson públicas, por ejemplo la gestionada por ADigital, con carácter previo al inicio de la campaña. - No utilizar medios de comunicación que no hayan sido consentidos por los destinatarios de la campaña”, (página 54 de la documentación aportada). Así se pone de manifiesto que realizan acciones comerciales en nombre de VDF. El colaborador no ostenta ningún interés propio respecto del resultado de la operación, salvo la compensación económica que va a recibir por tal servicio. Que, antes de realizar las llamadas, tienen que verificar que cuentan con la aprobación de VDF. Las bases de datos, entonces, se elaboran por los colaboradores específicamente para VDF, pues han de contar con su aprobación previa y pasar por diversos filtros. En ese momento los colaboradores ya son encargados del tratamiento. En el mismo correo indican que “En ambos escenarios-bases de datos de VDF y bases de datos del colaborador-, es fundamental, que el colaborador: - Proporcione un medio sencillo para que cualquier destinatario de la campaña pueda comunicar su voluntad de no continuar recibiendo llamadas o mensajes comerciales en nombre de Vodafone. - Trasladar a Vodafone inmediatamente los datos de aquellos destinatarios que les hayan comunicado que no desean recibir más comunicaciones comerciales y asegurarse de que no vuelven a contactar con ellos en futuras emisiones”. Este mandato de VDF, cualesquiera que sean las bases de datos que utilicen los colaboradores (propias de los colaboradores y elaboradas para VDF), pone de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/79 manifiesto de nuevo que el colaborador es encargado del tratamiento desde el principio. Que, aunque VDF les indique en el nuevo modelo de contrato que son responsables del tratamiento y que “el COLABORADOR deberá presentarse ante dichos potenciales clientes en su propio nombre, como responsable del tratamiento de los mismos”, lo cierto es que les manda que el derecho de oposición se pueda ejercer ante el colaborador frente a VDF. Esta circunstancia pone de manifiesto que están tratando datos personales por cuenta y en nombre de VDF. Previa R) En cuanto a la reiteración de las alegaciones presentadas, se debe señalar que ya han sido contestadas en la Propuesta de Resolución y que figuran en el FD II de la presente Resolución. No obstante, se debe insistir en que los 15 expedientes objeto del segundo envío notificado en noviembre de 2020 no se corresponden con quince expedientes adicionales, sino se debe a la subsanación material de documentación incompleta por así considerarlo el órgano instructor, a fin de subsanar deficiencias y evitar en todo momento vulnerar el derecho a la defensa en aras del principio de transparencia que debe presidir toda actuación administrativa. En cuanto a la falta de evidencias e imputación de infracciones por meras suposiciones, se debe señalar que de la documentación que obra en el expediente se infiere de forma indubitada los hechos ahora sancionados. No sólo a través de la inspección presencial efectuada en el mes de septiembre de 2019 en la sede de VDF y que así consta en el Acta de Inspección, sino de la documentación adjunta al citado Acta y en la documentación facilitada por los reclamantes y que obra completa en el expediente. La falta de motivación, alegada de forma genérica, en la contestación a las alegaciones por el órgano instructor no puede ser admitida toda vez que la motivación ha sido razonada y suficiente para cada una de las alegaciones presentadas y conforme a lo dispuesto en el artículo 35.1 de la Ley 39/2015. Lo que no ha sido desvirtuado por VDF han sido los hechos ahora analizados tras presentar esta AEPD pruebas suficientes que acreditan los hechos imputados. En cuanto a clasificar a todos los “colaboradores” (sic) como encargados del tratamiento cuando según VDF no lo son, se debe insistir en lo dispuesto en la propia definición de “Responsable del tratamiento” e informes de esta AEPD y del Comité Europeo de Protección de Datos y que se detallan y desarrollan en los FD de esta Resolución. Respecto a la alegación de que la contratación por VDF de sus encargados del tratamiento es acorde con lo dispuesto en el art. 28 del RGPD, se debe rechazar de plano, por cuanto en los FD de la presente Resolución (y en la Propuesta de Resolución) se explica y detalla de forma minuciosa los motivos por los que VDF ha vulnerado el citado artículo 28. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/79 VDF alega también, que la infracción del artículo 44 del RGPD (Transferencia Internacional de Datos sin las debidas garantías exigidas por el RGPD) no consta en el Acuerdo de Inicio cuando la AEPD ya contaba con toda la documentación desde la fase de investigación. Esta alegación sebe ser rechazada toda vez que el acuerdo de inicio se ajusta a lo dispuesto en el artículo 64 de la Ley 39/2015 de 1 de octubre, del PACAP, en donde el apartado 2.

1. b)in fine indica de forma expresa “… sin perjuicio de lo que resulte de la instrucción”. Dicho artículo se complementa con lo dispuesto en el artículo 89.3 de dicha norma cuando señala que “En la propuesta de resolución se fijarán de forma motivada los hechos que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se proponga, la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, así como las medidas provisionales que, en su caso, se hubieran adoptado…”. VDF también alega que no se han valorado las condiciones específicas en las que se realizan las reclamaciones relativas al incumplimiento de la LSSICE. La alegación debe ser rechazada puesto que la acreditación de que la comunicación electrónica ha sido solicitada o expresamente autorizada no ha sido constata por VDF en ningún momento incluso a lo largo del presente procedimiento, según indica el artículo 21.1 de dicha norma. Respecto de la alegación sobre falta de acreditación del incumplimiento del artículo 48.1.
2. b)de la LGT, se debe señalar que ha quedado acreditado y así obra en la documentación del expediente respecto de las pruebas realizadas que en nombre y por cuenta de VDF se realizaron llamadas comerciales a líneas que figuraban en los listados de exclusión publicitaria (Robinson), en contra de lo dispuesto en el artículo 23 de la LOPDGDD. Por último, y agrupando las tres últimas alegaciones previas (9,10 y 11), se debe significar que todas y cada una de las infracciones imputadas en el presente procedimiento han sido suficientemente razonadas y motivadas, así como que en todo momento se ha justificado la proporcionalidad de la sanción habiendo, además, sido advertido VDF en la Propuesta de Resolución de que de haberse incoado expedientes independientes la sanción sería de mayor cuantía. También alega actuación arbitraria por parte de la AEPD en la tramitación del procedimiento sancionador. En este sentido, señalar que, en primer lugar, no concreta la actuación arbitraria que alega y, en segundo lugar, el procedimiento sancionador se ha tramitado de la forma legalmente exigida conforme a la normativa aplicable en cada infracción imputada y conforme a lo dispuesto en la Disposición Adicional cuarta de la LOPDGDD. En consecuencia, la alegación debe ser rechazada. 1R) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/79
3. a)<Respecto a la falta de implementación de medidas eficaces, VDF alega que ha implantado gradualmente un “sistema de enrutamiento” centralizado de acciones publicitarias que garantiza los derechos de los afectados>. Lo alegado no consta acreditado, y en caso de que así sea, los hechos a los que el presente procedimiento hace referencia son previos a la supuesta implantación de dicho sistema, por lo que no procede su análisis a los efectos de las infracciones ahora sancionadas, sin perjuicio de que en el futuro sea objeto de valoración en el caso de que se acredite su implantación y sea conforme a lo dispuesto en el RGPD, LGT y LSSICE. Además, se debe hacer constar que el supuesto nuevo sistema implantado de “enrutamiento” de forma progresiva y culminando su supuesta implantación en febrero de 2020, no consta que haya sido efectivo toda vez que continúan a la fecha recibiéndose reclamaciones por los mismos motivos a esta AEPD. Y, a mayor abundamiento, siguen recibiéndose reclamaciones adicionales o complementarias de los ahora reclamantes por los mismos hechos sin que conste acción alguna por VDF, en calidad de responsable de los tratamientos de datos imputados, por mitigar o minimizar los efectos de la vulneración de su derecho fundamental a la protección de datos, consagrado en la C.E. en su artículo 18.4, y desarrollado en el RGPD y LOPDGDD, así como en la LGT y LSSICE, aun teniendo conocimiento a través del presente procedimiento se sus identidades y hechos objeto de reclamación. En este sentido, y a efectos meramente informativos, constan nuevas reclamaciones complementarias a las ya efectuadas de los siguientes reclamantes: J.J.J., E/10495/2019, en fecha 16/09/2020, NRE: e2000002161. K.K.K., E/07697/2018 y E/05544/2019, en fecha 11/06/2020, NRE: 019495/2020. L.L.L., E/01633/2019, en fecha 30/09/2020, NRE: e2000003876. M.M.M., E/07183/2019, E/04493/2019, en fecha 26/09/2020, NRE: e2000003364. N.N.N., E/08276/2019, en fecha 28/10/2020, NRE: e2000007996. Ñ.Ñ.Ñ., E/08043/2019, en fecha 13/10/2020, NRE: e2000005754. N.N.N., E/08276/2019, en fecha 28/10/2020, NRE: e2000007996. O.O.O., E/07106/2019, en fecha 17/11/2020, NRE: e2000010906.
4. b)< VDF alega falta de identificación de numeraciones llamantes y de los destinatarios>. En este sentido, se insiste en que los expedientes en los que no se acredita la acción comercial indebida se han retirado de valoración por varios motivos ya señalados anteriormente. Se debe aclarar una vez más, que consta en la documentación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/79 expediente llamadas a numeraciones no incluidas en los sistemas de exclusión publicitaria, pero que en la contestación al requerimiento de esta AEPD se ha manifestado por parte de VDF la inclusión en los sistemas de exclusión publicitaria y/o en sus sistemas de exclusión de la línea receptora, motivo por el que figuran en el anexo. Este tipo de afirmaciones por parte de VDF ha dado lugar, en los expedientes concretos en los que se ha realizado tal afirmación, a una resolución favorable por parte de esta AEPD, por lo que ahora no procede alegar lo contrario al albur de lo que más interesa en cada momento. VDF añade que la entidad CASMAR (haciéndolo extensible al resto de entidades intervinientes) es responsable de las bases de dados de las numeraciones receptoras y sin que VDF haya intervenido aun siendo la responsable del tratamiento. Esta alegación debe ser rechazada de plano con base en la propia definición de “responsable del tratamiento” del artículo 4.7 del RGPD, y porque la propia VDF afirma su no intervención en el tratamiento cuando es la responsable de este.
5. c)<VDF alega que dispone de un procedimiento específico para facilitar el ejercicio y atención del derecho de oposición en las campañas publicitarias gestionadas directamente por VDF (SMS y email) pudiendo cursar la baja> Al respecto, se debe insistir en que el art 21.1 de la LSSICE exige “solicitud o autorización expresa” para realizar la acción publicitaria, sin perjuicio del cumplimiento de otros requisitos, y tal solicitud o autorización expresa no consta acreditada por VDF que como responsable del tratamiento es la obligada a acreditarlo. VDF relaciona una serie de referencias de expedientes en los que señala que los afectados no ejercieron derecho alguno. Al respecto, y analizadas las referencias señaladas se significa que una vez hecha la comprobación, o bien si se encuentran en el listado Robinson, se refieren a la falta de autorización expresa, el afectado acredita haber ejercido sus derechos, o bien VDF no contestó al requerimiento de información realizado desde la Inspección de esta Agencia (E/07056/2019 y E/08284/2019) estando obligado a ello. Añade VDF que son los encargados los que deben realizar las oportunas consultas a las listas de exclusión publicitaria. Al respecto, se debe insistir de nuevo que el responsable del tratamiento, en este caso VDF, está obligada, en virtud de los dispuesto en el art 28 del RGPD, a contratar con aquellas entidades encargadas con capacidad técnica y organizativa suficiente para llevar a cabo el encargo y VDF ser capaz de monitorear todo el tratamiento encargado a fin de que los tratamientos objeto de encargo se ajusten en puridad al RGPD y LOPDGDD.
6. d)<VDF alega que en el Hecho Probado Cuarto, se hace referencia a un expediente sancionar de referencia PS/00290/2015, cuando dicho expediente es ajeno a VFD>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/79 En este sentido, se debe señalar y corregir el error material ortográfico, que dicho expediente se refiere al de referencia PS/00290/2018 tal y como consta en el Acuerdo de Inicio, y del que VDF tiene pleno conocimiento desde el principio del presente procedimiento.
7. d)VDF alega que se le imputa una falta de colaboración generalizada con la AEPD. En este sentido, ya consta contestada la alegación en el apartado
8. c)anterior, por cuanto VDF no ha contestado a varios requerimientos de información en fase de investigación previa emitidos por esta AEPD, dando lugar su falta de contestación al inicio de actuaciones inspectoras.
9. e)<VDF alega improcedente imputar falta de acción y comunicación con colaboradores>. Al respecto, se debe significar que durante el trámite de inspección previa en 2019, quedó acreditado que VDF no cumplió con el deber de informar a los encargados de las deficiencias que VDF debió detectar en los tratamientos objeto de encargo ni tampoco impuso las medidas correctoras adecuadas, a lo que estaba obligado en calidad de responsable del tratamiento, para evitar en el futuro la repetición de las deficiencias en los tratamientos, bien porque las desconocía, bien porque simplemente no exigió su corrección y ajuste de medidas acorde con el RGPD. En este sentido, consta un correo electrónico enviado en el mes de julio de 2019 a algunos de los encargados, no a todos ni tampoco a los subencargados, en el que se les informa de la obligación de cruzar sus ficheros con las listas de exclusión publicitaria en el que no se imponían medidas correctoras, cuando en esa fecha VDF ya tenía conocimiento de las reclamaciones efectuadas por los reclamantes ante esta AEPD. Asimismo, consta otra misiva informativa posterior, en noviembre de 2020, con más información sobre el cumplimiento de sus obligaciones en el que explica a los encargados, y no a los subencargados, el nuevo sistema de enrutamiento que se está implantando, con fecha de finalización febrero de 2020, para la realización de acciones de mercadotecnia, pero continua sin exigir e imponer las medidas correctoras adecuadas para evitar en el futuro la repetición de las deficiencias aun cuando, se insiste, en esa fecha VDF ya tenía conocimiento de las reclamaciones efectuadas por los reclamantes ante esta AEPD e incluso ya se había realizado la inspección presencial por la Inspección de esta AEPD. Al respecto, se debe insistir en que, en cuanto al primer correo electrónico de julio de 2019, la información era parcial y con no con carácter general a todos los encargados, y que estos informaran a su vez los subencargados, sino era un correo electrónico concreto a determinados encargados que, aun así, no consta que se cumplieran las obligaciones de las que informaba ni imponía medidas correctoras, toda vez que continuaron las reclamaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/79 Respecto a la segunda misiva informativa de noviembre de 2020, se debe recalcar en que es muy posterior a las investigaciones llevadas a cabo en el seno del presente expediente. En consecuencia, la efectividad del citado correo electrónico no fue más allá que una comunicación informal sin ánimo de obligatoriedad y de distribución parcial toda vez que no imponía medidas correctoras. Los correos electrónicos qué VDF envía a algunos de sus encargados de tratamiento recordándole sus obligaciones en materia de Protección de Datos son insuficientes en el marco de la responsabilidad proactiva. Resulta claramente perceptible la insuficiencia de las “medidas” adoptadas por el hecho indubitado de que la problemática examinada en este procedimiento sancionador se sigue produciendo sin solución de continuidad. Pero es que, además, la dejación de sus obligaciones se muestra de la simple comparación de las medidas que VDF habría adoptado si encargados del tratamiento hubieran incumplido cualquiera de los términos que constituyen el núcleo duro del objeto del contrato (campañas de mercadotecnia). VDF no se hubiera limitado a enviar correos recordatorios de que tienen que ejecutar el contrato, sino que hubiera impuesto penalidades o incluso procedido a la resolución del contrato. La misma diligencia es la que tiene que aplicarse respecto de la responsabilidad proactiva y la Protección de Datos. En consecuencia, procede rechazar la alegación al hacer quedado acreditado la falta de diligencia debida por el responsable (VDF) en el seguimiento y monitoreo de los tratamientos de datos objeto de encargo.
10. f)Sobre la condición de responsable o encargados de las entidades intervinientes en los tratamientos llevados a cabo en nombre y por cuenta de VDF ya se ha contestado en la Propuesta de Resolución. No obstante, la contestación se reitera y amplía en los Fundamentos de Derecho de la presente resolución. 2R) <VDF alega, entre otras, la existencia de expedientes abiertos a personas jurídicas y que se han retirado por este motivo>. Se debe señalar que ya se ha contestado a esta alegación, por lo que se insiste en que el ámbito de aplicación de LGT y LSSICE incluye a las personas jurídicas. El hecho de que se hayan retirado expedientes (29 en total, de los 191 iniciales) ya ha sido objeto de contestación en el sentido de que la retirada se debe a incertidumbre en los datos, y no por el motivo alegado de corresponder a personas jurídicas y siempre en aras de la transparencia que debe presidir toda actuación administrativa. <Respecto a la existencia de numeraciones o líneas receptoras que no se encontraban en la lista Robinson>, ya se ha contestado que la propia VDF en sus escritos de contestación a los requerimientos de información afirmaba lo contrario y aceptaba su inclusión, informando a esta AEPD que en lo sucesivo se incluían en el listado interno de VDF de exclusiones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/79 Respecto de los expedientes ajenos a VDF, ya se ha contestado que sólo afectaba a dos y ya han sido retirados de valoración en el presente procedimiento, encontrándose entre los 29 omitidos en el Anexo. El hecho de retirar un 15% de expedientes de valoración, no supone una disminución de la culpabilidad en los hechos imputados, pues se imputa infracción del RGPD (junto a las de la LGT y LSSICE) tipificada en el art 83.4 en que se dispone como límite máximo de sanción administrativa la cuantía de 10.000.000 (o 2% de la facturación anual). Además, ya se ha indicado que de haber incoado procedimientos sancionadores independientes la cuantía hubiera sido mayor a la ahora sancionada, incluso si se hubiera aplicado la derogada LOPD. No hay que olvidar que el legislador europeo ha modificado la cuantía de las sanciones y ahora es la normativa aplicable. La cuantía de la sanción se encuentra motivada y ajustada a derecho dentro de los criterios discrecionales seguidos por la doctrina de esta AEPD sin que en ningún momento puedan calificarse de arbitrarios. En este sentido, se debe añadir que las sanciones del RGPD son diferentes a las de la derogada LOPD, resultando ser del orden de quince veces superiores por mandato del legislativo europeo, por lo que no son cuantías comprables. Además, el artículo 83.4 RGPD ahora imputado, permite imponer cuantías hasta el 2% del volumen global de negocio total anual que, en este caso, es del orden de 1.600 millones, por lo que la cuantía máxima establecida legalmente en el RGPD podría ser de 32 millones de euros, y el doble en el caso del 83.5 RGPD, cuando la ahora impuesta es de 4 y 2 millones de euros, respectivamente, es decir, la quinta (o décima parte en la infracción del art 44 del RGPD) parte sobre la máxima aplicable. En consecuencia, la cuantía de la sanción administrativa impuesta (art 58.2.i RGPD) es proporcional a los hechos imputados. En cuanto a los expedientes alegados, se significa lo siguiente: Respecto al E/04471/2018 se encuentra la línea en el sistema de excusión publicitaria según consta en el expediente y acreditado por el reclamante con número de registro de entrada (NRE): 199267/2018. Respecto de los expedientes E/07183/2019 y E/07940/2019, constan imputados los códigos (primera columna del anexo) RDC y RD, respectivamente, y acreditado por la documentación obrante en el expediente. <Respecto a la distinta personalidad jurídica alegada de las entidades VDF ESPAÑA, VDF ONO, LOWI y VDF Servicios>, se debe señalar que en la Inspección presencian ante VDF se afirmó que las entidades citadas forman parte del Grupo VDF en España y que en lo referido a las acciones de mercadotecnia se rigen por el mismo procedimiento y que a dicho Grupo lo representaba Vodafone España SAU, pues era la responsable de las decisiones de los tratamientos de las restantes. Y así consta en el Acta de Inspección: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/79 página 2 Acta de Inspección, <<Las entidades que forman parte del Grupo Vodafone en España son VODAFONE ESPAÑA S.A.U., (VDF en lo sucesivo) VODAFONE ONO, S.A.U (VDFONO en lo sucesivo) y VODAFONE ENABLER ESPAÑA, S.L (LOWI en lo sucesivo), en lo referido a las acciones de mercadotecnia directa, en concreto a la gestión de campañas de captación, con carácter general se rigen por el mismo proceso, (con pequeñas diferencias relativas por ejemplo a proveedores de televenta (TVTA en lo sucesivo). • En cuanto al proceso de unificación de los sistemas de información entre VDF y VDFONO, el proceso respecto del segmento “particulares” está finalizado, mientras que el proceso respecto del segmento “empresas” está en la actualidad en suspenso hasta tener las verificaciones oportunas de su correcto funcionamiento en el segmento “particulares”. Los sistemas de gestión de clientes (CRM en lo sucesivo) de LOWI continúan siendo independientes>>). Al respecto, se debe insistir en lo ya dicho con anterioridad que la decisión por VDF de seguir en la actualidad trabajando con las entidades encargadas del tratamiento que ya prestaban el servicio en ONO antes de la fusión con VDF (en fecha 10/01/2018), acredita que la responsable de las operaciones de tratamiento analizadas en el presente procedimiento llevados a cabo por ONO desde la citada fecha es VDF. Por tal motivo, las infracciones analizadas en el presente procedimiento se imputan íntegramente a VDF al ser la entidad que decide los fines y medios, sin perjuicio de que los sistemas de información de gestión de clientes de Lowi continúe siendo independiente. <Respecto del contenido del Anexo adjunto a la Propuesta de Resolución>, se significa que al reclamante de siglas P.P.P. le corresponde la referencia E/01489/2019. Respecto al reclamante de siglas Q.Q.Q. le corresponden las referencias E/07671/2018 y la referencia de investigación posterior E/04688/2019, así como las referencias E/08243/2018 y E/07690/2018. Respecto al reclamante de siglas L.L.L., le corresponden la referencia E/01633/2019. Y respecto al reclamante de siglas R.R.R. las referencias E/10149/2018 y la de las actuaciones de investigación posteriores E/07960/2019, así como las referencias de expedientes E/07775/2019 y E/07960/2019. No obstante, esta alegación no afecta al fondo del asunto, limitándose a plasmar unas correcciones cuando lo importante hubiera sido entrar en el expediente y dirimir las cuestiones planteadas en la reclamación, que no son otras que la vulneración del derecho fundamental a la protección de datos de los reclamantes y corregir, ahora sí, las deficiencias organizativas y técnicas de las que traen causa las reclamaciones, o en su caso, minimizar su impacto. <En cuanto alegación de duplicidad de “procedimientos” (sic)>, que deberá referirse a “expedientes” (apartado 5), se debe señalar lo siguiente lo mismo que en el anterior párrafo, que ahora se corrige, y que debe figurar el expediente de referencia E/09407/2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/79 No obstante, detectados los citados errores materiales en el Anexo, y que ahora se corrigen, se debe señalar que no afectan ni cuantitativamente ni sobre el fondo del asunto planteado en este procedimiento ni causan indefensión alguna por cuanto los reclamantes son los mismos y se encuentran en el seno del presente procedimiento, por lo que tras su corrección conforme al art 109.2 de la Ley 39/2015, de PACAP, la alegación debe ser rechazada. En el apartado 6 de la misma alegación, se insiste en falta de documentación de los expedientes de referencia E/07608/2018, E/07190/2019 y E/07188/2018 (este último no ha sido encontrado afecto al procedimiento, por lo que debe ser errónea la referencia aportada). Respecto de los dos primeros, de reclamantes con siglas V.V.V. y W.W.W. respectivamente, se debe señalar que no consta que la información facilitada por esta Agencia haya sido incompleta tras la subsanación realizada por la Instrucción con el segundo envío de documentación en noviembre de 2020. En consecuencia, la alegación debe ser rechazada. Por último, en el apartado 6 de la alegación segunda, se añade que <la AEPD no ha emitido a todos los reclamantes notificación del acuerdo de inicio del presente procedimiento, por lo que nuevamente la conducta de la AEPD ha sido arbitraria>. Al respecto, no consta en esta Agencia los hechos referenciados, por lo que la alegación debe ser rechazada, y respecto a la arbitrariedad señalar que la Propuesta de Resolución ha sido razonada y ajustada tanto en forma como en fondo a la normativa legalmente establecida, por lo que no se observa una conducta arbitraria o carente de fundamento por parte de la AEPD. 3R) VDF alega, <que en el DF III de la Propuesta de Resolución no se contesta con suficiente motivación las alegaciones presentadas, lo que menoscaba el derecho de defensa de la entidad alegante>. Al respecto, hay que añadir que la contestación por el órgano instructor a las alegaciones vertidas por VDF tras el acuerdo de inicio del presente procedimiento, fueron contestadas en su integridad y suficientemente razonadas. Volvemos a traer a este punto los razonamientos ya expuestos en esta resolución sobre lo que realmente constituye falta de motivación y que puede producir indefensión, y que, no se produce en el supuesto examinado. No obstante, añadir que respecto de la alegación formulada por VDF de que <”AEPD parece no tomar en cuenta que se trata de entidades terceras y que los controles han de respetar la regulación vigente en materia mercantil y laboral. El nivel de control pretendido por la AEPD (continuo, permanente y auditado) no sólo no cuenta con sustento legal, sino que supondría una intromisión en la actividad de los colaboradores que difícilmente se puede ejecutar sin transgredir dichas normativas (i.e. posible indicio de cesión ilegal de trabajadores de esas empresas hacia las empresas principales). Especialmente considerando que el criterio de la AEPD para valorar si un control es adecuado o no, es únicamente el de su resultado y, a su parecer, solo goza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/79 de tal condición si es absolutamente infalible”>, se debe señalar que no se produce ninguna transgresión en las actividades de los colaboradores porque no se incide en su actividad mercantil, sino sólo en lo que afecta al tratamiento de datos de carácter personal. El responsable del tratamiento es el que tiene la capacidad de determinar los fines y los medios del tratamiento y en tal lid se suscribe un contrato de encargado del tratamiento. Indicar los medios del tratamiento, cómo se tiene que llevar a cabo el mismo mediante las correspondientes instrucciones y cómo se comprueba que se está ejecutando de la forma encomendada no implica ni más ni menos que delimitar elementos propios de la contratación que se está llevando a cabo entre ambas entidades. No habría en ningún caso esa cesión ilegal de trabajadores que alegan. Primero, porque no parece concurrir ninguna de las circunstancias legalmente previstas para ello según deviene del art. 43 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (a partir de ahora, ET); así ni el objeto de los contratos de servicios entre las empresas se limita a una mera puesta a disposición de los trabajadores de la empresa cedente a la empresa cesionaria, ni la empresa cedente carece de una actividad o de una organización propia y estable, o no cuenta con los medios necesarios para el desarrollo de su actividad, o no ejerce las funciones inherentes a su condición de empresario: aquí nos encontramos con dos personas jurídicas distintas que poseen su propia estructura organizativa, donde no hay confusión posible entre ambas. Y, segundo, porque el responsable del tratamiento no remite instrucciones ni mandata a los empleados del encargado, sino al encargado mismo, quien ejercerá como considere el poder de dirección sobre sus propios empleados (art. 20.3 del ET). Sin perjuicio de ampliar la contestación de los siguientes apartados de la alegación en los Fundamentos de Derecho siguientes y de las ya contestadas durante el procedimiento sancionador y que ya se ha incluido más arriba en la presente resolución, se procede ahora a contestar de forma sucinta: Respecto a la inclusión errónea de expedientes, ya se ha contestado, no sin insistir ahora en que la retirada de 29 expedientes no ha sido motivada por la “inclusión errónea de expedientes”, sino en aras de la transparencia, y solo en dos casos y que a través de la audiencia facilitada a VDF por la instrucción a la documentación del expediente ha sido corregido, En cuanto a la exposición confusa y desordenada del acuerdo de inicio, señalar que la alegante no ha solicitado práctica prueba alguna a fin de aclarar, a su juicio, deficiencias que le impidan ejercer su derecho a la defensa, cosa que si ha hecho el órgano instructor a fin de evitarlo. Se debe añadir que la documentación enviada a VDF en marzo de 2020 consta debidamente ordenada por orden de fecha de entrada en esta AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/79 Respecto al filtrado previo de la base de datos de VDF señalar, tal y como ha quedado acreditado (Inspección Presencial de septiembre de 2020), que en ninguno de los caos este filtrado ha sido satisfactorio. Ni en las Bases de datos propiedad de VDF, toda vez que entregadas a los encargados estos no filtraban con los listados de exclusión ejercidos ante ellos, ni en las bases de datos procedentes de los encargados puesto que no se filtraban con los listados de exclusión de VDF. En ambos casos, se producía una carencia total de comunicación entre los intervinientes del tratamiento (VDF y encargados y viceversa) como consecuencia de los deficientes medios organizativos y técnicos establecidos en los protocolos de comunicación entre las entidades, que simplemente no existían, y que su correcta implantación era responsabilidad de VDF en calidad de responsable de los tratamientos llevados a cabo entre las entidades intervinientes. Todo ello ha dado lugar a la vulneración de las garantías y derechos de los afectados de forma sistemática y sin que el responsable (VDF) lo detectara y en su caso, corrigiera. Además, es materialmente imposible que los encargados siguieran las instrucciones del responsable (VDF) simplemente porque estas instrucciones o eran confusas, o eran escasas o no existían, lo que no puede aceptarse de una entidad como VDF que es una de las primeras operadoras de telecomunicaciones del país con millones de abonados y, al menos se supone, con experiencia suficiente y vinculada con la realización de tratamientos de datos personales. En resumen, VDF no intervino, debiendo imperativamente intervenir, en obligar a los encargados en todo momento a respetar las garantías y derechos que impone el RGPD. Se debe añadir que, respecto a la LGT, el derecho de oposición debe interpretarse conforme al RGPD y LOPDGDD, mientras que conforme la LSSICE es necesario autorización previa para comunicaciones electrónicas. En ambos casos, tampoco consta implantado por el responsable (VDF) los adecuados protocolos de comunicación entre las diferentes entidades intervinientes a fin de garantizar los derechos de los afectados, a pesar de estar legalmente obligado a ello. En cuanto a que VDF implementará el rechazo de contrataciones que no cumplan el protocolo establecido por VDF, se debe señalar que, en primer lugar, ese protocolo debe existir conteniendo instrucciones y mandatos pormenorizados que de forma clara eviten cualquier desvío de actuaciones; y en segundo lugar, y en lo que ahora afecta, no basta con el rechazo de las contrataciones que vulneren ese tipo de protocolos establecidos, sino que lo que hay que evitar es que se llegue a esa situación vulnerando previamente las garantías y derechos de los afectados. Respecto del nuevo sistema de “enrutamiento” supuestamente implantado por VDF de forma progresiva y con fecha de finalización en febrero de 2020, ya se la dicho en esta Resolución que ni está acreditado ni existen indicios de que lo esté, toda vez que los propios reclamantes de los expedientes de este procedimiento han presentado con posterioridad a esa fecha nuevas reclamaciones complementarias a la inicial y continúa la AEPD recibiendo reclamaciones por los mismos hechos u a la fecha, en concreto un años después. Todo ello denota que, o el nuevo sistema no se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/79 implantado, o en su caso, es altamente ineficiente por lo que se debería reconsiderar su estructura y funcionamiento. La conculcación de los derechos de los interesados se sigue produciendo. Alega VDF que no se han implantado medidas correctivas porque los hechos son “esporádicos y excepcionales” (sic). Basta con recordar los más de cuarenta expedientes sancionadores incoados en los dos últimos años a VDF por esta AEPD y el elevado porcentaje de medios materiales y humanos que está utilizando esta AEPD para salvaguardar o restablecer el derecho fundamental a la protección de datos y garantías de los afectados como consecuencia de las numerosas reclamaciones que se reiteran ante esta AEPD contra VDF. En consecuencia, calificar de “esporádicos y excepcionales” los hechos ahora analizados no puede admitirse. En cuanto a que la AEPD no ha acreditado las infracciones cometidas, el presente procedimiento trata de ello y así constan debidamente documentadas, y por no por meras suposiciones como alega, sino por hechos objetivos que parten acreditados desde la documentación aportada por los reclamantes como de las investigaciones llevadas a cabo por esta AEPD, y que VDF no ha podido desvirtuar. 4R) Sobre el Responsable del Tratamiento conforme señala el art 24 del RGPD, es un concepto amplio, que trata de procurar una protección eficaz y completa a los interesados. Así lo ha determinado la jurisprudencia del TJUE. Por ejemplo, las STJUE en el asunto Google-Spain de 13 de mayo de 2014, C-131/12, considera en un sentido amplio al responsable del tratamiento para garantizar “una protección eficaz y completa de los interesados”. De igual forma tal protección eficaz y completa se tiene que desplegar en el supuesto de que el tratamiento de datos lo efectúe el responsable del tratamiento a través de un encargado del tratamiento, pues si no, se estaría violando la letra y la finalidad del RGPD. Se estaría produciendo una “huida” del derecho de protección de datos. Así, en el Informe del Gabinete Jurídico de la AEPD de 20 de julio de 2006 se colige que “lo importante para delimitar los conceptos de responsable y encargado de tratamiento no resulta ser la causa que motiva el tratamiento de estos, sino la esfera de dirección, control u ordenación que el responsable pueda ejercer sobre el tratamiento de los datos de carácter personal que obran en su poder en virtud de aquella causa y que estaría enteramente vedado al encargado del tratamiento”; en nuestro caso, el control, dirección y ordenación del tratamiento corresponde a VDF. Cuando los encargados utilizan bases de datos propias no decae el control, dirección y ordenación de VDF, en cuyo nombre y representación llaman a posibles clientes. El encargado no decide sobre la finalidad de sus bases de datos, sino que es VDF quién les indica para qué pueden utilizarlas y deben hacerlo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/79 El art. 33.2 de la LOPDGDD indica que se consideran responsables y no encargados los que “en su propio nombre y sin que consten que actúen por cuenta de otro establezca relaciones con los afectados”; lo que, interpretado en sentido contrario, supone que es encargado quien en nombre del responsable establece relaciones con los afectados. Ello es independientemente de si para ello es preciso acceder a datos por cuenta de terceros. El encargado, para serlo, no ostenta ningún interés propio respecto del resultado del tratamiento objeto de encargo, sin perjuicio de la compensación económica que recibe por el servicio prestado y que es lo que acontece en el supuesto examinado. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo que determina que sean encargados desde el principio. El uso de bases de datos propias o ajenas en nada cambia tal percepción. En este sentido, el Informe 0064/2020 del Gabinete Jurídico de la AEDP (de fecha 18/12/2020) establece que “Asimismo, otro criterio a considerar es si la entidad involucrada en el tratamiento no persigue ningún fin propio en relación con el tratamiento, sino que simplemente se le paga por los servicios prestados, ya que en este caso, actuaría, en principio, como encargado más que como responsable (apartado 60)” - Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD (pendientes en este momento de adopción definitiva tras haber finalizado el proceso de consulta pública) de 2 de septiembre de 2020-. Respecto la no aplicación de la citada STS 1562/2020, hemos de significar que si resulta ser de aplicación al presente caso puesto que lo que pone de manifiesto es que a los efectos de la normativa de protección de datos una entidad es encargado de tratamiento, aunque trabaje con sus propias bases de datos. La situación es la misma que en la que ahora nos encontramos, con la diferencia de que VDF en idéntica circunstancia ha entendido que sus colaboradores no son encargados de tratamiento sino responsables del tratamiento. Es meridianamente claro que se es responsable del tratamiento cuando se decide sobre los medios y fines del tratamiento. VDF alega de contrario que “no puede ser responsable del tratamiento de la práctica totalidad de los datos personales objeto de análisis en el presente procedimiento, en tanto no es la entidad que facilita las bases de datos en cuestión, no pone los medios a los colaboradores para realizar el tratamiento de los datos, ni tampoco decide, ni fija en modo alguno, los parámetros identificativos de los destinatarios de la acción comercial, siendo esta realizada de forma completamente independiente, y a su mejor criterio, por parte de los colaboradores”. Sin embargo, sí está determinando los medios del tratamiento cuando elige que los colabores utilicen sus propias bases de datos, especialmente elaborados para VDF, y les permite cierto margen de actuación respecto de los parámetros identificativos de los destinatarios de la acción comercial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/79 Ratificando lo anterior, el Informe 0064/2020 del Gabinete Jurídico de la AEDP (de fecha 18/12/2020) asevera que “En todo caso, deberá analizarse detenidamente y en profundidad la relación jurídica establecida entre las partes al objeto de identificar quién determina los fines y los medios, para lo que las reiteradamente citadas Directrices del CEPD dan distintos criterios que pueden servir para fijar dichas posiciones, partiendo de que la palabra “determinar” implica ejercer realmente una influencia sobre los fines y medios, para lo que no es óbice que el servicio se defina de una manera específica por el encargado, siempre que al responsable se le presente una descripción detallada y pueda tomar la decisión final sobre la forma en la que se realiza el tratamiento y poder solicitar cambios en caso de ser necesario, sin que el encargado pueda introducir posteriormente modificaciones en los elementos esenciales del tratamiento sin la aprobación del responsable (apartado 28) o que se reconozca un cierto margen de maniobra al encargado para tomar algunas decisiones en relación con el tratamiento (apartado 35) pudiendo dejarse al encargado la toma de decisiones sobre medios no esenciales (apartado 39), de modo que el encargado no deberá tratar los datos de otra manera que no sea de acuerdo con las instrucciones del responsable, sin perjuicio de que dichas instrucciones puedan dejar cierto grado de discreción sobre cómo servir mejor a los intereses del responsable permitiendo al encargado elegir las medidas técnicas y organizativas más adecuadas (apartado 78)”. Está claro que VDF, examinado el supuesto concreto del presente procedimiento sancionador, es quien “ejercer realmente una influencia sobre los fines y los medios”; la simple aseveración de VDF de que sus colaboradores no son encargados del tratamiento no enerva la realidad de los hechos. Es VDF “quien puede tomar la decisión final sobre la forma en la que se realiza el tratamiento y pueda solicitar cambios”. En relación con los medios del tratamiento, el responsable del tratamiento establecerá los medios del tratamiento con mayor o menor amplitud atendiendo a su estrategia comercial. El hecho de que al encargado del tratamiento Vodafone le otorgue cierto margen de maniobra o que sus instrucciones le dejen cierto margen de discreción, no obsta para que siga siendo considerado encargado del tratamiento. Por todo ello, los colaboradores de VDF son jurídicamente encargados del tratamiento porque VDF determina los medios (las propias bases de datos de los colaboradores) aunque VDF les suministre instrucciones permitiéndoles a tales efectos cierto margen de autonomía en cuanto a la elección de los parámetros para realizar dichas llamadas. Determinar cuáles son los medios del tratamiento, lo que abarca con qué, el cómo y el cuándo se tiene que llevar el tratamiento a cabo, engloba cualquier acción decisoria del responsable del tratamiento, independientemente de la amplitud de ésta. Añade VDF que “Complementariamente a lo expuesto, como bien conoce la AEPD, la posición de los proveedores de servicios de publicidad es objeto de regulación específica en el artículo 46.2 del RLOPD referente al tratamiento de datos en campañas publicitarias, normativa que se mantiene en vigor en tanto no contradiga o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/79 entre en conflicto con lo dispuesto por RGPD, estableciendo, en su apartado 2 b), que: “En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
11. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsables del tratamiento”. Pues bien, la disposición derogatoria única de la LOPDGDD establece en su apartado tercero que “Asimismo, quedan derogadas cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica”. Si bien no deroga expresamente el RLOPD, éste se entenderá tácitamente derogado en todas aquellas cuestiones que contradigan, se opongan, o resulten incompatibles con lo dispuesto en el RGPD y en la LOPDGDD. El precepto del RLOPD citado queda superado por el RGPD y la LOPDGDD, conforme a la conceptuación de lo que es ser responsable y encargado del tratamiento. En todo caso, no nos encontramos en una situación fáctica en el que los parámetros son determinados únicamente por las entidades contratadas; mas bien al contrario, es VDF quien, como responsable del tratamiento, está fijando los parámetros. En resumen, en el supuesto examinado los colaboradores contratados para realizar actuaciones de marketing directo, son encargados de tratamiento de VDF al realizar las actuaciones de marketing directo en nombre y por cuenta de este. Actúan bajo la marca de VDF de forma exclusiva. Es VDF quien determina los fines y medios del tratamiento, siendo significativo que las bases de datos qué el encargado del tratamiento pone a disposición de VDF se elaboren específicamente para estos últimos (es el medio que VDF elige). Y, no podemos olvidar, aunque sea a título meramente ilustrativo, que el nuevo sistema de enrutamiento, que señalan que han implementado, integra a todos los encargados del tratamiento en tal red de enrutamiento. 5R) Yendo a la génesis del concepto de encargado del tratamiento y siguiendo el Dictamen 1/2010, de 16/2, del GT29, “El concepto de encargado del tratamiento no figuraba en el Convenio 108. La función del encargado del tratamiento se reconocía por primera vez en la primera propuesta de la Comisión —aunque ésta no introducía el concepto— con el fin de «evitar situaciones en las que el tratamiento por terceros por cuenta del responsable del tratamiento del fichero tenga el efecto de reducir el nivel de protección del que goza el interesado». El concepto de encargado del tratamiento sólo se recoge explícita y autónomamente en la propuesta modificada de la Comisión y después de una propuesta del Parlamento Europeo cuando, antes de revestir su formulación actual en la Posición Común del Consejo. Al igual que la definición del responsable del tratamiento, la definición del encargado del tratamiento abarca una amplia variedad de agentes que pueden desempeñar ese papel («persona física o jurídica, autoridad pública, servicio o cualquier otro organismo»). La existencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/79 de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que puede decidir que los datos se traten dentro de su organización, por ejemplo por personal autorizado para procesar datos bajo su autoridad directa (véase, en sentido inverso, el artículo 2.f)), o delegar todas o una parte de las actividades de tratamiento en una organización externa, es decir —como se señala en la exposición de motivos de la propuesta modificada de la Comisión—, en «una persona jurídicamente distinta que actúa por su cuenta». Por lo tanto, para poder actuar como encargado del tratamiento tienen que darse dos condiciones básicas: por una parte, ser una entidad jurídica independiente del responsable del tratamiento y, por otra, realizar el tratamiento de datos personales por cuenta de éste”. Respecto de la alegación formulada, VDF se contesta en la misma cuando señala que “En realidad, la normativa referida establece la obligación por parte del responsable de realizar las verificaciones de idoneidad durante la selección de aquellos proveedores a los que pretenda facilitar datos personales y, asimismo, las condiciones mínimas bajo la que éstos deberán tratar dichos datos personales, debiendo fijarse dichas condiciones en el correspondiente contrato que contemplará todos los aspectos exigidos en el artículo 28 RGPD … ”, lo que en el presente caso no se ha realizado. El artículo 28.1 del RGPD señala: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.”. Se observa que hace referencia a las medidas técnicas y organizativas que deben garantizar en todo tratamiento objeto de encargo. Es decir, desde antes del encargo del tratamiento propiamente dicho, como es la elección adecuada del que actuará como encargado, hasta la finalización de la prestación según señala el propio artículo 28.3.g). Y continúa el artículo 28.3.h): “pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable”. Respecto a la realización de auditorías como un medio idóneo para que el responsable del tratamiento supervise de manera continua al encargado del tratamiento, las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD de 2 de septiembre de 2020 establecen que -la traducción es nuestra- “97. La obligación de utilizar únicamente a encargados de tratamiento "que proporcionen garantías suficientes" contenidas en el artículo 28, apartado 1, del RGPD es una obligación continua. No termina en el momento en que el controlador y el encargado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/79 del tratamiento celebran un contrato u otro acto legal. En su lugar, el controlador debe, a intervalos apropiados, verificar las garantías del procesador, incluso mediante auditorías e inspecciones cuando proceda". De igual manera que el responsable del tratamiento audita aquellos tratamientos que realiza directamente y por su mano, debe de auditar los tratamientos qué otros realizan por su encomienda. En el presente caso, VDF no ha cumplido ni uno ni otro de los apartados transcritos, en especial, cuando pudiendo y teniendo la obligación legal de hacerlo (con auditorías e inspecciones), VDF no ha requerido al encargado del tratamiento el cumplimiento de sus obligaciones, incumplimiento que debe atribuirse sólo a VDF como responsable del tratamiento. 6R) Respecto al incumplimiento del artículo 44 del RGPD. De las pruebas obrantes en la documentación del expediente y así queda reflejado en el Hecho Probado VIGÉSIMO, en concreto del contrato de encargado del tratamiento suscrito entre VDF y Casmar de 1/05/2019, en el que VDF en calidad de responsable del tratamiento suscribe con Casmar que para llevar a cabo el tratamiento objeto de encargo se realice desde tercer país (Perú) sin cumplir las debidas garantías que exige el RGPD, al consentir -con pleno conocimiento por las partes signatarias puesto que así consta en el contrato- que Casmar lo llevara a cabo a través de la entidad subencargada (A-Nexo) en nombre y por cuenta de VDF (según contrato suscrito de fecha 1/05/2019 entre VDF y Casmar y el posterior contrato suscrito entre Casmar y Anexo de fecha 27/06/2019). En dicho contrato consta textualmente: “ubicación del tratamiento: Perú” (sic). En consecuencia, el responsable de esta Transferencia Internacional (TI) sin las debidas garantías acordada entre VDF y Casmar a través de la entidad subencargada con sede en Perú -A-nexo-, no es otro que VDF al actuar en calidad de responsable del tratamiento objeto de encargo en las citadas condiciones por lo que VDF es la obligada a imponer y establecer las debidas garantías para que pueda realizarse esa TI acordad conforme a los requisitos establecidos en el RGPD. 7R) Respecto al incumplimiento del artículo 21.1 de la LSSICE. Artículo 21 de la LSSICE: “Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes. 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/79 comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Ya consta desde el principio del procedimiento que las acciones de mercadotecnia en nombre y por cuenta de VDF se realizarían utilizando números aleatorios (y direcciones electrónicas) a “potenciales clientes” en cuya domicilio o zona se disponía de servicios de VDF instalados. También se ha alegado que tales numeraciones (utilizadas para el envío de SMS) se cruzaban previamente con los listados de exclusión publicitaria, lo que en ningún momento consta realizado y sin perjuicio de que más adelante se explica. Ahora VDF alega que los SMS enviados se realizaban a clientes acogiéndose a la excepción del artículo 21.2 de la LSSICE. Bien, podría ser así en algunos caos ajenos a este procedimiento, pero en el presente caso se ha acreditado lo contrario, es decir, que los destinatarios no eran clientes de VDF e incluso habían ejercido su derecho de oposición, por lo que no procede la aplicación del citado apartado del artículo 21 (21.2) de la LSSI. Los expedientes relativos al incumplimiento de la LSSICE figuran señalados con el código “C” en la columna del Anexo de la Propuesta de Resolución y que ahora también se adjunta. En consecuencia, la alegación debe ser rechazada. 8R) Respecto a la LGT, VDF alega presunto incumplimiento. El Preámbulo de la LOPDGDD, señala lo siguiente: “En el Título IV se recogen «Disposiciones aplicables a tratamientos concretos», incorporando una serie de supuestos que en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer lugar, aquellos respecto de los que el legislador establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo. … “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/79 El artículo 23.4 de dicha norma (LOPDGDD) señala: “4. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente. No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.”. Ya se indica en la presente Resolución (FD V) y que no procede reiterar, los motivos por el que en el derecho español prevalece la aplicación de la LGT, como norma especial, frente al RGPD y LOPDGDD como normas generales. En el presente caso, al no resultar aplicable la habilitación dispuesta en el segundo párrafo del citado apartado 4 del artículo 23, porque no consta consentimiento de los reclama