REPOSICION-PS-00066-2024

1/34 Expediente nº.: EXP202205208 RESOLUCIÓN DE RECURSO DE REPOSICIÓN ÍNDICE HECHOS....................................................................................................................... 2 PRIMERO: Resolución del expediente sancionador..................................................2 SEGUNDO: Hechos probados...................................................................................2 “PRIMERO................................................................................................................. 2 SEGUNDO................................................................................................................. 3 TERCERO.................................................................................................................. 3 CUARTO....................................................................................................................3 QUINTO..................................................................................................................... 3 SEXTO....................................................................................................................... 4 SÉPTIMO................................................................................................................... 4 OCTAVO .................................................................................................................... 4 TERCERO: Presentación de recurso de reposición...................................................4 FUNDAMENTOS DE DERECHO...................................................................................4 I.Competencia............................................................................................................ 4 II.Contestación a las alegaciones presentadas..........................................................4 1.1.Admisión a trámite a trámite extemporánea de la reclamación..................5 1.2.Caducidad de las actuaciones previas.........................................................7 2.1.Las líneas afectadas corresponden a tarjetas prepago.............................10 2.2.El tratamiento de datos se realiza en cumplimiento de los concretos términos de la Ley 25/2007 para los usuarios de servicios prepago..............10 2.3.Falta de competencia de la Agencia............................................................13 2.4.No existencia de culpa o negligencia de XFERA........................................15 2.5.Sobre el rol del encargado del tratamiento.................................................19 2.6.De la vulneración del artículo 4 de la LOPDGDD y la responsabilidad del titular.25 2.7.De la denegación de la totalidad de los medios de prueba.......................26 2.8.Falta de proporcionalidad de la sanción.....................................................30 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/34 2.9.Petitum. Suspensión de la ejecutividad de la resolución..........................32 III.Conclusión............................................................................................................ 32 IV.Resolución extemporánea....................................................................................32 RESUELVE:................................................................................................................. 33 Expediente nº.: EXP202205208 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por XFERA MÓVILES, S.A.U. (en lo sucesivo, la parte recurrente o XFERA) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 4 de abril de 2025, y en base a los siguientes HECHOS PRIMERO: Resolución del expediente sancionador Con fecha 4 de abril de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202205208, en virtud de la cual se imponía a XFERA MÓVILES, S.A.U, por una infracción del artículo 5.1.

1. d)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 70.000,00 euros (SETENTA MIL euros). Asimismo, se ordenaba a dicha entidad que, en virtud del artículo 58.2.
2. d)del RGPD, en el plazo de 6 meses desde que la resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas establecidas en el fundamento de derecho noveno de la resolución. Dicha resolución, que fue notificada a la parte recurrente en fecha 7 de abril de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Hechos probados Como hechos probados del citado procedimiento sancionador, PS/00066/2024, quedó constancia de los siguientes: “PRIMERO. A.A.A. presentó con fecha 15 de abril de 2023 reclamación ante la Agencia Española de Protección de Datos. contra XFERA MÓVILES, S.A. con NIF C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/34 A82528548 por la recepción de llamadas comerciales en las que se publicitaban los servicios de YOIGO a pesar de haberse incluido en la Lista Robinson de exclusión publicitaria. Acompañando a su reclamación, aporta varias capturas de pantalla en las que se identifican las líneas teléfono ***TELÉFONO.1 ***TELÉFONO.2 ***TELÉFONO.3 como aquellas desde las que se realizaron las llamadas comerciales por las que reclama, así como datos sobre las fechas y horas en las que se realizaron dichas llamadas. SEGUNDO. XFERA es el operador que prestaba el servicio, en la fecha de realización de las llamadas, a las líneas telefónicas desde las que se realizaron las llamadas objeto de la reclamación. TERCERO. Consta en el expediente, aportado por la parte reclamada, un contrato de prestación de servicios de tramitación y gestión de solicitudes de recarga de saldo, fechado el 1 de septiembre de 2021 y suscrito entre XFERA MÓVILES, S.A.U., con CIF A-82528548 y LYCAMOBILE, (denominados de forma conjunta, XFERA), y, FULLCARGA IBERICA, S.L., con CIF B-31867534 (el proveedor). Conforme al mismo, FULLCARGA asume la condición de encargado del tratamiento de datos personales, en la ejecución de las prestaciones encomendadas en el citado contrato. CUARTO. A requerimiento de la Inspección de la AEPD, XFERA facilita la siguiente información sobre los titulares de señaladas líneas telefónicas Datos de contacto y de identificación del titular del número de teléfono ***TELÉFONO.3 en marzo de 2022: B.B.B. DNI ***NIF.1 Datos de contacto y de identificación del titular del número de teléfono ***TELÉFONO.2 en abril de 2022: C.C.C. DNI ***NIF.2 Datos de contacto y de identificación del titular del número de teléfono ***TELÉFONO.1 en abril de 2022: D.D.D. DNI ***NIF.3 QUINTO. El operador ORANGE ratifica que el número del reclamante recibió las siguientes llamadas desde los números indicados en la reclamación, Desde el ***TELÉFONO.3 recibió llamadas el 18/03/2022 a las 18:14 (rechazada), el 19/03/2022 a las 17:12 (4
3. sg)y a las 17:34, ***TELÉFONO.2 el día 11/04/2022 a las 17:51 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/34 Desde el ***TELÉFONO.1 el día 12/04/2022 a las 13:53 (7
4. sg)el 13/04/2022 a las 17:32 (6
5. sg)el 14/04/2022 a las 17:21, SEXTO. No existía vínculo contractual para la realización de llamadas de contenido comercial en las fechas identificadas en la reclamación entre XFERA y los titulares de las líneas telefónicas desde las que se realizaron las llamadas objeto de reclamación. SÉPTIMO. Según la información aportada por la Agencia Tributaria, la búsqueda por el DNI facilitado por XFERA como correspondiente a B.B.B. no proporciona resultados. Asimismo, el DNI que XFERA indica como correspondiente a D.D.D. corresponde a otra persona. OCTAVO . Las tarjetas prepago-correspondientes a las líneas ***TELÉFONO.3 y ***TELÉFONO.1 fueron comercializadas a través de la plataforma de la entidad Fullcarga Ibérica S.L., con NIF B31867534 al amparo del contrato suscrito entre ambas partes con fecha 1 de septiembre de 2021. “ TERCERO: Presentación de recurso de reposición La parte recurrente ha presentado en fecha 5 de mayo de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en motivos de posible nulidad prácticamente coincidentes con las alegaciones ya expuestas durante la tramitación del procedimiento sancionador objeto de recurso. Los motivos alegados y sus correspondientes contestaciones se contienen en el Fundamento jurídico segundo de esta resolución FUNDAMENTOS DE DERECHO I. Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II. C/ Jorge Juan, 6 28001 – Madrid Contestación a las alegaciones presentadas www.aepd.es sedeaepd.gob.es 5/34 Para mejor seguimiento, se sigue el orden expositivo del escrito de recurso. 1. MOTIVOS JURÍDICO – FORMALES 1.1. Admisión a trámite a trámite extemporánea de la reclamación. En este motivo, el recurrente abunda en una alegación ya presentada durante la tramitación del procedimiento sancionador. Alega que, en la tramitación de la reclamación que dio origen al procedimiento, se habría excedido el plazo de tres meses para decidir sobre la admisión a trámite previsto en el artículo 65. Ello debido a que la reclamación fue inicialmente archivada, y solo admitida a trámite tras la estimación de un recurso de reposición contra el anterior archivo. En la resolución sancionadora ya se contestaba a esta alegación: “En relación con la alegación referida al transcurso de un plazo superior a tres meses desde la recepción de la reclamación hasta su admisión a trámite, es preciso recordar que la superación del plazo viene producida por los hechos señalados por la propia parte reclamada. En una primera instancia la reclamación fue archivada, y solo fue admitida a trámite tras la resolución del recurso de reposición interpuesto por la parte reclamante. Con ello, dicha admisión a trámite no fue como consecuencia de la tramitación ordinaria de la reclamación, sino tras la actividad revisora llevada a cabo en la tramitación y resolución del recurso de reposición. En todo caso, la admisión a trámite no prejuzga ni mucho menos la consideración de un incumplimiento que dé lugar a la tramitación de un procedimiento sancionador, sino que este solo ha sido iniciado tras la realización de las actuaciones previas de investigación previstas en el artículo 67 de la LOPDGDD y detalladas en los antecedentes de esta resolución”. Resulta claro que no se ha excedido el plazo señalado por la ley, sino que la admisión a trámite se realizó en la resolución que estimaba el recurso de reposición interpuesto por la parte reclamante contra el archivo de actuaciones. El tiempo que transcurre durante la tramitación y resolución del recurso de reposición no puede ser imputado a un procedimiento anterior como es el de la admisión a trámite que fue objeto del citado recurso. Sino que constituye una revisión de dicha decisión. Admitir la tesis expresada en el recurso equivaldría a considerar que el tiempo de tramitación de los recursos de reposición se incluiría dentro del cómputo de tramitación del procedimiento recurrido, lo que conduciría a resultados contrarios a la normativa procedimental, que considera a los recursos como procedimientos revisores y distintos del original recurrido. La parte recurrente incluye dentro de este motivo un argumento ajeno al inicialmente invocado, cual sería la queja relativa al propio sentido estimatorio de la resolución del recurso contra el archivo de actuaciones. Se contienen afirmaciones como que esta resolución supondría un cambio de criterio frente al archivo inicial “sin argumentación jurídica”; califica como “inaudito” que una autoridad administrativa delegue en la parte reclamante la consideración sobre si la prueba desplegada para justificar el archivo de su reclamación, para concluir que la causa del archivo de actuaciones inicial no se habría visto desvirtuada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/34 En relación con estas alegaciones debe señalarse lo siguiente: La decisión sobre la admisión a trámite a una reclamación no implica la constatación acreditada de que una infracción se haya producido. La admisión se produce cuando existen indicios de que una irregularidad en materia de protección de datos personales puede haber sido cometida, y de que la misma ha sido denunciada por quien ve sus derechos presuntamente vulnerados. Así se deduce de la regulación del artículo 65 de la LOPDGDD, que determina las causas de inadmisión de las reclamaciones, entre ellas “cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción.” (apartado segundo). Para admitir a trámite una reclamación, por lo tanto, basta con que existan indicios razonables de que la infracción puede haber sido cometida, pero en modo alguno es necesaria la constatación fehaciente de la misma. La resolución por la que se admita a trámite una reclamación, por lo tanto, deberá justificar la existencia de indicios que determinen la necesidad de dicha admisión, sin perjuicio de que, tras la realización, si fuera preciso de actuaciones previas de investigación (art 67 de la LOPDGDD) o sencillamente tras el análisis posterior de la documentación que obra en el expediente, la AEPD se pronuncie sobre el archivo de actuaciones o la apertura de un procedimiento sancionador o de apercibimiento. Por la parte recurrente se afirma que la estimación del recurso de reposición se hizo “sin argumentación jurídica” y que el criterio inicial de archivo de actuaciones no habría sido desvirtuado. En relación con este argumento, ya en la resolución sancionadora se indicaba lo siguiente: “A esos efectos es importante señalar que el reclamante en el recurso de reposición aportó listado de llamadas, por lo que se trataba de nueva documentación que fue evaluada por la AEPD y por tal motivo el plazo de caducidad de las actuaciones previas se inicia cuando se produce la resolución estimatoria del recurso. La documentación no constaba en la reclamación original. La resolución de recurso de reposición tiene fecha de 10/04/2023” En relación con este aspecto, en la resolución del recurso de reposición se indica cuál es la documentación nueva aportada por el recurrente: “Acredita la inscripción de la línea receptora en la Lista Robinson el 15 de diciembre de 2021, y aporta varias capturas de pantalla del registro de llamadas entrantes. Concretamente, desde la línea llamante ***TELÉFONO.1 recibió llamadas los días 12/04/2022 a las 13:53 horas, 13/04/2022 a las 17:32 horas y 14/04/2022 a las 17:21 horas; desde la línea llamante ***TELÉFONO.2 recibió una llamada el día 11/04/2022 a las 17:51 horas y desde la línea llamante ***TELÉFONO.3 recibió llamadas los días 18/3/2022 a las 18:14 horas y 19/3/2022 a las 17:12 horas y 17:34 horas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/34 Asimismo, aporta grabaciones de tres llamadas en la que la línea llamante se identifica como “distribuidora de YOIGO”, “departamento de fibra de YOIGO” y “compañía YOIGO”, respectivamente.” Del mismo modo, en la resolución del recurso se reflejan las alegaciones presentadas al mismo por XFERA MÓVILES y que motivaron estimación del mismo y consiguientemente la admisión a trámite de la reclamación en función de la nueva documentación aportada por la parte reclamante: “Según consta en expediente, la parte recurrente ha acreditado la recepción de llamadas no deseadas con fines de comunicación comercial sin haber prestado su consentimiento.” No puede obviarse asimismo que, en sus alegaciones al mencionado recurso de reposición, XFERA MÓVILES llega a solicitar “que iniciara actuaciones de investigación para identificar a los titulares de las numeraciones denunciadas”, lo que conforme al artículo 67 de la LOPDGDD solo puede realizarse si previamente se ha admitido a trámite la reclamación. Así se hizo y ello puso de relieve la posible infracción cometida por XFERA MÓVILES sustanciada en el oportuno expediente sancionador. Por todo ello, puede considerarse que la resolución del recurso de reposición que estableció la admisión a trámite de la reclamación contiene la pertinente argumentación jurídica y con ello cumple con las exigencias de motivación establecidas en el artículo 35 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las Administraciones Públicas. En relación con el argumento de que resulte “inaudito” que una autoridad administrativa delegue en la parte reclamante la consideración sobre si la prueba desplegada para justificar el archivo de su reclamación es suficiente, esta afirmación es realizada por el recurrente sobre la base de que en la resolución sancionadora se indica lo siguiente: ““En el recurso de reposición, la parte recurrente señala que las evidencias presentadas por la parte reclamada son insuficientes, sin excluir la posibilidad de contratación de actuaciones comerciales por vía de las líneas objeto de la reclamación inicial” y que “Según consta en expediente, la parte recurrente ha acreditado la recepción de llamadas no deseadas con fines de comunicación comercial sin haber prestado su consentimiento”.” Es evidente, en relación con esta afirmación que esta Agencia no “delega” en la parte reclamante la consideración de si una prueba justifica el archivo, sino sencillamente se ha producido, en el seno de la tramitación del recurso, la valoración de la prueba documental aportada por dicha parte, considerando, como se motiva en la resolución, que aporta al menos un indicio consistente de que una infracción en materia de protección de datos personales se había podido producir. Ello sin perjuicio de que, como es sabido, se realizaron posteriores actuaciones previas de investigación que concretaron los hechos imputables y el sujeto responsable, tras lo cual se tramitó el oportuno expediente sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/34 Debe desestimarse, por lo tanto, este motivo de nulidad alegado. 1.2. Caducidad de las actuaciones previas En este apartado, el recurrente alega que se habría producido la caducidad de las actuaciones previas de investigación que se realizaron durante el procedimiento. En este punto, en el recurso se discrepa de la argumentación contenida en la resolución del procedimiento sancionador, en la cual se indica que el inicio del plazo para el cómputo del período de actuaciones previas se produce con la resolución del recurso de reposición interpuesto por el reclamante. Por el contrario, considera que el inicio de dicho plazo sería la notificación que la AEPD hizo originalmente a XFERA MÓVILES el traslado de la reclamación. Ello por lo siguiente: - De la lectura del escrito por el que la AEPD traslada inicialmente la reclamación se deduce que el mismo realmente inicia la investigación, ya que requiere una exhaustiva información a la parte reclamada. - La AEPD realiza un “completo requerimiento de información específica”, a la que XFERA estaría obligada a contestar en cumplimiento de su deber de colaboración, establecido en el artículo 52 de la LOPDGDD. Con ello, afirma la recurrente, el plazo de 12 meses comenzaría con la notificación de dicho escrito de traslado, lo cual se produjo el 13/06/2022, y concluye que la caducidad de las actuaciones previas de investigación se habría producido un año después (13/06/2023) y en todo caso antes del inicio del procedimiento sancionador, que se produjo en fecha 04/04/2024. En primer lugar, esta alegación ya fue realizada durante la tramitación del procedimiento sancionador, y está correspondientemente contestada en la resolución que le puso fin. En dicha resolución se motiva que la resolución del recurso de reposición presentado en su momento por la parte reclamante tuvo como consecuencia únicamente la admisión a trámite de la reclamación. Y tras ella, la LOPDGDD permite a esta AEPD o bien la realización de actuaciones previas de investigación (lo que sucedió en este caso), o bien la apertura directa de expediente sancionador. Teniendo en cuenta que el único efecto, como se indica, de la resolución del recurso de reposición fue la admisión a trámite de la reclamación, todo lo realizado anteriormente no puede ser computado dentro del plazo para la realización de las actuaciones previas de investigación previstas en el artículo 67 de la LOPDGDD, sino que estas comienzan tras la estimación de dicho recurso. Dicha estimación se produjo mediante resolución de esta AEPD de fecha 10/04/2023, fecha en la que comenzó el cómputo del plazo del que disponía esta Agencia para la realización de las actuaciones previas. Teniendo en cuenta que el acuerdo de inicio de procedimiento sancionador fue puesto a disposición de XFERA MÓVILES por vía electrónica con fecha de 05/04/2024, en ningún caso dicho plazo fue sobrepasado. A todo esto cabe añadir lo siguiente. En el recurso de reposición XFERA alega, en relación con el escrito inicial de traslado de esta Agencia (de fecha 06/05/2022 y notificado el 13/05/2022) lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/34 “Basta con ver el contenido de la primera comunicación remitida por la AEPD a XFERA para constatar que, de facto, lo que hace es iniciar una labor de investigación, ya que además de dar traslado del contenido de la reclamación, adicionalmente requiere a XFERA facilite un exhaustivo compendio de documentación e información relacionada con los hechos de los que versa la reclamación, pero también con relación a las concretas actuaciones y diligencia de XFERA al respecto.” Así como lo que se reproduce a continuación: “Por lo tanto, lejos de limitarse a comunicar la reclamación y a solicitar que se dé respuesta a la misma para verificar si el responsable del tratamiento demostraba haber adoptado medidas para el cumplimiento de la normativa aplicable, la AEPD realiza un completo requerimiento de información específica, a la que XFERA está obligada a contestar en cumplimiento de su deber de colaboración, establecido en el artículo 52 de la LOPDGDD.” El recurrente pretende así intentar demostrar que el trámite de traslado inicial previsto en el artículo 65.4 de la LOPDGDD realmente constituye parte de lo que serían “actuaciones previas de investigación” del artículo 67. Esta argumentación no puede prosperar en modo alguno, por los siguientes motivos: En primer lugar, el artículo 67 LOPDGDD exige que para la apertura de un trámite de actuaciones previas de investigación se haya producido la previa admisión a trámite de la reclamación: “Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento” Pues bien, recordemos que en este procedimiento, la reclamación no fue admitida a trámite hasta la firma de la resolución del recurso de reposición interpuesto por la parte reclamante frente al archivo de actuaciones, lo que solo tuvo lugar en fecha muy posterior al traslado, esto es, el 10/04/2023. En segundo lugar, el escrito de Traslado de la reclamación (de 06/05/2022 notificado el 13/05/2022) no puede calificarse como de inicio o formando parte de un trámite de actuaciones previas de investigación. Ya desde el principio se consigna en él el epígrafe “Asunto: Traslado de reclamación y solicitud de información”. Asimismo, se hace constar en dicho escrito que: “De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/34 artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a dar respuesta en el plazo de un mes, se envía extractada la información relevante contenida en la reclamación presentada por A.A.A. que afirma haber recibido llamadas que tenían por objeto la promoción de sus servicios o productos.” Por el contrario, ninguna referencia se contiene en el escrito a que pudiera estar inserto dentro de un trámite de “actuaciones previas de investigación”, ni se invoca el artículo 52 de la LOPDGDD (mencionado por el recurrente en el recurso) que sería el que establece una obligación de colaboración con las actuaciones de inspección de esta Agencia. Únicamente se contienen unos extremos sobre los que se solicita información a la parte reclamada para que, en cumplimiento del artículo 65.4 LOPDGDD, esta Agencia disponga de elementos de juicio que le permitan admitir a trámite, o no, la reclamación. En este trámite se otorga a la parte reclamada una oportunidad de acreditar la adopción de medidas que facultaría a la AEPD a inadmitir la reclamación. Así lo establece el último párrafo del artículo 65.4 LOPDGDD: “Si como consecuencia de dichas actuaciones de remisión, el responsable o encargado del tratamiento demuestra haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá inadmitir a trámite la reclamación” Como consecuencia de lo anterior, no existen elementos de fondo ni de forma que permitan sustentar la alegación de que la solicitud de información contenida en el traslado realmente constituyera un requerimiento de información que estuviera hipotéticamente dentro de unas actuaciones previas de investigación. Se trató únicamente de una solicitud al amparo del artículo 65.4 de cara a la adopción de la decisión sobre la admisión a trámite de la reclamación. Y en consecuencia, no puede considerarse que dicho escrito pudiera iniciar el cómputo del plazo para la realización de las actuaciones previas de investigación. Estas solo pueden iniciarse, como se ha visto, tras la admisión a trámite de la reclamación, lo que se produjo en la resolución estimatoria del recurso de reposición contra la resolución de archivo de actuaciones. Ninguna caducidad de dichas actuaciones previas puede haberse producido, toda vez que, como se ha detallado más arriba, el plazo de 12 meses para las mismas fue estrictamente respetado. 1. MOTIVOS JURÍDICO – MATERIALES 1.1. 1.2. Las líneas afectadas corresponden a tarjetas prepago y El tratamiento de datos se realiza en cumplimiento de los concretos términos de la Ley 25/2007 para los usuarios de servicios prepago. Se analizan conjuntamente ambos motivos al estar referidos al mismo argumento, relativo a la peculiaridad de la obtención y conservación de los datos personales asociados a líneas de tarjetas prepago. La parte recurrente describe estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/34 peculiaridades, centrándose en el argumento de que el operador de telecomunicaciones no precisa disponer, para la prestación de sus servicios, de la identidad del titular de la línea. Afirma que “las tarjetas prepago no requieren conocer la identidad del cliente, ya que el pago se realiza con carácter previo al uso del servicio.”. De este modo, considera que el único motivo por el que el operador necesita conservar el dato de la identidad del titular de la línea sería la obligación que establece la Ley 25/2007, de 18 de octubre, y con ello la base de legitimación para el tratamiento de ese dato personal no sería la ejecución de un contrato (art. 6.1.
6. b)RGPD), sino la existencia de una obligación legal (art 6.1.c). Por todo ello, afirma el recurrente, la única finalidad del tratamiento del dato personal sería su conservación de cara a una eventual puesta a disposición de las Fuerzas y cuerpos de Seguridad del Estado, previa autorización judicial en los casos en que esta sea preceptiva. Continúa indicándose en el recurso que la normativa que obliga a conservar los datos de los solicitantes de tarjetas prepago no requiere verificaciones adicionales más allá de la revisión documental. Se reproduce el texto de la disposición adicional única de la Ley 25/2007, constatando que dicha Ley “en ningún caso permite ni obliga a la obtención y conservación de una copia del documento nacional de identidad o documento exhibido por el comprador: solo permite incorporar “el número correspondiente” a dicho documento, así como su “naturaleza o denominación”, previa exhibición.” Por lo demás, continúa argumentando la parte recurrente, las posibles comprobaciones posteriores que pudiera realizar el responsable del tratamiento (en aras de verificar la validez de la documentación exhibida o la exactitud de los datos conservados) constituiría una vulneración del principio de minimización y, además, requeriría de un tratamiento que precisaría de su propia base de legitimación. Menciona una resolución de esta AEPD, (expediente 2023009441), donde se impone una sanción a una entidad financiera, por haber cotejado los datos de sus clientes con la base de datos de la Tesorería General de la Seguridad Social, dado que la normativa de prevención de blanqueo de capitales, con base en la cual se realiza tal cotejo, no impone ni exige realizar el mismo con la Seguridad Social, no considerando la AEPD que quepa realizar tal tratamiento con base en el cumplimiento legal. En relación con este motivo invocado en el recurso, en primer lugar es preciso señalar que, esencialmente, fue ya contestado en la resolución ahora impugnada. A este respecto, en la misma se señalaba lo siguiente: “En relación con la comprobación de la exactitud de los datos, se afirma por parte de XFERA que por su parte resultaría imposible comprobar la veracidad de los datos aportados. En este sentido afirma: La toma de datos materialmente se realiza por el responsable del tratamiento Este tiene impuesta la obligación, por contrato, de comprobar la identidad que figura en el documento identificativo y trasladarla a la base de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/34 Conforme al principio de minimización del art 5.1.c RGPD no puede conservarse una copia o imagen del documento identificativo. - El operador no tiene modo de comprobar si los datos son exactos Basándose en esas premisas, XFERA afirma que no tendría ningún medio a su disposición para realizar una comprobación de la veracidad de los datos. En sentido contrario, la conclusión es que debe conformarse con dar por buenos los datos que se cargan en la base de datos y no podría realizar comprobación alguna. Incluso aceptando estas premisas, hay que tener en cuenta los resultados arrojados por la consulta de la Inspección de esta Agencia a los datos de la Agencia Tributaria. Respecto a una de las líneas telefónicas el resultado fue que el DNI proporcionado no se correspondía con el nombre y apellidos proporcionados. Pero es que respecto a la otra línea se proporcionó un número de DNI inexistente, es decir, que no se correspondía con ninguna persona. A este respecto, se observa que XFERA no tenía establecido ningún mecanismo de seguridad conforme al cual no podrían aceptarse números de DNI inexistentes. Pero no solo eso, sino que como se ha explicado en relación con la responsabilidad de encargado o responsable, no consta aportado ningún mecanismo de control, auditoría, muestreo o similar que permitiese la posible existencia de errores o inexactitudes en los datos. Es decir, tal y como reconoce XFERA , su labor en este asunto, como responsable del tratamiento, era dar por bueno todos y cada uno de los datos introducidos por sus encargados del tratamiento, sin realizar comprobación alguna. Ello a sabiendas, según también se reconoce, que puede haber fraudes, suplantaciones e incluso delitos de falsedad documental con objeto de dar de alta titulares inexactos, lo que, también insistimos, puede dar lugar al fracaso de investigaciones penales. Como se indicó anteriormente, la única afirmación que se contienen en las alegaciones de la parte reclamada, en relación con un posible control ex post de los datos conservados, sería la siguiente: “Derivado de lo anterior, cabe concluir que XFERA sí ejerció un control y una supervisión respecto de la actuación de FULLCARGA y de los puntos autorizados por ésta, contando con controles tendentes a garantizar la exactitud de los datos recabados, sin que quepa exigir la infalibilidad de estos.” Pero no menciona en qué medidas se concretaría este control, ni mucho menos se justifica documentalmente. En el presente procedimiento no se sanciona solo por la mera producción de un resultado, como afirma XFERA, (sería un caso de responsabilidad objetiva proscrita por nuestro ordenamiento y el derecho sancionador), sino porque ese resultado de datos inexactos viene precedido por la ausencia de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/34 técnicas y organizativas que hacen que concurra en este caso una grave negligencia en el cumplimiento de sus obligaciones como responsable del tratamiento de datos personales.” El precedente invocado por el recurrente (EXP2023009441, sanción por consulta a los datos de la Tesorería General de la Seguridad Social) no es pertinente aquí, toda vez que, ni directa ni indirectamente está esta AEPD sugiriendo cuál sería el mecanismo por el cual la parte reclamada pudiera realizar comprobaciones sobre la exactitud de los datos. Todo lo contrario, lo que se reprocha a dicha parte es que, en su condición de responsable del tratamiento (condición reconocida en la página 9 del escrito de recurso), se limitaba únicamente a permitir que sus comercializadores incluyeran los datos de los titulares de tarjetas prepago sin realizar ninguna comprobación. De este modo, se llegó a extremos como el sancionado, en el que llegaron a figura en la base de datos de XFERA MÓVILES, identidades falsas de titulares de tarjetas prepago, ya que la combinación de dígitos y letra uno de los dos números de DNI que constan en el expediente y por los cuales requirió información esta AEPD en el seno de una investigación, resultó que ni siquiera existía. No considera esta Agencia, por lo tanto, que la parte recurrente tuviera que realizar tratamientos adicionales no legitimados, ni mucho menos vulnerar el principio de minimización de datos consagrado en el artículo 5.1.
7. c)del RGPD, sino que, en virtud de los principios de responsabilidad proactiva (artículo 5.2 del mismo Reglamento), y de protección de datos desde el diseño (art 25), dicha entidad tuviera establecido algún tipo de mecanismo que le permitiera detectar fraudes tan evidentes como el que se aquí se producía. No olvidemos que la obligación de conservación de datos establecida en la Ley 25/2007, de 18 de octubre, tiene como finalidad colaborar en las investigaciones que, por la comisión de delitos graves, puedan llevar a cabo las Fuerzas y Cuerpos de Seguridad del Estado, con lo que la falta de exactitud de los datos puede desembocar (como se produjo en este caso de la investigación de esta Agencia) en la frustración de la investigación de conductas penalmente reprochables. Como se ha afirmado con anterioridad, la parte reclamada no tenía establecido ningún control, limitándose a conservar los datos introducidos por sus agentes en la base de datos. No puede, por lo tanto, acogerse este motivo del recurso. 1.1. Falta de competencia de la Agencia En este apartado la parte recurrente reitera también una alegación ya efectuada durante el procedimiento sancionador, cual sería que la competencia sancionadora por infracciones relativas a la llevanza del libro – registro de titulares de líneas de tarjetas prepago reside, conforme a la Ley 25/2007, de 18 de octubre, en la Secretaría de Estado de Telecomunicaciones e Infraestructuras digitales (SETID) La cuestión quedó ampliamente rebatida en el Fundamento jurídico cuarto de la resolución. A modo de resumen puede reseñarse el siguiente párrafo: “Por el contrario, en este expediente la AEPD está supervisando el cumplimiento de los principios básicos del derecho fundamental a la protección de datos, que corresponde a los titulares de los mismos. Y lo cierto es que, como se motiva en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/34 esta resolución, no se ha garantizado el principio de exactitud al vincularse nombres, direcciones, números de teléfonos y documentos identificativos que eran inexactos. Esta resolución sanciona por el incumplimiento de un principio básico de la protección de datos personales, establecido en el art 5.1.
8. d)del RGPD y no aplica el régimen sancionador de la Ley 25/2007, sino el del propio RGPD complementado con las disposiciones de la LOPDGDD.” En el recurso de reposición quizá la única novedad es el precedente ahora invocado, de esta Agencia. Se menciona que, en relación con la competencia de la SETID: “Así lo reconoció la propia Agencia, en su resolución del expediente E/03790/2015, en los siguientes términos: “Por último, el apartado 6 de la Disposición Adicional única de la Ley 25/2007 atribuye a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información competencia sancionadora en relación a las infracciones que sobre la obligación de llevanza del Libro Registro se tipifican en su apartado 5”. En relación con este precedente, cabe descartar su aplicación al presente procedimiento sancionador por los motivos que se detallan a continuación. En primer lugar, la reclamación se interpuso ante esta Agencia por una persona que afirmaba que un operador de telefonía había dado de alta una línea prepago a su nombre, sin que el reclamante hubiera accedido a celebrar el contrato ni con ello dado su consentimiento para el tratamiento de sus datos. La resolución de archivo de actuaciones analiza el contenido de la disposición adicional única de la Ley 25/2007, constatando que la misma no impone al operador de telefonía la obligación de conservar una copia del documento identificativo que exhiba el contratante. Cuestión no controvertida ni en ese procedimiento ni en el ahora enjuiciado. Como consecuencia, la AEPD constata que, dada la inexistencia de la obligación de conservar copia, no resulta posible determinar fehacientemente que el alta practicada fuera fraudulenta o sin consentimiento del contratante. Por el contrario, en el procedimiento ahora analizado, no se está tratando un supuesto de alta fraudulenta. Sino otro radicalmente distinto, cual es que el operador, ante el requerimiento de esta Agencia, proporcionó datos que resultaron ser falsos. Y tras ello se ha constatado que dicho operador no tenía establecida ninguna medida para comprobar dicha falsedad. Hasta el extremo de que llegó a tener incorporados (y facilitados a esta Agencia) un número de DNI que ni siquiera existía. Es decir, el precedente invocado se refería a una posible alta fraudulenta, y la resolución ahora recurrida a la inexactitud de los datos conservados por el operador tras dicha alta. Por lo demás, el archivo decretado por la Agencia en el precedente no se debe a una mera inhibición por falta de competencia, sino que se basa en la presunción de inocencia al no poder acreditarse ninguna actuación irregular del operador. El párrafo aportado por el recurrente sobre la competencia de la SETID se añade de manera adicional y complementaria para señalar dicha competencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/34 Finalmente, no puede dejar de señalarse que el precedente invocado es relativo a hechos y régimen jurídico anterior al RGPD, que, como es sabido, constituye un cambio de paradigma en relación con las obligaciones de “responsabilidad proactiva” de los responsables del tratamiento, tanto en relación con el cumplimiento de sus deberes en materia de protección de datos como en la necesidad de que se disponga de acreditación suficiente de su estricto cumplimiento (art 5.2 RGPD) 1.2. No existencia de culpa o negligencia de XFERA. En este apartado la parte recurrente reitera alegaciones ya vertidas durante la tramitación del procedimiento sancionador. Conforme a lo expresado en el recurso, se afirma que no consta acreditada ninguna conducta negligente de XFERA. La AEPD, afirma el recurrente, considera que XFERA incumple art 5.1.
9. d)únicamente porque los datos facilitados de los titulares de las líneas prepago no son coincidentes con los de la AEAT. Considera que no puede desvincularse el principio de exactitud del contexto del tratamiento. Y a este respecto, no se podrían imponer medidas “absolutas o infalibles”, sino razonables. Razona que para cumplir con el principio de exactitud, de acuerdo con la disposición adicional única de la Ley 25/2007, de 18 de octubre, basta con recabar los datos del titular previa exhibición de su documento identificativo. XFERA, en consecuencia, no dispondría de herramientas adicionales para verificar la identidad más allá del documento de identidad del solicitante. Concluye indicando que no se puede identificar en este procedimiento ninguna conducta negligente de XFERA en la verificación de datos del libro-registro, ya que no dispone de medios, afirma, para realizar tal cotejo ni legitimación para ampliar el tratamiento de datos. El escrito de recurso pretende circunscribir el objeto del expediente al mero cumplimiento de lo establecido en la disposición adicional única de la Ley 25/2007. Ello con un doble objetivo: por una parte, descartar la competencia de la AEPD para ejercer su competencia sancionadora y por otra argumentar que las obligaciones establecidas en dicha ley quedan satisfechas por el mero hecho de que el distribuidor haya incluido los datos del titular en el sistema informático dispuesto por XFERA. Sin comprobación ulterior alguna. Estos argumentos son ampliamente rebatidos en la resolución sancionadora objeto ahora de recurso (FJ IV, aptdo 4): Basándose en esas premisas, XFERA afirma que no tendría ningún medio a su disposición para realizar una comprobación de la veracidad de los datos. En sentido contrario, la conclusión es que debe conformarse con dar por buenos los datos que se cargan en la base de datos y no podría realizar comprobación alguna. Incluso aceptando estas premisas, hay que tener en cuenta los resultados arrojados por la consulta de la Inspección de esta Agencia a los datos de la Agencia Tributaria. Respecto a una de las líneas telefónicas el resultado fue que el DNI proporcionado no se correspondía con el nombre y apellidos proporcionados. Pero es que respecto a la otra línea se proporcionó un número de DNI inexistente, es decir, que no se correspondía con ninguna persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/34 A este respecto, se observa que XFERA no tenía establecido ningún mecanismo de seguridad conforme al cual no podrían aceptarse números de DNI inexistentes. Pero no solo eso, sino que como se ha explicado en relación con la responsabilidad de encargado o responsable, no consta aportado ningún mecanismo de control, auditoría, muestreo o similar que permitiese la posible existencia de errores o inexactitudes en los datos. Es decir, tal y como reconoce XFERA , su labor en este asunto, como responsable del tratamiento, era dar por bueno todos y cada uno de los datos introducidos por sus encargados del tratamiento, sin realizar comprobación alguna. Ello a sabiendas, según también se reconoce, que puede haber fraudes, suplantaciones e incluso delitos de falsedad documental con objeto de dar de alta titulares inexactos, lo que, también insistimos, puede dar lugar al fracaso de investigaciones penales. Como se indicó anteriormente, la única afirmación que se contienen en las alegaciones de la parte reclamada, en relación con un posible control ex post de los datos conservados, sería la siguiente: “Derivado de lo anterior, cabe concluir que XFERA sí ejerció un control y una supervisión respecto de la actuación de FULLCARGA y de los puntos autorizados por ésta, contando con controles tendentes a garantizar la exactitud de los datos recabados, sin que quepa exigir la infalibilidad de estos.” Pero no menciona en qué medidas se concretaría este control, ni mucho menos se justifica documentalmente. En el presente procedimiento no se sanciona solo por la mera producción de un resultado, como afirma XFERA, (sería un caso de responsabilidad objetiva proscrita por nuestro ordenamiento y el derecho sancionador), sino porque ese resultado de datos inexactos viene precedido por la ausencia de medidas técnicas y organizativas que hacen que concurra en este caso una grave negligencia en el cumplimiento de sus obligaciones como responsable del tratamiento de datos personales.” Asimismo, en el apartado 3 del mismo FJ IV se detalla muy claramente que el objeto del procedimiento sancionador no es enjuiciar el cumplimiento de lo establecido en la disposición adicional única de la Ley 25/2007, de 18 de octubre, sino el del principio de exactitud del dato consagrado en el artículo 5.1.
10. d)del RGPD, sobre el cual la competencia sancionadora recae sobre esta AEPD: “En este sentido, ha de tenerse en cuenta que la calidad de los datos está directamente relacionada con que éstos sean exactos, en el sentido de que sean reflejo de una situación real. Dicho de otro modo, no puede predicarse de unos datos inexactos que cumplan con el requisito de calidad. Asimismo, resulta claro del precepto transcrito que dicha calidad en la información ha de garantizarse de acuerdo a lo dispuesto en la normativa de protección de datos personales. Normativa que ha de entenderse referida al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/34 RGPD y a la LOPDGDD. En consecuencia, por lo señalado, puede concluirse que dicha obligación- garantizar la calidad de los datos tratados en cumplimiento de la Ley 25/2007- se corresponde con el principio de exactitud de los datos previsto en el artículo 5.1
11. d)del RGPD- y que su cumplimiento ha de garantizarse de acuerdo a lo dispuesto en la normativa en materia de protección de datos personales actualmente en vigor: el RGPD y la LOPDPGDD. Dicho lo anterior, y toda vez que la AEPD es la entidad competente para velar por el cumplimiento de la normativa en materia de protección de datos personales- como, además del RGPD y la LOPDGDD, el propio artículo 8.4 de la Ley 25/2007 señala expresamente- ha de rechazarse la alegación relativa a la incompetencia material para resolver la comisión presuntamente cometida por la parte reclamada objeto del presente procedimiento sancionador. La obligación deriva de la Ley 25/2007, pero con obligación o sin ella, los datos personales que trata un responsable tienen cumplir el principio de exactitud del RGPD. “ En el recurso de reposición se llega a afirmar, en relación con esta cuestión, que “la AEPD considera que tiene lugar en el presente la vulneración del artículo 5.1 apartado
12. d)del RGPD, en la medida en la que los datos obtenidos no coinciden con los facilitados por la Agencia Tributaria.” En ningún lugar de la resolución sancionadora se afirma, directa ni indirectamente tal cosa. Conforme a los párrafos reproducidos más arriba no se reprocha la falta de coincidencia de los datos como un mero resultado, sino la más absoluta falta de controles en relación con la corrección y exactitud de los datos incluidos en un tratamiento cuya responsable es XFERA MÓVILES. De hecho, una mínima comprobación de la numeración de los DNI objeto de este expediente le habría permitido no la constatación de que no coinciden las numeraciones, sino sencillamente de que uno de los números era forzosamente inexacto por no corresponderse con una numeración válida de DNI en España. Y ello nos lleva al principio de culpa o negligencia invocado en esta alegación. Como se repite en numerosas ocasiones por la parte recurrente, la finalidad del tratamiento impuesto por la Ley 25/2007, de 18 de octubre, no está asociada al desenvolvimiento de la relación contractual entre operador de telefonía y cliente. Sino que se traduce en la necesidad de conservar determinados datos personales asociados al uso de servicios de comunicaciones electrónicas, con el fin de tenerlos a disposición de las Fuerzas y cuerpos de seguridad, para que, previa autorización judicial en los casos en que esta sea necesaria, dispongan de la información que permitan solucionar ilícitos penales e identificar a sus responsables. Y ciertamente, uno de los riesgos más básicos que se pueden detectar en el tratamiento objeto de este procedimiento sería el relativo a que por parte de quienes tienen intención de delinquir, se proporcionen datos falsos para una posterior elusión de la acción de la justicia. Y a este respecto, XFERA no ha aportado ni una sola medida que tienda a realizar comprobación alguna sobre la exactitud de los datos personales de los que es responsable con esta finalidad. En relación con la posible negligencia y el principio de culpabilidad, la resolución sancionadora razona lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/34 “En lo que respecta a la aplicación del principio de culpabilidad en el ámbito del derecho sancionador regulado por el RGPD, la entidad investigada trae a colación la doctrina sentada por la STJUE, de 5 de diciembre de 2023 (asunto C807/21, Deutsche Wohnen SE y Staatsanwaltschaft Berlin). Pues bien, cabe preguntarse entonces cuáles son los parámetros de la diligencia debida que la entidad investigada debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional de 29 de junio de 2001). En consecuencia, las alegaciones deben ser desestimadas toda vez que la entidad investigada ha infringido las obligaciones impuestas en el RGPD en calidad de responsable de los tratamientos llevados a cabo en su nombre y por su cuenta, en relación con las responsabilidades que exige a todo responsable del tratamiento el artículo 24 del RGPD. Las alegaciones no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. Al respecto, y específicamente en relación con el principio de exactitud, cabe también recordar que la Audiencia Nacional, en su sentencia de 1 de marzo de 2024, rec. 1757/2021, dispone que se impone al responsable del tratamiento que verifique la exactitud de los datos del interesado a través de la implementación de las medidas adecuadas cuando se efectúe una contratación. Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/34 identificativa, como viene reiterando la Sala entre otras en Sentencias de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014), entre otras. Obligación que es trasladable a los supuestos de representación, en que no solo es necesario comprobar los datos del interesado sino también los del representante que está actuando en nombre del representante y su efectiva representación Procede, por lo tanto, desestimar este motivo del recurso 1.3. Sobre el rol del encargado del tratamiento En este apartado, la parte recurrente reproduce igualmente alegaciones ya efectuadas durante la tramitación del procedimiento sancionador. En ocasiones, se contienen en el recurso razonamientos a modo de contestación a la propia resolución, rebatiendo lo en ella indicado pero con base en argumentos ya utilizados durante el sancionador. El escrito de recurso dedica una extensa argumentación en relación con el modelo de comercialización de tarjetas prepago utilizado, esto es, a través de un distribuidor que celebra un contrato de servicios con XFERA MÓVILES y que a su vez tiene, en lo relativo a la legislación sobre protección de datos personales, la condición de encargado del tratamiento. En este aspecto, los motivos invocados en el recurso se refieren a los siguiente: Por una parte, la comercialización de las tarjetas prepago se habría producido a través de un distribuidor con el que XFERA ha celebrado un contrato. Desde esa óptica, las actuaciones tendentes a la identificación del titular de las líneas, conforme a lo ordenado por la disposición adicional única de la Ley 25/2007, de 18 de octubre, serían realizadas por el distribuidor o “punto de venta”, de modo que la posible inexactitud de los datos recabados u obtenidos no podría ser responsabilidad de XFERA, sino del propio punto de venta A este respecto, invoca en su favor XFERA una resolución de la SETID que habría decretado el archivo de actuaciones en un procedimiento sancionador contra XFERA, por una presunta infracción de la “llevanza incompleta del libro – registro” prevista en la Ley 25/2007. En este expediente constaría un informe del Ministerio del Interior que, en opinión del recurrente, determinaría que la responsabilidad por la exactitud de los datos obtenidos por podría recaer en el operador de telecomunicaciones (en este caso XFERA) sino en el distribuidor o punto de venta. Se alega también en el recurso que XFERA habría arbitrado todos los mecanismos previstos en la normativa sobre protección de datos personales en sus relaciones con el encargado del tratamiento. De este modo, habría celebrado un contrato de encargo del tratamiento y habría dictado las oportunas instrucciones a dicho encargado para el correcto cumplimiento de las obligaciones de identificación de los titulares de las tarjetas prepago. Aparte de ello, se obliga al distribuidor a la sujeción del “Código de conducta” que tiene establecido para estas funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/34 En relación con esta alegación, añade que, si bien la regulación del RGPD hace recaer la responsabilidad por el cumplimiento de sus preceptos en el responsable del tratamiento, no cabe excluir la del encargado cuando incumpla el contrato o las instrucciones que aquel establezca. Concluye esta alegación indicando que: “en el caso de los puntos de venta, no es excepcional que deban lidiar con delincuentes que utilizan documentación falsa o de terceros para dificultar su identificación, e incluso una persona diligente puede tomar la documentación que exhiben como verdadera. En la medida en que se trata de documentos idóneos para producir un engaño, y que en la práctica logran su objetivo, el personal del punto de venta habría sido sujeto pasivo de un delito de falsedad en documento oficial, previsto en el artículo 392 del Código Penal; y es por ello por lo que tampoco procedería la imposición de una sanción en relación con los hechos que se denuncian” Ninguna novedad aporta estas alegaciones respecto a lo ya esgrimido en el procedimiento sancionador ahora objeto de recurso. En relación con la primera de las cuestiones, la resolución ya dejaba completamente claro que el hecho de que un operador de telecomunicaciones haya optado, en relación con la comercialización de sus servicios, por acudir a mecanismos de “outsourcing” o externalización, no puede implicar que no le sean exigibles sus responsabilidades en materia de protección de datos. Particularmente teniendo en cuenta que (cuestión no controvertida en este procedimiento) XFERA MÓVILES tiene la condición de responsable del tratamiento en relación con los datos de los titulares de las tarjetas prepago que debe conservar por mandato de la disposición adicional única de la Ley 25/2007, de 18 de octubre En relación con este aspecto, ya dejaba claro la resolución sancionadora lo siguiente: “Por lo tanto, la existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por sí mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. Es decir, que el encargado, para serlo, no ostenta ningún interés propio respecto del resultado del tratamiento objeto de encargo, sin perjuicio de la compensación económica que recibe por el servicio prestado y que es lo que acontece en el presente caso. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo que determina que sean encargados desde el principio. Ello determina que responde el responsable del tratamiento de actuaciones contrarias al RGPD llevadas a cabo por sus encargados del tratamiento, a salvo que estos últimos hubieran actuado como verdaderos responsables del tratamiento, decidiendo sobre los fines y medios del tratamiento, cuestión que no ha acontecido en el presente supuesto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/34 Así, la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21, en cuanto a la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento en relación con las operaciones de tratamiento efectuadas por un encargado, (…) Esto se relaciona directamente con el principio de responsabilidad proactiva del responsable del tratamiento previsto en el artículo 5.2 del RGPD que establece que «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)». Esto significa que el responsable deberá garantizar la aplicación efectiva de los principios del tratamiento tanto en el momento de determinar los medios del tratamiento como durante el tratamiento en sí, bien lleve a cabo el tratamiento de datos personales directamente o encargue a un encargado del tratamiento que lo realice por su cuenta (a efectos de la normativa de protección de datos es lo mismo), a través de la articulación de una serie de medidas técnicas y organizativa de todo tipo, las cuales deberán ser objeto de revisión y actualización periódica. Ello implica que el citado responsable es el que asume su propia responsabilidad dirigiendo, revisando y coordinando el tratamiento, incluyendo la del personal y la del encargado del tratamiento que le presta servicios. En relación con el precedente invocado de la resolución de la SETID y el informe que consta en el mismo del Ministerio del Interior, también la resolución recurrida se pronuncia claramente. Las normativas, los bienes jurídicos protegidos y las finalidades de ambas regulaciones son diferentes. “La parte reclamada menciona un informe emitido por el Ministerio del Interior durante la tramitación por la SETID por presunto incumplimiento, también por XFERA MÓVILES, de sus obligaciones de conservación de datos de la Ley 25/2007, de 18 de octubre. En el informe se contienen afirmaciones como: “…el libro-registro se encuentra situado en las dependencias de dicho punto de venta, siendo la responsabilidad de su cumplimentación del punto de venta”; “Es responsabilidad del punto de venta comprobar visualmente el documento acreditativo que aporte la persona contratante” y “(no existe obligación de guardar una fotocopia del DNI), la operadora nunca puede comprobar la veracidad de los datos trasladados por los puntos de venta, por lo que la responsabilidad última de las infracciones siempre debe recaer en dichos puntos” Al respecto no podemos olvidar que estas afirmaciones se enmarcan dentro de la imputación a XFERA por la presunta vulneración de sus obligaciones de conservación de datos por la Ley 25/2007. Y en ese marco cobra todo el sentido lo afirmado, como que la recolección de datos se produce presencialmente en el establecimiento de venta, que la responsabilidad de dicha recolección es del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/34 titular de dicho establecimiento y que la operadora no puede comprobar la veracidad de lo trasladado Sin embargo, en el presente expediente sancionador nos encontramos dentro de la comprobación de las obligaciones que el responsable del tratamiento (en este caso XFERA como se ha argumentado en el apartado anterior) tiene como garante de la exactitud de los datos conservados que, insistimos, se guardan para que en caso de ser necesarios sean puestos a disposición de las Fuerzas y cuerpos de seguridad dentro de las investigaciones penales por delitos graves. Y a estos efectos, si bien es cierto que la toma de datos se produce por el encargado del tratamiento (una decisión como también se ha explicado antes voluntariamente adoptada por el responsable, que también podía optar por realizar dicha toma con medios propios) no lo es menos que dicho responsable es el obligado a garantizar el cumplimiento del principio de exactitud. Y tiene a su disposición medios tanto preventivos como reactivos para que dicha garantía se cumpla. Lo que no ha acreditado en este caso. Finalmente, el hecho de que la parte recurrente haya cumplimentado obligaciones formales como la existencia de un contrato de encargo del tratamiento no puede implicar que el responsable del mismo se desentienda de sus obligaciones, como la de disponer mecanismos que tiendan a la comprobación de los principios del artículo 5 del RGPD, en lo que aquí nos ocupa el de su apartado 1.
13. d)(principio de exactitud). Ello también se razona exhaustivamente en la resolución recurrida: Es mucho más, es una falta de cumplimiento de las obligaciones impuestas por el RGPD. Por tanto, se insiste, en que el responsable del tratamiento debe establecer, en su relación con el encargado del tratamiento, modalidades claras para dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o bien en otro acuerdo (vinculante) y también posteriormente durante la vigencia del mismo y comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma establecida en el mismo. A este respecto, nada se ha acreditado, ni siquiera aportado, en relación con medidas ex post (esto es, posteriores a la incorporación de los datos por parte del encargado del tratamiento) tendentes a comprobar la exactitud o veracidad de los datos. La única afirmación al respecto, contenida en las alegaciones a la propuesta de resolución es la siguiente: “Derivado de lo anterior, cabe concluir que XFERA sí ejerció un control y una supervisión respecto de la actuación de FULLCARGA y de los puntos autorizados por ésta, contando con controles tendentes a garantizar la exactitud de los datos recabados, sin que quepa exigir la infalibilidad de estos.” Pero no aclara, ni mucho menos justifica, cuáles serían esos controles. En relación con este aspecto, procede traer a colación el contenido de la STS 1562/2020, de 15 de junio de 2020, rec. 601/2019, que señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/34 “En tal sentido, ya la Sentencia del Tribunal Supremo de 5 de junio de 2004, que confirma, en casación para Unificación de Doctrina, la de esta AN de 16 de octubre de 2003, haciéndose eco de lo argumentado por esta Sala refiere la diferenciación de dos responsables en función de que el poder decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento. Con ello, como asimismo argumenta la STS de 26 de abril de 2005 (casación para unificación de doctrina 217/2004), el legislador español pretende adaptarse a las exigencias de la Directiva 95/46/CE, que tiene como objetivo dar respuesta legal al fenómeno, que cada vez es más frecuente, de la llamada externalización de los servicios informáticos, donde actúan múltiples operadores, muchos de ellos insolventes, creados con el objetivo de buscar la impunidad o irresponsabilidad de los que le siguen en los eslabones siguientes de la cadena. En la actualidad, el nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (por el que se deroga la Directiva 95/46/CE, y de aplicación directa a partir del 25 de mayo de 2018) distingue asimismo entre las figuras del responsable y del encargado del tratamiento. La primera se define en el apartado 7) del artículo 4 como " persona física o jurídica (...) que determine los fines y medios del tratamiento”. Y el encargado de tratamiento en el apartado 8) del mismo artículo 4 como aquel que "trate datos personales por cuenta del responsable del tratamiento". Ello en relación con los Artículos 24 y 28 del mismo Reglamento Europeo de Protección de Datos. Responsable y encargado del tratamiento de datos que, sin lugar a duda, resultan asimismo responsables de las infracciones en materia de protección de datos, en tal nuevo marco normativo, de conformidad con lo previsto en el artículo 82.2 del repetido Reglamento (UE) 2016/679 a cuyo tenor: Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable. Se desprende de todo lo anterior que la concurrencia, en el presente supuesto, de un encargado del tratamiento ZZZZ en absoluto exime de responsabilidad a la entidad XXXX ahora recurrente, y ello a pesar de la contundencia de las cláusulas que figuran en el contrato y anexo al mismo firmados por ambas compañías (hechos probados 9 y 10) en cuanto los datos personales tratados lo fueron con la finalidad de llevar a cabo una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/34 campaña publicitaria respecto de seguros de coche y moto que comercializaba la (XXXX), en definitiva en beneficio de dicha XXXX, siendo tal entidad actora la que, en último término, determina los fines y medios del repetido tratamiento de datos, por lo que la misma no puede ser exonerada de responsabilidad”. Continua la STS, en relación con la posible exoneración de responsabilidad alegada en cuanto a lo suscrito en el contrato de «encargado del tratamiento», lo siguiente: “La conducta sancionada de obstaculización o impedimento por XXXX del ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de cautela para evitar el envío de publicidad a las direcciones de correo electrónico de su cliente por parte de aquellas empresas a las que encomendó la realización de las campañas publicitarias. La adopción de las medidas o cautelas necesarias para asegurar la efectividad del derecho de oposición al tratamiento de sus datos por parte de XXXX, como responsable del fichero, subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por XXXX, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades.” No puede dejar de señalarse, finalmente, la contradicción en que incurren entre sí los argumentos empleados en el recurso en relación con las responsabilidades de XFERA y su encargado en la función de identificación de los titulares de líneas prepago. En este motivo de impugnación se pretende residir la responsabilidad por el incumplimiento en el encargado del tratamiento, con el argumento de que “La identificación irregular por parte del encargado del tratamiento constituye un incumplimiento de los términos contractuales estipulados por XFERA, no constituyendo, no obstante, una ausencia de medidas de seguridad por parte de XFERA ni, por ende, una infracción del artículo 5.1.
14. d)del RGPD.” Este argumento partiría de la responsabilidad del encargado por la concurrencia de dolo o negligencia en el cumplimiento de sus funciones. Sin embargo a continuación se señala que “en el caso de los puntos de venta, no es excepcional que deban lidiar con delincuentes que utilizan documentación falsa o de terceros para dificultar su identificación, e incluso una persona diligente puede tomar la documentación que exhiben como verdadera. En la medida en que se trata de documentos idóneos para producir un engaño, y que en la práctica logran su objetivo, el personal del punto de venta habría sido sujeto pasivo de un delito de falsedad en documento oficial.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/34 Esta contradicción no hace sino revelar cuál es el verdadero incumplimiento y con ello el objeto del presente procedimiento. No se trata de dilucidar la responsabilidad en que pudiera incurrir el distribuidor y la diligencia que deba tener en la detección de falsedades o incorrecciones a la hora de recabar los datos de los titulares de las líneas, sino la responsabilidad de XFERA en la detección de casos de inexactitudes flagrantes con las que concurren en los datos objeto de este procedimiento, ya que, como se ha repetido, uno de los números de DNI aportados no existen ni se corresponden con una numeración válida de un DNI español. Procede, por lo tanto, rechazar este motivo de anulación invocado. 1.1. De la vulneración del artículo 4 de la LOPDGDD y la responsabilidad del titular. En este apartado de nuevo la parte recurrente expone un motivo ya invocado durante la tramitación del expediente sancionador. Partiendo del hecho de que en las contrataciones de líneas de tarjetas prepago, los datos personales de su titular son proporcionados por este al operador, se refiere a lo dispuesto en el artículo 4 de la LOPDGDD, con el siguiente texto: “2. A los efectos previstos en el artículo 5.1.
15. d)del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
16. a)Hubiesen sido obtenidos por el responsable directamente del afectado.” Basándose en este precepto, argumenta el recurrente que este artículo establece que el incumplimiento del principio de exactitud no será imputable al responsable del tratamiento “siempre que haya adoptado las medidas razonables para que se supriman o rectifiquen sin dilación la inexactitud de los datos personales”. Esto, opina XFERA, le excluiría de la responsabilidad en este supuesto, ya que este precepto le eximiría de las comprobaciones relativas a dicha exactitud salvo lo referido a las “medidas razonables”. De este modo, interpreta que la normativa no establece que el responsable del tratamiento “deba ser capaz de cuestionar y verificar los datos aportados por el propio interesado sobre su propia identidad”. Y concluye indicando que, además, en este caso no consta una suplantación de identidad, sino solo que los peticionarios habrían aportado datos falsos. Esta alegación fue ya adecuadamente contestada en la resolución sancionadora ahora recurrida. En la misma se señala: “El interesado afirma la exclusión de responsabilidad en caso de que quien contrata la línea prepago facilite datos falsos. En primer lugar, nada ha quedado aclarado en relación con el verdadero origen de la inexactitud de los datos, ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/34 que la parte reclamada se limita a repetir que no tienen manera de comprobar los datos que fueron introducidos por su encargado de tratamiento. Pero, en segundo lugar, no puede obviarse que el primero de los párrafos reproducidos contiene el inciso “siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen, sin dilación, la inexactitud de los datos personales”. Y esta es la clave de este incumplimiento, que XFERA no tenía adoptadas medidas que tendiesen a comprobar la exactitud de los datos. Hasta el extremo que, como ha quedado acreditado, uno de los números de DNI aportado ni siquiera existe. En su lugar, XFERA se limita a afirmar que tiene que dar por buenos los datos incorporados por su encargado, sin posibilidad alguna de comprobarlos. Y, no olvidemos, esta obligación de conservación tiene como finalidad que posteriores posibles investigaciones penales puedan tener éxito.” En efecto, no puede pasarse por alto la insistencia de la parte recurrente en afirmar que no dispone de los medios, o incluso que considera jurídicamente imposible, comprobar todos y cada uno de los datos que le son suministrados por los peticionarios de las líneas prepago. Y que ulteriores comprobaciones constituirían un tratamiento no amparado por ninguna base de legitimación del artículo 6.1 del RGPD. Y, como también se repite en la resolución sancionadora, es preciso remarcar que no es ese el reproche que se contiene en el presente procedimiento, sino la ausencia total de medidas relativas a la comprobación de la exactitud de los datos, lo que, en casos como este, habría permitido detectar supuestos de numeraciones de DNI no existentes. En consecuencia, se desestima la alegación. 1.1. De la denegación de la totalidad de los medios de prueba En relación con este motivo de nulidad, de nuevo en el recurso de reposición se reiteran alegaciones ya vertidas durante el procedimiento sancionador. En este apartado los argumentos invocados se dirigen en un doble sentido. Por una parte, considerar que la prueba aceptada por el instructor del expediente (documental adjunta a las alegaciones al acuerdo de inicio) no ha sido correctamente valorada, ya que, afirma, sí se aportaba la acreditación de la realización de controles y auditorías sobre el encargado del tratamiento por parte de XFERA MÓVILES. Por otra parte, se refiere a las dos pruebas denegadas, un factor, que, a juicio del recurrente, ha generado una lesión del derecho a la defensa duranta la tramitación del expediente sancionador. Recordemos que las pruebas solicitadas eran dos. La primera, una declaración testifical de un integrante del encargado del tratamiento FULLCARGA. Esto habría permitido, en palabras del recurrente, “demostrar la existencia de controles y procedimientos en la recopilación de datos de los solicitantes de tarjetas prepago”. La segunda, el requerimiento dirigido a la SETID, del expediente sancionador SAN/00076/2023, ya mencionado tanto en el procedimiento como en el presente recurso. O, alternativamente, solicitar a dicha Secretaría de Estado un informe que “se pronuncie sobre la responsabilidad de XFERA en lo relativo al cumplimiento del libroC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/34 registro que establece la Ley 25/2007, en virtud de la competencia establecida por su Disposición Adicional Única”. En relación con esta última prueba, en el recurso se vuelve a incluir una petición de que se practique. En relación con la primera de las cuestiones, se reconduce a lo ya ampliamente tratado en esta resolución acerca de las pruebas y elementos de juicio tenidos en cuenta en la resolución sancionadora para determinar la responsabilidad de XFERA en la comisión de la infracción del artículo 5.1.
17. d)del RGPD. Esta cuestión se encuentra adecuadamente respondida tanto en la propia resolución sancionadora como en anteriores apartados de esta misma. En cuanto a la posible indefensión en que pudiera haberse incurrido en la tramitación del procedimiento, por la denegación de los medios de prueba propuestos, la resolución sancionadora motiva exhaustivamente la mencionada denegación. Fundamento jurídico quinto. Sin quepa añadir argumento alguno puesto que tampoco se aporta novedad argumentativa alguna en el recurso de reposición respecto a lo ya alegado durante el procedimiento sancionador: “A continuación se contesta a la prueba propuesta por la parte reclamada: 2. Más documental, consistente en que esta digna Agencia libre atento oficio a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, a efectos de solicitar copia del expediente sancionador SAN00067/23, en el marco del cual se dictó la resolución aportada junto al escrito de alegaciones; A este respecto, analizada la resolución aportada por la parte reclamada, se observa que esta decreta el archivo de procedimiento sancionador inicialmente abierto a XFERA por su presunto incumplimiento de las obligaciones de identificación de titulares de tarjetas prepago conforme a la Ley 25/2007. El archivo se basa en el informe emitido por el Ministerio del Interior en el que se contienen afirmaciones como: “Es responsabilidad del punto de venta comprobar visualmente el documento acreditativo que aporte la persona contratante del servicio antes de apuntar dicha información en el libro registro para comprobar su veracidad” “Este Grupo es conocedor de que la operadora de comunicaciones tiene procedimientos automáticos y manuales para la lucha contra el fraude.” A este respecto, procede rechazar la práctica propuesta por dos motivos: primero, porque su práctica no alteraría el resultado de este expediente, toda vez que va referido a la responsabilidad del operador o distribuidor por el cumplimiento de la propia Ley 25/2007, y no incide en aspectos relativos a la protección de datos y a la peculiar relación existente entre responsable y encargado conforme se motiva en esta resolución. Y segundo porque, con independencia del motivo anterior, ya consta en el expediente, aportada por la propia parte reclamada, la resolución que contiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/34 los criterios que la misma pretende que se apliquen al presente procedimiento sancionador. 3. Testifical por escrito, consistente en esta Agencia libre oficio a FULLCARGA IBÉRICA, S.L., a efectos de que su represente legal conteste a las siguientes preguntas: a. ¿Fueron comercializadas, a través de su plataforma informática, dos tarjetas prepago de la marca “(…)”, correspondientes a las líneas móviles ***TELÉFONO.3 y ***TELÉFONO.1, los días 23 de febrero de 2022 y 3 de marzo de 2022, respectivamente? b. En caso afirmativo, ¿pueden confirmar qué concreto establecimiento, de los adheridos a su red, comercializó las citadas tarjetas prepago? c. ¿Facilita Fullcarga algún tipo de instrucciones, a los establecimientos adheridos a su red, sobre cómo cumplimentar los datos de los adquirentes de tarjetas prepago de telefonía móvil, a efectos de dar cumplimiento a las obligaciones de identificación previstas en la Ley 25/2007, de 18 de octubre? Procede rechazar esta prueba, en tanto su práctica en nada alteraría el resultado de este procedimiento sancionador. En efecto, en los hechos probados de esta propuesta ya se recoge cuál fue el procedimiento de contratación e identificación de clientes en este supuesto, a través del distribuidor FULLCARGA IBÉRICA. Ello no obstante, tal y como se motiva en esta propuesta, la atribución de la infracción, procede, en aplicación del régimen previsto en el RGPD, al responsable del tratamiento. Al respecto puede añadirse lo siguiente. La primera de las pruebas denegadas abunda en la línea argumentativa del recurrente, de considerar que el enjuiciamiento jurídico de este expediente debe reducirse al análisis del cumplimiento de las obligaciones contenidas en la Ley 25/2007. Es evidente que el expediente tramitado por la SETID tiene por objeto dilucidar un posible incumplimiento de esa Ley. Y no de ámbitos ajenos como el supervisado por esta Agencia, esto es, el cumplimiento de las obligaciones que en relación con la protección de datos personales establece el RGPD. Bajo esa óptica, en nada incidiría en el expediente la remisión del expediente completo. A mayor abundamiento, y como se menciona en la resolución, ya figura en el expediente, aportada por la parte reclamada (ahora recurrente) la resolución del procedimiento de la SETID que contiene los criterios jurídicos aplicados. Y en relación con la segunda de las pruebas propuestas (testifical de FULLCARGA), puede observarse que las tres preguntas propuestas se refieren al procedimiento de contratación de líneas de tarjetas prepago aplicado por el distribuidor. Y, como se reitera repetidamente tanto en la resolución sancionadora como en esta, la responsabilidad de XFERA MÓVILES no viene determinada en este procedimiento por presuntas irregularidades que podrían haberse producido durante la celebración del contrato, sino por el hecho de que XFERA no ha logrado acreditar que tuviera dispuesto control alguno para verificar, respecto de los datos de los que es responsable del tratamiento, que los datos son correctos o, al menos, se corresponden con numeraciones de DNI que existen en España. Por todo ello, la información que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/34 testificalmente pudiera aportar FULLCARGA sobre el procedimiento de contratación o las instrucciones recibidas o transmitidas a sus empleados, en nada influiría en la responsabilidad de XFERA por la vulneración del principio de exactitud recogido en el artículo 5.1.
18. d)del RGPD. Y a este respecto se reitera la importancia del cumplimiento de este principio en relación con unos datos que deben ser conservados con la finalidad de estar a disposición de las Fuerzas y cuerpos de seguridad (previa autorización judicial en los casos preceptivos) para la investigación de delitos graves previstos en el Código penal. La inexistencia de un derecho absoluto a la proposición y práctica de medios de prueba está consagrada ampliamente en nuestra jurisprudencia. El Tribunal Constitucional ha establecido una doctrina jurisprudencial consolidada en relación con los medios de prueba tanto en el proceso judicial como en el procedimiento administrativo, y en concreto en la sentencia 165/2001 de 16 de julio señaló: ”
19. a)Este derecho fundamental, que opera en cualquier tipo de proceso en que el ciudadano se vea involucrado, no comprende un hipotético derecho a llevar a cabo una actividad probatoria ilimitada en virtud de la cual las partes estén facultadas para exigir cualesquiera pruebas que tengan a bien proponer, sino que atribuye solo el derecho a la recepción y práctica de las que sean pertinentes(...),entendida la pertinencia como la relación entre los hechos probados y el thema decidendi,
20. b)Puesto que se trata de un derecho de configuración legal, es preciso que la prueba se haya solicitado en la forma y momento legalmente, siendo sólo admisibles los medios de prueba autorizados por el ordenamiento” El rechazo de pruebas manifiestamente improcedentes o innecesarias mediante resolución motivada no constituye indefensión determinante de la alegada nulidad de pleno derecho de la resolución impugnada. La jurisprudencia ha establecido que para que la omisión de un trámite genere una indefensión con efectos anulatorios debe haber dejado al administrado en una situación en la que le haya sido imposible alegar o defenderse, con exposición de cuál hubiera sido la situación a la que podría haberse llegado de cumplirse los requisitos legales. El Tribunal Constitucional en la sentencia de 20 de diciembre de 1990 estableció "En cuanto al derecho a utilizar los medios de prueba pertinentes para la defensa, es doctrina reiterada de este Tribunal que los principios inspiradores del orden penal son de aplicación, con ciertos matices, en el ámbito del Derecho administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado. Y en concreto, en lo que a medios de prueba se refiere, este Tribunal ha reconocido que, pese a no ser enteramente aplicable el art. 24.2 a los procedimientos administrativos sancionadores, el derecho del expedientado a utilizar pruebas para su defensa tiene relevancia constitucional (Tribunal Constitucional, nº 2/1987, de 21/01/1987, Rec. Recurso de amparo 940/1985 949/1985 (acumulados), Tribunal Constitucional, nº 190/1987, de 01/12/1987, Rec. Recurso de amparo 573/1986 y Tribunal Constitucional, nº 192/1987, de 02/12/1987, Rec. Recurso de amparo 791/1986 si bien ha declarado también que ni siquiera en el proceso penal, donde seria plenamente aplicable el precepto citado, existe un derecho absoluto e incondicionado al uso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/34 de todos los medios de prueba (Tribunal Constitucional, nº 2/1987, de 21/01/1987, Rec. Recurso de amparo 940/1985 949/1985 (acumulados) y Tribunal Constitucional, nº 22/1990, de 15/02/1990, Rec. Recurso de amparo 1.537/1988 167/1988 (acumulados). Lo que del art. 24.2 de la Constitución nace para el administrado, sujeto a un expediente sancionador, no es el derecho a que se practiquen todas aquellas pruebas que tenga a bien proponer, sino tan sólo las que sean pertinentes o necesarias (Tribunal Constitucional, nº 192/1987, de 02/12/1987, Rec. Recurso de amparo 791/1986), ya que --como también ha declarado este Tribunal-- sólo tiene relevancia constitucional por provocar indefensión la denegación de pruebas que, siendo solicitadas en el momento y la forma oportunas, no resultase razonable y privase al solicitante de hechos decisivos para su pretensión. Todo lo cual, significa que no se produce una indefensión de relevancia constitucional cuando la inadmisión de una prueba se ha producido debidamente en aplicación estricta de normas legales cuya constitucionalidad no se pone en duda, ni tampoco cuando las irregularidades procesales que se hayan podido producir en la inadmisión de alguna prueba no han llegado a causar un efectivo y real menoscabo del derecho de defensa". (FJ 3º).” Esta doctrina, eso sí, exige que el rechazo de pruebas propuestas se encuentre motivado, lo que, en función de los párrafos de la resolución reproducidos más arriba, se cumple en este procedimiento. Finalmente, en cuanto a la reiteración de que sea practicada una de las pruebas, solo recordar que la proposición y aceptación de las mismas, conforme al artículo 89.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las Administraciones Públicas, las pruebas deben practicarse antes de la propuesta de resolución del procedimiento sancionador, en la que serán valoradas por el instructor. En todo caso, se ha motivado suficientemente la denegación de la misma en el Fundamento jurídico quinto de la resolución sancionadora y en este mismo apartado de esta resolución. Debe rechazarse, por lo tanto, este motivo de nulidad invocado en el recurso. 1.2. Falta de proporcionalidad de la sanción En este apartado del recurso, se realizan objeciones tanto sobre circunstancias que en la resolución sancionadora han sido acogidas como agravantes de la responsabilidad, como sobre otras invocadas por la parte recurrente que, a su juicio, deberían haber sido tenidas en cuenta como atenuantes. Analizadas las mismas, se observan que coinciden en su integridad con las alegadas durante el procedimiento sancionador y que han sido convenientemente contestadas en la propia resolución. A la que cabe remitirse en bloque ante la ausencia de novedad argumental alguna. En efecto, las circunstancias alegadas son: - Agravantes acogidas en la resolución sobre las que se objeta: naturaleza, gravedad y duración de la infracción (art 83.2.
21. a)RGPD); y vinculación de la actividad del infractor con el tratamiento de datos personales (art. 76.2.
22. b)LOPDGDD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/34 - Atenuantes propuestas, no acogidas en la resolución: o o o o o o o Adhesión al código de conducta de los operadores de telecomunicaciones con AUTOCONTRO; Adhesión mecanismos de certificación como la norma ISO 27001 Haber procedido al bloqueó de las líneas objeto de este procedimiento cuando tuvo conocimiento de las irregularidades No haber tratado categorías especiales del artículo 9.1 RGPD Inexistencia de daños y perjuicios como consecuencia de la infracción Inexistencia de beneficios para el infractor El grado de cooperación de XFERA MÓVILES con la AEPD a lo largo de la investigación Como se indica, todas están rebatidas adecuadamente en el Fundamento jurídico cuarto de la resolución, apartado 5 relativo a la proporcionalidad de la sanción Deben ser rechazados estos motivos de recurso, en consecuencia Medidas correctivas incluidas en la resolución En el apartado de alegaciones sobre la proporcionalidad de la sanción, incluye un razonamiento la parte recurrente que merece contestación. Afirma lo siguiente: “La AEPD en la Resolución, concretamente en su página 44, señala la posibilidad de imponer la adopción de medidas al responsable del tratamiento. No obstante, el anuncio de esta Agencia no determina qué medidas ni de qué tipología debería adoptarse por el responsable del tratamiento, no pudiendo este concretar la obligación que se le busca imponer. Por ende, de apreciar esta Agencia la necesidad de implementar medidas por parte de esta mercantil, estas deberán tasarse y determinarse de modo que no se produzca una mera apreciación generalista como la realizada en la Resolución.” Al respecto debe señalarse lo siguiente: la resolución sancionadora no “señala la posibilidad de imponer la adopción de medidas”, sino que las impone obligatoria y vinculantemente. Así, en el “resuelvo” segundo se dispone lo siguiente: “SEGUNDO: ORDENAR a XFERA MÓVILES, S.A.U., con NIF A82528548, que en virtud del artículo 58.2.
23. d)del RGPD, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas establecidas en el fundamento de derecho noveno de esta resolución” Por remisión, en el FD 9º de la resolución se establece lo siguiente: “Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
24. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/34 operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En concreto, se ordena que, en el plazo de 6 meses, XFERA introduzca los procedimientos y mecanismos necesarios de comprobación de la identidad de los clientes que adquieran una tarjeta en modalidad prepago. “ En relación con esta obligación, se recuerda que la AEPD no puede determinar los medios concretos a través de los cuales los responsables del tratamiento deben garantizar el cumplimiento de las obligaciones establecidas en el RGPD. La imposición de medidas se establece en la resolución como un objetivo a conseguir (“introduzca los procedimientos y mecanismos necesarios de comprobación de la identidad de los clientes que adquieran una tarjeta en modalidad prepago”)., siendo dicho responsable el que debe establecer los mecanismos que, en este caso, garanticen el cumplimiento del principio de exactitud del tratamiento establecido en el artículo 5.1.
25. d)del RGPD. Y para ello no debe sujetarse únicamente a la redacción mencionada de la parte dispositiva de la resolución y el FD 9º, sino que deberá tener en cuenta los criterios establecidos a lo largo de toda la resolución. En todo caso, como se observa, el plazo será de 6 meses, un plazo que comenzará a computarse, como se indica en la resolución, desde que esta sea “firme y ejecutiva”. 1.1. Petitum. Suspensión de la ejecutividad de la resolución Tras las correspondientes solicitudes de archivo del procedimiento contenidas en el petitum del recurso, este contiene una última solicitud: “Subsidiariamente a todo lo anterior, para el caso de que no se estimen las alegaciones de esta parte, es necesario señalar que, ante una hipotética desestimación del recurso de reposición y la consiguiente imposición de la multa estipulada en la Resolución, XFERA procederá a solicitar la adopción de medidas cautelares ante la jurisdicción ordinaria, con el objeto de proteger la integridad de los derechos de esta parte. Por lo tanto, se solicita, de igual forma y en virtud del artículo 90.3 de la LPACAP, la suspensión cautelar de la ejecutividad de la Resolución, en el marco del expediente AEPD 202205208, hasta la resolución final que pueda alcanzarse ante los Tribunales.” En relación con esta petición, es preciso significar que conforme al artículo 90.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las Administraciones Públicas “La resolución que ponga fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa”. Con ello, dicha ejecutividad no puede producirse hasta la notificación de esta resolución que pone fin al procedimiento del recurso de reposición. No cabe, por lo tanto, que la propia resolución del recurso se pronuncie sobre la suspensión prevista en el artículo 90.3 de la misma Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/34 Ello sin perjuicio de que, una vez en vigor la resolución, la parte recurrente pueda realizar la correspondiente solicitud ante esta Agencia. I. Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. II. Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES, S.A.U. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de abril de 2025, en el expediente EXP202205208. SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
26. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 , abierta a nombre de la Agencia Española de Protección de Datos en el Banco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/34 CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
27. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es