REPOSICION-PS-00097-2025

1/30  Expediente nº.: EXP202415278 (RR/01026/2025) RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES, S.A.U., NIF.: A82528548 (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 19 de noviembre de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 19 de noviembre de 2025 se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202415278 (PS/00097/2024), en virtud de la cual se imponía a la entidad XFERA MÓVILES, S.A.U. con NIF.: A82528548, por la infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), una sanción de 10.000 euros (diez mil euros). Dicha resolución fue notificada conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica el 20/11/2025, como consta en el justificante de recibo que figura en el expediente, SEGUNDO: Como hechos probados del citado procedimiento EXP202415278 (PS/00097/2025), quedó constancia de los siguientes: sancionador, Primero El reclamante, titular de la línea ***TELÉFONO.1 recibió el 01/10/2024 un SMS procedente de “MasMovil” (marca registrada de compañía XFERA), con el siguiente texto: “ES MOMENTO DE AHORRAR: 20 GB para tu móvil + llamadas ilimitadas por SOLO 4.90 €/mes 12 meses luego 9.90€/mes. Llama gratis 900696954 No + publi bit.ly/2i1aB From: MasMovil 01/10/24”. Segundo: Con fecha 23/10/24 el reclamante recibió un nuevo SMS en la línea de la que es titular (***TELÉFONO.1) procedente de “Yoigo” (marca registrada de la compañía XFERA), con el siguiente texto: “Estrena ya nuevo iPhone 16 con Yoigo por SOLO 17,75€/mes y navega SIN Límite con GB infinitos. Llama gratis 900696231 No + Publi bit.ly/2ycja From: Yoigo 23/10/24”. Tercero: Consta en el expediente la siguiente documentación: Copia de un formulario en blanco titulado “Introduce tus datos para participar”, en el que figuran varias casillas de consentimiento no marcadas, utilizado en el sitio web https://prb.premium-sales.es. Copia de un documento expedido por la entidad ***EMPRESA.1, donde se afirma que el día 23 de abril de 2023, una persona identificada como A.A.A., con número de teléfono ***TELÉFONO.1, participó en una promoción en el citado sitio web (https://prb.premium-sales.

1. es)y prestó su consentimiento para la recepción de comunicaciones comerciales de terceros como XFERA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/30 Copia de del enlace de baja “bit.ly/2i1aB”, utilizado en las campañas comerciales, desde el cual puede consultarse y revocarse el consentimiento otorgado, y en el que se indica que el responsable del tratamiento de los datos es ***EMPRESA.1 Cuarto: En la contestación en fase de prueba, la reclamante manifiesta titularidad de la línea al menos desde 2008 (***EMPRESA.2 → ***EMPRESA.3 → ***EMPRESA.4 desde 21/06/2021). Adjunta contrato/factura de portabilidad. Quinto; En la contestación en fase de prueba XFERA confirma que no presta ni ha prestado servicio a la línea; aporta captura de CNMC que identifica operador ***EMPRESA.4 y adjunta “certificado de obtención de datos” expedido por la entidad ***EMPRESA.1 donde figura A.A.A. como otorgante, asociado a la misma numeración. TERCERO: Con fecha 22 de diciembre de 2025, tuvo entrada en el Registro Electrónico General del Estado, recurso de reposición interpuesto contra la resolución indicada en el apartado anterior en el que alega lo siguiente: “PREVIO. Reiteración de las Alegaciones previamente presentadas. Esta parte manifiesta su disconformidad con el contenido de los fundamentos expuestos en la Resolución y se ratifica y da por reproducidas íntegramente las alegaciones y argumentaciones jurídicas presentadas en sus anteriores escritos, por no haber sido refutadas en la Resolución de la AEPD. PRIMERA. De la existencia del consentimiento para la remisión de comunicaciones comerciales. PRIMERA. I. - Sobre la acreditación de la obtención del consentimiento. La Resolución trae causa de la reclamación interpuesta por la Reclamante con motivo de la recepción de dos mensajes de texto (“SMS”, por sus siglas en inglés) en su teléfono móvil, uno de ellos perteneciente a la marca “MásMóvil” y, el otro desde “Yoigo”. La Reclamante indica no haber prestado su consentimiento para la recepción de tales mensajes. Con base en lo anterior, la AEPD identifica una presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante, “LSSI”) por parte de XFERA. En particular, la Resolución concluye que no se ha acreditado un consentimiento válido, específico, informado y verificable por parte de la Reclamante, al considerar insuficiente la documentación aportada y señalar que el certificado emitido por ***EMPRESA.1 (en adelante, “***EMPRESA.1”) identifica a un tercero distinto de B.B.B.. Tal afirmación no puede aceptarse, pues desconoce el alcance del artículo 21.1 de la LSSI e ignora, así mismo, el contenido probatorio incorporado en las fases previas del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/30 El citado precepto condiciona la licitud del envío de comunicaciones comerciales a que el destinatario las hubiera solicitado o autorizado de forma expresa, siendo el elemento definidor del destinatario el identificador electrónico al que se dirige la comunicación, esto es, la numeración MSISDN1 1 MSISDN (Mobile Station International Subscriber Directory Number): número telefónico completo que identifica de forma única a un abonado móvil en la red, incluyendo el código de país y el número de suscriptor. concreta. En el presente caso, se aportó un certificado expedido por ***EMPRESA.1, responsable del fichero “PREMIUM SALES”, que acredita la autorización para la numeración ***TELÉFONO.1 en fecha 23/04/23, en el marco de una dinámica promocional en la que el otorgante aceptó las bases legales, la política de privacidad y la casilla específica para la recepción de comunicaciones comerciales de terceros del sector de las telecomunicaciones, entre los que se incluye XFERA. Este extremo ha quedado acreditado documentalmente en el presente procedimiento, y ello, unido a la existencia de mecanismos efectivos de oposición incorporados en los propios SMS (“No + publi”), evidencia que la actuación se realizó lícitamente y con la diligencia exigible a XFERA. La discrepancia nominal invocada por la Agencia no desvirtúa la validez del consentimiento, pues la autorización va ligada al número de teléfono y no a la coincidencia personal del titular registral, extremo que carece de relevancia jurídica en entornos de captación digital donde el consentimiento se operacionaliza sobre identificadores tales como la numeración telefónica. Como se acreditó documentalmente, el consentimiento para remitir comunicaciones comerciales a la línea ***TELÉFONO.1 se recabó por la entidad ***EMPRESA.1. En relación con dicho certificado, la Resolución sostiene (página 13) que “el simple registro de una IP o un número de teléfono no es suficiente”, pero el documento aportado no se limita a esos datos, sino que incorpora nombre, apellidos, dirección postal, número de teléfono, IP, fecha y horas exactas, y declara la aceptación expresa de la política de privacidad, condiciones y bases legales, conforme a la normativa vigente. Este nivel de detalle satisface los requisitos que la propia AEPD cita en la Resolución: identificar quién otorgó el consentimiento, cuándo, cómo y para qué, así como la información suministrada en el momento de su obtención (página 14 de la Resolución). Además, el documento constituye un registro verificable, emitido por el responsable del fichero (***EMPRESA.1), que incluye IP y timestamp22 Marca temporal que indica un momento exacto en el tiempo. En este caso, cuándo se otorgó el consentimiento, lo que garantizar su trazabilidad. En este sentido, como la propia Resolución reconoce, el artículo 7 del RGPD no impone un mecanismo único para la obtención del consentimiento, sino la posibilidad de demostrar que el consentimiento se ha obtenido mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/30 evidencias razonables, como las aquí aportadas. En el mismo sentido se pronuncian las Directrices 5/2020 del Comité Europeo de Protección de Datos: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_20200 5_consent_es.pdf , en su punto 5.1, sobre “Demostrar el Consentimiento”, al establecer que (puntos 106, 107 y 108, respectivamente): “Los responsables del tratamiento tienen libertad para desarrollar métodos que permitan cumplir esta disposición adaptados a sus operaciones diarias. Al mismo tiempo, la obligación de demostrar que un responsable del tratamiento ha obtenido un con-sentimiento válido, no debe en sí misma provocar un tratamiento adicional de datos excesivo. Esto significa que los responsables deberían tener datos suficientes para mostrar un enlace al tratamiento (para mostrar que se obtuvo el consentimiento), pero no deberían recopilar más información de la necesaria”. “Corresponde al responsable demostrar que obtuvo el consentimiento válido del interesado. El RGPD no prescribe cómo debe hacerse esto exactamente”. Las Directrices mencionan, como ejemplo, que: "en un contexto en línea, un responsable podría conservar información sobre la sesión en la que se expresó el consentimiento, junto con documentación sobre el flujo de trabajo del consentimiento cuando dicha sesión tuvo lugar, y una copia de la información que se presentó en ese momento al interesado". Lo anterior coincide con la información aportada al presente por XFERA: Información sobre la sesión (fecha y hora exacta: 23/04/2023, 19:17:00, dirección IP: ***IP.1). Documentación del formulario utilizado en el sitio web. Información sobre las condiciones aceptadas (política de privacidad, condiciones de uso y bases del sorteo). Registro de las casillas marcadas. Por tanto, se ha cumplido con los estándares establecidos por las Directrices 5/2020 del Comité Europeo de Protección de Datos, sin que pueda exigirse un nivel de acreditación superior no previsto en el RGPD ni en la LSSI. Cabe reseñar, en este sentido, que la Agencia omite en su Resolución, las limitaciones con las que cuentan tanto esta parte como ***EMPRESA.1 para adoptar medidas adicionales para identificar al participante en el sorteo. Así, en virtud de los propios criterios esgrimidos por la AEPD y de las referidas Directrices 5/2020 del Comité Europeo de Protección de Datos, la solicitud de un documento identificativo, que permitiese identificar al otorgante de forma inequívoca, podría resultar excesiva, considerándose incumplido por la autoridad de control el principio de minimización. En este sentido, es un criterio reiterado por la propia AEPD que, en términos generales, no es necesario ni debe solicitarse el DNI a la hora de formalizar una contratación, motivo por el que, en supuestos de todavía menor vinculación con el solicitante o interesado afectado como el que nos ocupa, la solicitud del DNI constituiría una solicitud excesiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/30 A mayor abundamiento, si bien permitiría verificar la identidad del participante, no permitiría acreditar que dicho individuo es el titular de la línea telefónica que se facilita, información que sólo dispone la operadora telefónica en cuestión. La solicitud de documentación que permitiese acreditar que el participante es el titular de la línea, de cara a otorgar su consentimiento para el envío de comunicaciones comerciales; sería categorizada como excesiva por la autoridad de control, a tenor de los criterios establecidos en situaciones asimilables. En este sentido, la AEPD limita las opciones y actuaciones que las entidades pueden ejecutar a la hora de obtener los datos de los titulares, pero también exige, de forma paralela, una capacidad total y absoluta de que estás puedan validar la identidad de los participantes, inclusive en situaciones no presenciales, en el entorno digital, donde ni siquiera hay una prestación de servicio asociada. El artículo 21.1 de la LSSI exige el consentimiento previo del destinatario, pero no impone la verificación de la identidad mediante documento oficial ni la comprobación continua de la titularidad de la línea, lo que no resultaría proporcional ni conforme con los principios en materia de protección de datos. La diligencia exigible, en la presente casuística, consiste en habilitar mecanismos efectivos de oposición, que XFERA y su proveedor ***EMPRESA.1 han implementado, mediante la inclusión en los SMS de enlaces de baja inmediata y canales de ejercicio de derechos. Por tanto, se debería considerar la licitud del tratamiento en el momento de su ejecución, no pudiendo imponerse a XFERA una obligación de control que la ley no contempla. Este criterio ha sido confirmado por la propia Agencia Española de Protección de Datos en su Resolución E/05321/201744 https://www.aepd.es/documento/e05321-2017.pdf , en la que se concluye que la comunicación de datos se realizó mediando el consentimiento del denunciante, quien al aceptar la política de protección de datos en el formulario web consintió la cesión de sus datos a terceros para fines publicitarios. En palabras de la AEPD: “Esta comunicación de datos, a la vista de la documentación recabada durante la inspección efectuada por los Servicios de Inspección de esta Agencia en las instalaciones de SALESLAND, S.L., se realizó mediando el consentimiento del propio denunciante para ello, quien al aceptar la ‘Política de Protección de Datos’ de ADSALSA a la que remitía el formulario web que éste cumplimentó para inscribirse en un concurso (…) consintió la cesión de los datos personales del mismo registrados en el fichero publicitario (…) a terceras entidades de diversos sectores de actividad interesadas en la realización de campañas publicitarias de sus productos y servicios por distintos canales”. Este pronunciamiento evidencia que la AEPD considera suficiente la acreditación del consentimiento para el envío de comunicaciones comerciales mediante registros verificables (logs con IP, fecha y hora) y aceptación expresa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/30 en formulario web en el entorno de un sorteo, exactamente el mismo esquema que se aporta en este procedimiento mediante el certificado expedido por ***EMPRESA.1. En este caso, al igual que en el extractado y validado por esta Agencia, el otorgante seleccionó de forma expresa la casilla que consentía el envío de comunicaciones comerciales por parte de terceras empresas pertenecientes, entre otros, al sector de las telecomunicaciones, entre los que se encuentra XFERA, incluida en las bases legales del sorteo en el que registró. A mayor abundamiento, en los SMS que la Reclamante indica haber recibido, se incluye un link -bit.ly/2i1aB-, a través del cual se puede proceder a la baja de la recepción de comunicaciones comerciales. En el mismo se puede observar que XFERA es únicamente el anunciante, siendo el responsable de la captación del consentimiento ***EMPRESA.1: En este contexto, resulta procedente además, trae a colación que la normativa reconoce expresamente que, cuando los datos son proporcionados por el propio interesado, como en esta ocasión, donde estos fueron introducidos en un formulario online para participar en un sorteo, no puede exigirse al responsable del tratamiento una obligación de verificación absoluta. Así lo establece el artículo 4.2.
2. a)de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), al disponer que: “A los efectos previstos en el artículo 5.1.
3. d)del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos: Hubiesen sido obtenidos por el responsable directamente del afectado”. La lectura de este precepto no ofrece dudas: la responsabilidad del responsable del tratamiento no se activa automáticamente por el hecho de que los datos resulten ser inexactos, si estos han sido proporcionados voluntariamente por el propio interesado. La obligación que recae sobre el responsable del tratamiento es estrictamente reactiva: debe adoptar medidas razonables para suprimir o rectificar los datos una vez tenga conocimiento de su inexactitud. Esta es precisamente la actuación desplegada en el presente por XFERA, ya que, al advertir lo sucedido, se ejecutó la supresión de los datos de la Reclamante. En definitiva, el log de consentimiento obtenido por ***EMPRESA.1 a raíz de la información introducida por el participante en el sorteo, quien aceptó la política de privacidad, las condiciones y las bases legales del mismo, entre las cuales se recogía la posibilidad de remitir comunicaciones comerciales como las que señala haber recibido la Reclamante, es válido y ajustado a derecho. Adicionalmente, no es sostenible pretender que quien recaba un consentimiento para el uso de un número de teléfono para una determinada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/30 finalidad, deba hacer una labor de indagación o verificación sobre la titularidad de la línea afectada, lo que no resultaría viable ni proporcional, en virtud de los criterios de la AEPD. Esta interpretación supone desconocer la realidad del funcionamiento de los servicios de telecomunicaciones en los que, de forma habitual, el usuario del número de teléfono no tiene por qué coincidir con el del titular del contrato ni tampoco con el interesado que hace uso del mismo. No en pocas ocasiones, un miembro de la familia realiza una contratación de múltiples líneas para uso propio y de otros miembros de la misma. Por lo tanto, en ningún momento puede atribuirse a XFERA responsabilidad sobre el tratamiento de un dato de número de teléfono móvil, obtenido de forma lícita de su titular. De lo contrario, se trasladaría a XFERA una obligación de imposible cumplimiento, ya que no existe una posibilidad real de poder mantener actualizada la información sobre la identidad de la titularidad de una línea a lo largo del tiempo ni los cambios que esta pudiera sufrir. Dicho lo anterior, ha de tenerse en cuenta, adicionalmente, que el dato tratado por parte de ***EMPRESA.1, responsable, en última instancia, de la obtención del consentimiento que faculta para el tratamiento de este dato con fines comerciales en los términos que se ha hecho. No obstante lo anterior, la Resolución sostiene que XFERA es responsable “con independencia de la intervención de ***EMPRESA.1” (página 19 de la Resolución), lo que implica atribuirle una responsabilidad absoluta sin motivación suficiente y sin valorar el papel esencial de la entidad que captó el consentimiento, gestionó la base de datos y determinó la inclusión del número en la campaña, siendo efectivamente, para dicho tratamiento, el responsable del tratamiento. Esta interpretación no resulta conforme a la normativa de protección de datos, que exige analizar el rol que asume cada entidad en el tratamiento de datos personales asociados. Cabe reseñar, en este punto, que este tipo de operativa, donde la base de datos es gestionada y elaborada por una entidad diferenciada de la operadora de telecomunicaciones que hace uso de la misma (tras la aplicación de las verificaciones, controles y garantías pertinentes sobre su gestión) resulta una práctica estándar y habitual en el sector de las telefonía móvil, más, si cabe, tras la publicación de la Circular 1/2023, de 26 de junio, sobre la aplicación del artículo 66.1.
4. b)de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. Por ello, no cabe obviar la concreta casuística del presente supuesto, en la que resulta determinante el rol que desempeñan estas entidades en la gestión de la base de datos y la captación del consentimiento de los titulares que la integran, tal y como se expone a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/30 PRIMERA. II. - Del rol de ***EMPRESA.1 en el envío de comunicaciones comerciales. La interpretación sostenida por la AEPD, en la que traslada la actuación realizada por ***EMPRESA.1 a XFERA, contradice el propio criterio consolidado de la Agencia, quien en su Resolución E/02528/201555 https://www.aepd.es/documento/e-02528-2015.pdf , donde tiene lugar un supuesto similar al que nos ocupa, concluyó que: “habida cuenta de que en la determinación de los parámetros que identificaban a los destinatarios de la campaña publicitaria (…) en ningún caso intervino esta entidad, ninguna responsabilidad es exigible a la denunciada”. En el presente caso, XFERA no intervino en la fijación de los parámetros ni en la selección de los destinatarios, funciones que correspondieron exclusivamente a Digital Media y ***EMPRESA.1 como titular del fichero y responsable de la segmentación. Imputar responsabilidad a XFERA sin motivar el título jurídico y sin depurar la responsabilidad de las entidades intervinientes vulnera el principio de culpabilidad y convierte la responsabilidad en objetiva, no admisible en el derecho administrativo sancionador, como ha reiterado en numerosas ocasiones el Tribunal Constitucional y reconocido la propia Agencia. Sin embargo, en la Resolución, la Agencia afirma (página 16): “En el caso presente, la existencia de una comunicación comercial no solicitada, remitida a una persona no cliente constituye un indicio suficientemente sólido como para justificar la apertura directa del expediente sancionador”. Las manifestaciones de la Reclamante (inclusive las no contrastadas) son suficientes para la AEPD para considerar acreditada la existencia de una infracción de la normativa de protección de datos. En concreto, señala que la existencia de una comunicación comercial no solicitada a, pese a que la Agencia no haya desplegado ningún tipo de actividad para verificar este extremo; a un destinatario que no es cliente, constituye un indicio sólido que permite justificar la imposición de una sanción a esta parte. Es decir, que pese a que la Agencia permita a esta parte hacer alegaciones a lo largo del presente procedimiento, lo cierto es que el mismo no otorga ningún tipo de efecto al principio de contradicción: la Agencia continúa basando la identificación de la infracción y la imposición de la sanción en las manifestaciones de la Reclamante, pese a la documental aportada por esta parte. La AEPD impuso la sanción a XFERA en el Acuerdo de Inicio, antes de que esta parte hubiese tenido conocimiento siquiera de los hechos que formaban parte del presente procedimiento sancionador y de que la propia AEPD hubiese podido verificar con XFERA los concretos hechos acaecidos. Lo anterior evidencia que la actuación de la Agencia omite las manifestaciones de esta parte. De hecho, cabe apreciar la diferencia entre el valor otorgado por la AEPD a las manifestaciones de la Reclamante, que la AEPD considera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/30 hechos probados y aquellas esgrimidas por XFERA, en las que sólo aprecia la aportación de documentación, pero rechaza otorgar a la misma validez o valor alguno a nivel probatorio. Véase, los Hechos Probados de la Resolución (página 11): “Primero El reclamante, titular de la línea ***TELÉFONO.1 recibió el 01/10/2024 un SMS procedente de “MasMovil” (marca registrada de compañía XFERA), con el siguiente texto: “ES MOMENTO DE AHORRAR: 20 GB para tu móvil + llamadas ilimitadas por SOLO 4.90 €/mes 12 meses luego 9.90€/mes. Llama gratis 900696954 No + publi bit.ly/2i1aB From: MasMovil 01/10/24”. Segundo: Con fecha 23/10/24 el reclamante recibió un nuevo SMS en la línea de la que es titular (***TELÉFONO.1) procedente de “Yoigo” (marca registrada de la compañía XFERA), con el siguiente texto: “Estrena ya nuevo iPhone 16 con Yoigo por SOLO 17,75€/mes y navega SIN Límite con GB infinitos. Llama gratis 900696231 No + Publi bit.ly/2ycja From: Yoigo 23/10/24”. Tercero: Consta en el expediente la siguiente documentación aportada por la reclamada: - Copia de un formulario en blanco titulado “Introduce tus datos para participar”, en el que figuran varias casillas de consentimiento no marcadas, utilizado en el sitio web https://prb.premium-sales.es. - Copia de un documento expedido por la entidad ***EMPRESA.1, donde se afirma que el día 23 de abril de 2023, una persona identificada como A.A.A., con número de teléfono 68734 69 62, participó en una promoción en el citado sitio web (https://prb.premium-sales.
5. es)y prestó su consentimiento para la recepción de comunicaciones comerciales de terceros, entre ellas XFERA. - Copia de del enlace de baja “bit.ly/2i1aB”, utilizado en las campañas comerciales, desde el cual puede consultarse y revocarse el consentimiento previamente otorgado, y en el que se indica que el responsable del tratamiento de los datos es la entidad ***EMPRESA.1 Cuarto: En la contestación en fase de prueba, la reclamante manifiesta titularidad de la línea al menos desde 2008 (***EMPRESA.2 → ***EMPRESA.3 → ***EMPRESA.4 desde 21/06/2021). Adjunta contrato/factura de portabilidad. Quinto; En la contestación en fase de prueba XFERA confirma que no presta ni ha prestado servicio a la línea; aporta captura de CNMC que identifica operador ***EMPRESA.4 y adjunta “certificado de obtención de datos” expedido por la entidad ***EMPRESA.1 donde figura A.A.A. como otorgante, asociado a la misma numeración”. En el primer y segundo Hecho Probado, que consisten en las manifestaciones de la Reclamante sobre la recepción de los SMS sin haber otorgado su consentimiento, la AEPD considera probados tales hechos, pese a no constar documental o acreditación de tal extremo. No obstante lo anterior, en el tercer Hecho Probado, donde alude a la actuaciones de XFERA y la documental aportada por esta al procedimiento, la AEPD constata su recepción, pero no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/30 otorga a estos ningún tipo de valor. De hecho, califica todos los documentos de “copia”, pese a que algunos sean enlaces que dirigen y permiten verificar que existen los aspectos señalados por XFERA. En este sentido, la Resolución omite, que la carga de acreditar la infracción recae en la Administración, conforme al artículo 53.2.b de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, “LPACAP”) y al principio de presunción de inocencia consagrado en el artículo 24 de la Constitución Española. En el presente caso no se ha practicado diligencia alguna para verificar la autenticidad del consentimiento ni se ha requerido información técnica adicional a ***EMPRESA.1, aun cuando el artículo 65.4 de la LOPDGDD habilita la posibilidad de canalizar la reclamación al Delegado de Protección de Datos antes de incoar el procedimiento. Esta omisión agrava la indefensión y priva de sustento a la conclusión sancionadora. Con todo, en la Resolución, la AEPD, lejos de analizar con detalle y contrastar lo sucedido, se contempla una supuesta “obligación incumplida” por parte de XFERA en relación con la LSSI. Sin embargo, lo que hubiera procedido en este caso es que B.B.B., en vez de interponer una reclamación ante esta Agencia, hubiese comunicado directamente a XFERA o a ***EMPRESA.1 su voluntad de no recibir más comunicaciones comerciales o bien su condición de titular de la línea. Ya que, de este modo los datos se habrían actualizado y se habría dado de baja la línea, conforme se ha procedido desde que se dio traslado de tal situación con el Acuerdo de Inicio. Cumpliendo con el deber de diligencia que caracteriza a esta mercantil. Así, en este supuesto, nos situamos en un contexto, donde XFERA ha remediado la situación, donde no se generó en ningún caso un perjuicio sustancial o económico para la Reclamante, quien ha visto atendida su solicitud de forma inmediata, en cuanto esta parte tuvo conocimiento de la situación; y, pese a ello, la AEPD impone a XFERA una infracción aparejada a la imposición de una sanción de considerable cuantía. SEGUNDA. – De la indefensión generada a XFERA. XFERA está adherida al Código de Conducta para el Tratamiento de Datos en la Actividad Publicitaria de AUTOCONTROL, aprobado por la AEPD el 28 de noviembre de 2022. Este Código establece un procedimiento extrajudicial de resolución de controversias, utilizado generalmente por la AEPD antes de iniciar cualquier procedimiento sancionador. Así se establece en su sección 10, titulada "Resolución Extrajudicial de Controversias Iniciada a Instancia de la AEPD", la cual recoge que cuando las reclamaciones se formulen directa y previamente ante la Agencia, esta podrá remitirlas a la Unidad de Mediación de AUTOCONTROL. En tal caso, la Unidad de Mediación gestionará la reclamación en su condición de encargado de la resolución extrajudicial de conflictos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/30 Este procedimiento permite a los ciudadanos una resolución ágil, efectiva, sencilla y gratuita de las controversias surgidas en el ámbito de la actividad publicitaria, evitando la indefensión de las entidades adheridas. La existencia de este Código evidencia la concreta casuística asociada a la remisión de comunicaciones comerciales en el contexto digital, donde en muchas ocasiones no resulta posible verificar la titularidad de la línea, generando incidencias como la que nos ocupan, y a las que no se asocia per se, de forma automática como ahora realiza la Agencia, la existencia de una conducta culpable de la entidad afectada, sino que son situaciones que permiten subsanarse cuando la entidad colabore y revierta la incidencia, como realiza XFERA en el presente. El referido Código de Conducta entró en vigor el 28 de enero de 2023, y su “Ámbito Objetivo” recoge lo siguiente: “El presente Código aplica a los tratamientos de datos con fines publicitarios o que versen sobre publicidad realizados por las entidades adheridas como, por ejemplo: Envío de comunicaciones comerciales, incluidos aquellos supuestos en los que el interesado se encuentre dado de alta en una lista de exclusión publicitaria. Promociones realizadas con objeto de recoger datos personales, para utilizarlos con fines publicitarios. Uso de cookies y tecnologías equivalentes, para la gestión de espacios publicitarios o la realización de publicidad comportamental. Elaboración de perfiles con fines publicitarios. Cualquier otro tratamiento de datos personales relacionado con la actividad publicitaria. El Código regula asimismo el procedimiento para la resolución extrajudicial de controversias, entre las entidades adheridas y los interesados, en materia de protección de datos”. El subrayado y la negrita corresponden a esta parte. Es por ello por lo que la AEPD al no haber utilizado este canal, e imponer de forma directa una sanción a XFERA, sin que previamente esta haya podido formular alegaciones, ha vulnerado el derecho de mi representada a una resolución extrajudicial de la controversia, generando una situación de indefensión. A este respecto se pronuncia la Agencia en la página 15 de la Resolución, indicando que: “no existe obligación legal de tramitar la reclamación mediante el sistema de resolución extrajudicial de controversias. La remisión a sistemas alternativos de resolución de controversias, como el de AUTOCONTROL, tiene naturaleza voluntaria y facultativa para la AEPD, y no constituye una fase preceptiva del procedimiento sancionador, ni puede convertirse en un presupuesto de validez de la actuación administrativa”. Si bien es cierto que no existe una obligación legal, conforme confirma la Agencia, este es el cauce habitual, validado y determinado por la misma para la resolución de controversias en materia de envío de comunicaciones comerciales, como el caso que nos ocupa. Es más, cabe destacar que este canal ha sido expresamente impulsado y promocionado por la propia AEPD de forma directa, quien instó a las operadoras de telecomunicaciones a inscribirse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/30 y adherirse al referido Código de Conducta, con el fin de agilizar la gestión de esta tipología concreta de incidencias. Es llamativo también, el hecho de que esta Agencia tampoco haya seguido las previsiones y posibilidades que contempla el procedimiento administrativo cuando se prevé la remisión de requerimientos de información previos a la apertura de un procedimiento sancionador, y cuya función responde, precisamente, a la revisión y comprobaciones sobre los hechos acaecidos en el contexto de una reclamación como la que nos ocupa. Aunque esta Agencia haya remitido el Acuerdo de Inicio y se haya podido contestar al mismo a través de las correspondientes alegaciones, lo cierto es que, los hechos investigados en el seno de un procedimiento sancionador podrían haberse dilucidado con la remisión de un requerimiento de información. Los requerimientos de información son pues especialmente relevantes en este tipo de controversias, toda vez que permiten a la Autoridad de Control llevar a cabo las necesarias comprobaciones sobre los hechos, de forma previa a que ésta haya establecido o conformado una interpretación de éstos, dirigiendo la solicitud de información que requiera a través del canal de comunicación con el Delegado de Protección de Datos (DPD) de la entidad, canal que habitualmente utiliza la AEPD con esta entidad, para solicitar información previa con el fin de determinar si admite o no a trámite la reclamación del afectado. Es decir, la normativa dispone de una fase de investigaciones previas que la Agencia ha obviado, sin solicitar a XFERA información acerca de lo sucedido de forma previa a la apertura de un procedimiento sancionador, e imponiendo la imposición de una sanción de forma directa a XFERA, con base exclusivamente en las manifestaciones de la Reclamante (que no han sido contrastadas). Esta omisión agrava aún más la situación de indefensión generada a mi representada con la apertura directa de este expediente sancionador. Ya que, a diferencia de lo apreciado por esta Agencia -página 16 de la Resolución-, la existencia de una comunicación comercial, supuestamente no solicitada, no es un indicio sólido como para fundamentar la apertura de un procedimiento sancionador, ni una presunción iuris tantum, que permita extraer su veracidad con las debidas garantías; por lo que deviene necesario contrastar con las partes involucradas. Lo anterior da indudablemente lugar a una vulneración del principio de presunción de inocencia, amparado por el artículo 24.2 in fine de la Constitución Española y reconocido, en el concreto ámbito del derecho administrativo sancionador, en el artículo 53.2.
6. b)de la LPACAP, según el cual los presuntos responsables tienen derecho “a la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Todo ello, con evidente afectación a los derechos fundamentales de XFERA. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/30 pues el ejercicio por el Estado del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En este sentido se pronuncia la Sentencia de la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, Sección 1ª, de 23 de Diciembre de 2013, Rec. 341/2012: “Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC15/1999, de 4 de julio; 76/1990, de 26 de abril; y246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho. La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional. En el ámbito de la protección de los datos de carácter personal, para que ese error pueda resultar relevante a efectos punitivos debe ser consecuencia -o estar posibilitado por la ausencia de previos y adecuados procedimientos de control encaminados a su evitación. Sólo de esa manera aparecerá un factor de culpabilidad en la empresa, asignable a la imprudencia (o "simple inobservancia") por aquella falta de articulación de protocolos o de procedimientos de seguridad. Pero esas carencias deben ser objeto de indagación y prueba por parte del órgano administrativo sancionador (al que le incumbe la carga de su realización en destrucción de la presunción de inocencia)”. La negrita corresponde a esta parte. En el caso que nos ocupa, el único “medio probatorio de cargo o incriminador” en el que se sustenta el procedimiento que nos ocupa es la palabra de la Reclamante y una fase de prueba en la que se ha comprobado la titularidad de la línea. Una palabra que debe ser cuestionada por el contexto en el que se enmarca y que, en ningún momento ha sido contrastada por parte de la AEPD. Más si cabe, teniendo en cuenta que esta Agencia obvió la fase de investigaciones previas, no haciendo uso, como habitualmente viene procediendo en casos de idéntica naturaleza, de la posibilidad de hacer llegar un requerimiento previo de solicitud de información a la parte reclamada e iniciando un procedimiento sancionador. En cualquier caso, el certificado expedido por ***EMPRESA.1 ya aportado por esta parte en el presente expediente, acredita la obtención del consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/30 para la remisión de comunicaciones comerciales por parte de XFERA a la línea de la Reclamante, por lo que consta documentado el cumplimiento de los requisitos que establece la LSSI. En este sentido, el presente supuesto se circunscribe a los supuestos que recoge el artículo 89
7. b)de la LPACAP, y que prevén el archivo de las actuaciones cuando los hechos no resulten acreditados: “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias: La inexistencia de los hechos que pudieran constituir la infracción. Cuando los hechos no resulten acreditados. Cuando los hechos probados no constituyan infracción administrativa”. la Resolución dictada en este procedimiento incurre en vulneraciones sustanciales de los principios básicos del procedimiento administrativo sancionador: legalidad, tipicidad, culpabilidad y presunción de inocencia. Lo anterior resulta determinante de la no conformidad a derecho de la Resolución, debiendo acordarse el archivo de procedimiento por haberse conculcado las garantías procedimentales esenciales. TERCERA. - Circunstancias aplicables al caso individual, art. 83.2 RGPD. Esta parte considera que, habiendo sido XFERA diligente en su actuación, no procede la imposición de sanción alguna dado que se disponía del consentimiento, es decir, de una base de legitimación para el tratamiento de los datos personales, que permitía enviar comunicaciones comerciales al dispositivo telefónico de la Reclamante. La Resolución sostiene que XFERA concurre en una “falta grave de diligencia” -página 18 - que justificaría la aplicación del criterio agravante de intencionalidad previsto en el artículo 40 de la LSSI. Tal apreciación carece de fundamento, pues la intencionalidad exige la existencia de una voluntad dirigida a infringir la norma o, al menos, una conducta consciente y deliberada orientada a vulnerar derechos, lo que no se desprende de los hechos acreditados en el expediente. Tal conclusión no puede sostenerse, pues desconoce el principio de proporcionalidad consagrado en el artículo 29 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y la realidad fáctica del caso. XFERA actuó sobre la base de un consentimiento documentado por un tercero especializado, se incorporaron mecanismos efectivos de oposición en los mensajes e instó a la supresión inmediata de la numeración en cuanto tuvo conocimiento de la reclamación. Estas actuaciones son incompatibles con cualquier propósito doloso y revelan una pauta de cumplimiento orientada a la licitud del tratamiento. La supuesta deficiencia en la verificación técnica del consentimiento no puede equipararse a una conducta intencional, sino que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/30 deriva de la confianza legítima en un proveedor que asumía contractualmente la responsabilidad del fichero y lo acreditaba de forma fidedigna. El criterio de intencionalidad no puede aplicarse de manera automática por la mera existencia de dos envíos, máxime cuando se trata de un hecho aislado y puntual, sin beneficio económico y sin perjuicio para la persona afectada. Por último, es la propia LSSI la que prevé que la graduación debe atender a la naturaleza y gravedad del hecho, y en este caso concurren factores que imponen una modulación favorable previstos en el artículo 40 de la LSSI: La ausencia de reincidencia (artículo 40.
8. c)de la LSSI). El inexistente beneficio derivado del envío de los SMS (artículo 40.
9. e)de la LSSI). La cooperación plena con la autoridad y adhesión al Código de Conducta aprobado por la AEPD (artículo 40.
10. g)de la LSSI). La reacción inmediata, procediendo con la supresión de los datos (artículo 40.
11. h)de la LSSI). Consecuentemente, la sanción resulta desproporcionada en relación con la entidad del hecho, la ausencia de reincidencia y la cooperación mostrada por XFERA durante todo el procedimiento. Se expone, a continuación, el criterio que ha sido atendido como agravante por la AEPD, sin que concurran las circunstancias para su consideración en relación con los hechos analizados: La existencia de intencionalidad (Art. 40a) LSSI). La Agencia aplica en la Resolución esta circunstancia como agravante, si bien el mismo debe estar reservado a aquellos supuestos donde la falta de diligencia de la entidad es manifiestamente agravada. En el presente, sin embargo, la AEPD identifica la comisión de una infracción leve. La afirmación contenida en la Resolución, según la cual la línea ***TELÉFONO.1 pertenece a la Reclamante desde 2008 y es operada por ***EMPRESA.4 desde 2021, no permite concluir, sin más, que el consentimiento aportado por XFERA resulte inválido. El artículo 21.1 de la LSSI exige que el destinatario haya autorizado expresamente la recepción de comunicaciones comerciales, siendo el elemento determinante el identificador electrónico —esto es, la numeración concreta— y no la coincidencia nominal con el titular registral, conforme se exponía en la Primera Alegación del presente escrito. En este sentido, el certificado emitido por ***EMPRESA.1 acredita que, en fecha 23 de abril de 2023, se otorgó consentimiento para dicha numeración, lo que constituye un documento suficiente y proporcional de autorización para la casuística que nos ocupa. A su vez, la inexistencia de relación contractual entre XFERA y la Reclamante carece de relevancia jurídica, pues el artículo 21.1 LSSI no exige vínculo previo entre anunciante y destinatario. El envío de comunicaciones comerciales lícitas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/30 puede dirigirse a cualquier número que haya sido objeto de autorización válida, independientemente de que exista o no una relación de clientela. Por otro lado, la Resolución ignora que las comunicaciones incluían un mecanismo efectivo de oposición (“No + publi”), lo que evidencia la voluntad de la entidad de facilitar el ejercicio de derechos y actuar conforme a estándares de diligencia razonable. La falta de logs supuestamente “técnicos” no puede erigirse en prueba concluyente de ilicitud cuando existe un certificado emitido por el responsable del fichero, cuyo contenido ha sido validado con carácter previo por esta Agencia en otros procedimientos sancionadores -, y más cuando la Agencia ha decidido no activar los cauces de verificación, artículo 65.4 de la LOPDGDD. Adicionalmente a lo anterior, según lo establecido en el artículo 40 de la LSSI, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción impuesta: Inexistencia de intencionalidad (artículo 40
12. a)LSSI): en el presente supuesto, ha quedado acreditada la existencia de un consentimiento expresa relativo al envío de comunicaciones comerciales de XFERA a la línea de la Reclamante. Derivado de lo anterior, no resulta procedente apreciar la existencia de intencionalidad de XFERA, agravante reservado a supuestos donde la conducta de la entidad evidencia una falta de diligencia agravada o manifiesta, aspecto que no tiene lugar en el caso que nos ocupa. Plazo de tiempo durante el que se ha venido cometiendo la infracción (Artículo 40
13. b)de la LSSI). En el presente supuesto se examina un hecho puntual y aislado, que afecta a una única interesada. El período asociado es reducido, no habiéndose prolongado en el tiempo la remisión de comunicaciones comerciales. La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme (artículo 40
14. c)de la LSSI). No cabe apreciar ningún tipo de reincidencia por parte de XFERA, en la medida en la que no habían tenido lugar supuestos previos similares. La naturaleza y cuantía de los perjuicios causados (artículo 40
15. d)de la LSSI). En el presente no hay ninguna cuantía asociada al supuesto, dado que no se ha generado ningún tipo de perjuicio económico para la Reclamante. Derivado de lo anterior, procede apreciar la existencia de este concreto atenuante. Los beneficios obtenidos por la infracción (artículo 40
16. e)de la LSSI). XFERA no ha obtenido ningún beneficio derivado del presente supuesto, ni directo ni directo, por lo que cabe apreciar la concurrencia del presente atenuante. La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes (artículo 40
17. f)de la LSSI). XFERA se encuentra entre los operadores de telecomunicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/30 que suscribieron con AUTOCONTROL sendos Códigos de Conducta, uno de Tratamiento de Datos en la actividad publicitaria (Doc. nº 1) y otro para la resolución de controversias de protección de datos en el sector de las comunicaciones electrónicas (Doc. nº 2) que, sin perjuicio de las competencias de la AEPD, prevé mecanismos para la resolución privada de controversias relativas a la protección de datos en el ámbito de contratación y publicidad de servicios de comunicaciones electrónicas , a los que se ha adherido XFERA en 2023 y 2024. La aplicación efectiva de ambos, en los términos del art. 76.2.
18. h)de la LOPDGDD, debe ser considerados como atenuante en el presente. Adicionalmente, cabe reseñar la adhesión de XFERA a mecanismos de certificación: XFERA se encuentra adherida a mecanismos de certificación aprobados con arreglo al art. 42, tales como la ISO 27001, de Sistema de Gestión de Seguridad de la Información; e ISO 27701, de Gestión de la Privacidad de la Información; cuyas evidencias se aportan como Doc. nº3 y Doc. nº4, respectivamente. Se aporta el certificado, como Documento nº5, correspondiente a la certificación del Esquema Nacional de Seguridad nivel Alto de XFERA. La adopción de medidas para mitigar o reparar el daño causado por la infracción (artículo 40
19. h)de la LSSI). Consta acreditado que XFERA procedió a dar de baja la línea de la Reclamante tan pronto como tuvo conocimiento de su reclamación, con motivo del traslado del Acuerdo de Inicio. Con ello, XFERA revirtió la situación en su totalidad, sin que la Agencia haya apreciado tal actuación. Por último, se reitera a la AEPD, dado que no se ha pronunciado al respecto, que, en virtud de las funciones y potestades que ésta tiene atribuidas normativamente, a que se pronuncie y emita recomendaciones o instrucciones que permitan concretar la medida o forma de obtención del consentimiento que ésta considere adecuada implementar en la captación del mismo por parte de los responsables del tratamiento (***EMPRESA.1) que obtienen el consentimiento de los titulares para la remisión de llamadas comerciales. Por todo lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que, teniendo por presentado al presente escrito de Recurso de Reposición, sirva admitirlo, tenga por formuladas las anteriores alegaciones y por propuestos los indicados medios de prueba y, previos los trámites oportunos: Dicte resolución por medio de la cual estime el presente Recurso de Reposición y, consiguientemente, señale el archivo del Procedimiento N.º: EXP202415278, por constar aportado en el mismo el consentimiento para la remisión de comunicaciones comerciales en los términos de la LSSI. Subsidiariamente a lo anterior, dicte resolución por medio de la cual señale el archivo del Procedimiento N.º: EXP202415278, por no concurrir, en el presente, una actuación culpable de XFERA. Subsidiariamente a lo anterior, para el caso de que la AEPD resuelva en contra de la fundamentación jurídica que sostiene XFERA, se solicita a la AEPD que tenga en cuenta las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/30 circunstancias atenuantes fundamentadas en las anteriores alegaciones y, consecuentemente, culmine el procedimiento mediante un apercibimiento y, en última instancia, si considera que procede la imposición de una sanción, modere o module la sanción recogida en la Resolución notificada a XFERA. Subsidiariamente a todo lo anterior, para el caso de que no se estimen las alegaciones de esta parte, es necesario señalar que, ante una hipotética desestimación del Recurso de Reposición y la consiguiente imposición de la multa estipulada en la Resolución, XFERA procederá a solicitar la adopción de medidas cautelares ante la jurisdicción ordinaria, con el objeto de proteger la integridad de los derechos de esta parte. Por lo tanto, se solicita, de igual forma y en virtud del art. 90.3 LPACAP, la suspensión cautelar de la ejecutividad de la Resolución, en el marco del expediente AEPD 202415278, hasta la resolución final que pueda alcanzarse ante los Tribunales. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones formuladas en el recurso Primera I.- Sobre la acreditación de la obtención del consentimiento. La recurrente sostiene, en síntesis, que la resolución incurre en error al negar la existencia de consentimiento, al considerar que el artículo 21.1 de la LSSI vincula la autorización al identificador electrónico de destino —la MSISDN— y no a la coincidencia nominal con el titular de la línea. Afirma que el certificado emitido por ***EMPRESA.1, como responsable del fichero “PREMIUM SALES”, acreditaría que el 23/04/2023 se autorizó el envío de comunicaciones comerciales a la numeración ***TELÉFONO.1 en el marco de un sorteo, con aceptación de la política de privacidad, de las bases legales y mediante la marcación de la casilla específica para publicidad de terceros del sector de las telecomunicaciones, entre ellos XFERA. Añade que dicho documento incorpora datos tales como nombre, apellidos, dirección, dirección IP y marca temporal, que, a su entender, cumplirían las exigencias de las Directrices 5/2020 del Comité Europeo de Protección de Datos y del artículo 7 del RGPD, normas que no impondrían un mecanismo único de prueba del consentimiento. Sostiene, además, que exigir una verificación reforzada —como la aportación del DNI o la comprobación de la titularidad de la línea— resultaría desproporcionado y contrario al principio de minimización de datos. Finalmente, concluye que, existiendo mecanismos eficaces de oposición o baja posterior (“No + publi”), la actuación fue lícita y diligente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/30 sin que pueda imputarse a XFERA responsabilidad con independencia de la intervención de ***EMPRESA.1. Conviene reiterar, con carácter preliminar, que el artículo 21.1 de la LSSI establece una prohibición general del envío de comunicaciones comerciales por medios electrónicos cuando no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios. Dicho presupuesto habilitante no queda cumplido con la mera acreditación de la existencia de un identificador técnico, sino que exige la acreditación de que el destinatario de la comunicación otorgó con carácter previo un consentimiento válido o, en su caso, que concurra una circunstancia lícita que legitime el envío. La recurrente defiende que el consentimiento para el envío de comunicaciones comerciales debe entenderse válidamente otorgado por su vinculación a la MSISDN, en cuanto identificador técnico de la línea telefónica a la que se dirigieron los mensajes, con independencia de la identidad de la persona física que sea su titular o usuaria. Sin embargo, tal planteamiento no puede ser acogido. La MSISDN (Mobile Station International Subscriber Directory Number) es el número telefónico en formato internacional que permite el enrutamiento de llamadas y mensajes dentro de la red de telecomunicaciones y constituye, en ese sentido, un identificador técnico del servicio. Ahora bien, dicho identificador no puede equipararse al concepto de “destinatario” a efectos del artículo 21.1 de la LSSI. Sostener que el consentimiento queda “vinculado a la MSISDN”, como pretende la reclamada, implica asumir —de forma implícita pero clara— que bastaría con que una persona hubiera autorizado en algún momento el uso publicitario de una determinada numeración para que cualquier envío posterior dirigido a esa línea resultara automáticamente lícito, con independencia de quién sea la persona física que efectivamente reciba la comunicación. Esta concepción desnaturaliza el régimen jurídico del consentimiento, pues el exigido por el artículo 21.1 de la LSSI y por la normativa de protección de datos no se predica de un identificador técnico abstracto, sino de la persona física destinataria de la comunicación comercial, en cuanto interesada cuyos datos personales son objeto de tratamiento y cuyos derechos pueden verse directamente afectados por dicho envío. El “destinatario” al que se refiere el citado precepto legal no es el número de teléfono considerado aisladamente, sino el interesado al que se dirige la comunicación, respecto del cual debe acreditarse una autorización previa, específica, informada y verificable. En consecuencia, la mera asociación del consentimiento a una MSISDN resulta insuficiente para tener por acreditado que la persona que actualmente utiliza o es titular de la línea haya otorgado dicha autorización en los términos exigidos por la ley. En definitiva, la MSISDN puede identificar una línea telefónica, pero no puede erigirse en sujeto del consentimiento ni servir, por sí sola, para legitimar el envío de comunicaciones comerciales a quien resulte ser el destinatario real del mensaje. En el presente caso, la documentación aportada no solo no acredita el consentimiento, sino que pone de manifiesto una contradicción esencial: el certificado expedido por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/30 ***EMPRESA.1 atribuye el consentimiento a una persona distinta de la reclamante, mientras que ha quedado acreditado que esta última es titular de la línea controvertida desde, al menos, el año 2008, sin que conste cambio alguno de titularidad que permita explicar dicha discordancia. En estas condiciones, resulta imposible tener por acreditada una autorización previa en los términos exigidos por el artículo 21.1 de la LSSI. Tampoco puede aceptarse que la mera inclusión de datos como la dirección IP, la fecha o la hora en un certificado unilateral garantice, por sí sola, la validez del consentimiento. De conformidad con el artículo 7 del RGPD y con las Directrices 5/2020 del Comité Europeo de Protección de Datos, corresponde al responsable demostrar, en el caso concreto, quién otorgó el consentimiento, cuándo, cómo y para qué, así como qué información se facilitó efectivamente en el momento de su obtención. Esta exigencia no se satisface mediante la aportación de un formulario genérico ni mediante un certificado que atribuye el consentimiento a un tercero, sin un rastro técnico verificable que permita vincular el acto positivo de aceptación con la reclamante. Las propias Directrices 5/2020, invocadas por la recurrente, refuerzan esta conclusión, al exigir un rastro probatorio coherente, individualizado y verificable del flujo real de obtención del consentimiento, rastro que no concurre en el presente expediente. La existencia de mecanismos de oposición o baja posterior, como el sistema “No + publi”, resulta igualmente irrelevante a estos efectos. Dichos mecanismos constituyen garantías adicionales para el interesado, pero no sustituyen ni convalidan la ausencia de consentimiento previo, que es el requisito habilitante exigido por la LSSI. Carece asimismo de virtualidad exculpatoria la invocación del principio de minimización o del artículo 4.2.
20. a)de la LOPDGDD, precepto que se refiere a la imputación de inexactitudes de datos y a obligaciones reactivas de rectificación o supresión, pero que no legitima el envío de comunicaciones comerciales sin consentimiento previo ni desplaza la carga de acreditar la base habilitante exigida por el artículo 21.1 de la LSSI. No nos encontramos ante una mera inexactitud subsanable, sino ante la falta de acreditación del consentimiento exigible para un tratamiento promocional. Por último, la intervención de un tercero en la captación del consentimiento no exonera de responsabilidad a la entidad que promueve y se beneficia del envío de la comunicación comercial cuando no resulta acreditada la existencia de una autorización válida atribuible al destinatario real del mensaje. En consecuencia, al no haberse aportado prueba nueva ni suficiente que desvirtúe lo ya razonado en la resolución impugnada, procede desestimar íntegramente la alegación formulada, confirmando la inexistencia de un consentimiento previo válido en los términos exigidos por el artículo 21.1 de la LSSI. Primera II.- Del rol de ***EMPRESA.1 en el envío de comunicaciones comerciales. La recurrente sostiene, en síntesis, que la resolución impugnada incurre en una indebida imputación de responsabilidad a XFERA por actuaciones que habrían sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/30 realizadas por terceros —concretamente, ***EMPRESA.1 y Digital Media—. A su juicio, XFERA no habría intervenido ni en la determinación de los destinatarios ni en la segmentación de la campaña, por lo que atribuirle responsabilidad supondría vulnerar el principio de culpabilidad y convertir el régimen sancionador en uno de carácter objetivo. En apoyo de esta tesis, invoca como precedente la Resolución E/02528/2015 de esta Agencia, en la que se excluyó la responsabilidad del anunciante al acreditarse su falta de intervención en la fijación de los parámetros de la campaña. Añade, además, que la AEPD habría fundamentado la apreciación de la infracción y la imposición de la sanción en las meras manifestaciones de la parte reclamante, sin desplegar una actividad probatoria suficiente ni verificar la autenticidad del consentimiento alegado, omitiendo, en particular, requerimientos técnicos a ***EMPRESA.1 o la eventual activación del cauce previsto en el artículo 65.4 de la LOPDGDD. Todo ello, sostiene, le habría causado indefensión y vulnerado su derecho a la presunción de inocencia. Finalmente, afirma haber actuado con diligencia al suprimir los datos tras tener conocimiento de la reclamación, niega la existencia de un perjuicio relevante y considera desproporcionada la sanción impuesta. Estas alegaciones no pueden ser acogidas. En primer lugar, la imputación de responsabilidad a XFERA se apoya correctamente en el artículo 21.1 de la LSSI, precepto que impone la obligación de no remitir comunicaciones comerciales no solicitadas o no autorizadas a quien realiza o promueve su envío, con independencia de que se sirva de terceros para la ejecución material de la campaña. Dicho de otro modo, el recurso a intermediarios no desdibuja ni traslada la responsabilidad cuando la comunicación se realiza en beneficio propio. En el presente caso ha quedado acreditado que los SMS controvertidos fueron enviados bajo las marcas “MasMovil” y “Yoigo”, ambas pertenecientes a XFERA, lo que determina que dicha entidad sea el anunciante y beneficiario directo de la comunicación comercial. La intervención de ***EMPRESA.1 como gestor de la base de datos o como entidad vinculada a la obtención del consentimiento no elimina ni atenúa la responsabilidad de XFERA, pues la externalización de funciones no exonera del deber de garantizar la licitud del tratamiento ni del cumplimiento de las obligaciones impuestas por la LSSI. No nos encontramos, por tanto, ante un supuesto de responsabilidad objetiva, sino ante una imputación basada en el dominio funcional de la actividad publicitaria, consistente en la decisión de lanzar campañas comerciales en beneficio propio y permitir su ejecución bajo marcas propias. En segundo término, el precedente invocado por la recurrente no resulta trasladable al caso examinado. En la Resolución E/02528/2015 se apreció la inexistencia de responsabilidad del anunciante porque se acreditó de forma concluyente su total ajenidad tanto a la determinación de los destinatarios como a la ejecución de la campaña. Por el contrario, en el presente expediente consta que la comunicación se realizó en nombre de marcas de XFERA y, además, no se ha acreditado la existencia de controles efectivos por parte de dicha entidad sobre la licitud de la base de datos utilizada ni sobre la validez del consentimiento alegado. La mera confianza en un proveedor externo, sin una verificación suficiente, no exonera de responsabilidad ni puede equipararse al supuesto excepcional contemplado en la resolución citada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/30 En tercer lugar, respecto de la alegada vulneración de la presunción de inocencia y de la carga de la prueba, conviene recordar que la incoación del procedimiento y la resolución sancionadora se sustentan en indicios objetivos y documentados. En concreto, la reclamante aportó capturas de dos SMS con contenido inequívocamente publicitario, identificados con marcas de XFERA y remitidos a una línea de la que es titular. Tales elementos constituyen prueba suficiente de la existencia del hecho infractor —el envío de comunicaciones comerciales—, lo que desplaza a la parte reclamada la carga de acreditar la concurrencia de una causa de licitud. La resolución no se apoya en meras manifestaciones no contrastadas, sino en documentación aportada por la reclamante que no ha sido desvirtuada por la reclamada. El material probatorio aportado por XFERA, como se ha razonado, resulta insuficiente y presenta contradicciones al atribuir el consentimiento a un tercero distinto, sin acreditación concluyente de su validez. Tampoco concurre indefensión por la ausencia de diligencias previas ni por la no activación del cauce previsto en el artículo 65.4 de la LOPDGDD. Dicho precepto configura una facultad discrecional de la Agencia, no una obligación, y su no utilización no impide la incoación directa de un procedimiento sancionador cuando concurren indicios suficientes de infracción. Durante la instrucción, XFERA ha tenido pleno acceso al expediente, ha formulado alegaciones en todas las fases y ha aportado cuanta documentación ha considerado pertinente, quedando plenamente salvaguardados los principios de audiencia, contradicción y defensa. La presunción de inocencia no impide la tramitación del procedimiento, sino la imposición de una sanción sin prueba suficiente, circunstancia que no concurre en este caso. Igualmente, no puede aceptarse que la reclamante estuviera obligada a dirigirse previamente a XFERA o a ***EMPRESA.1 antes de acudir a esta Agencia. El derecho a reclamar ante la autoridad de control es directo y no subsidiario, sin que el ordenamiento imponga al interesado la carga de activar previamente mecanismos privados de baja o rectificación para denunciar una infracción ya consumada. La supresión posterior de los datos, una vez iniciado el procedimiento, constituye una actuación reactiva que, si bien puede valorarse a otros efectos, no elimina ni neutraliza la ilicitud del envío previo ni puede operar como causa de exoneración. Por último, las alegaciones relativas a la inexistencia de un perjuicio económico relevante o a la pronta reacción de XFERA no desvirtúan la infracción apreciada. El bien jurídico protegido por el artículo 21.1 de la LSSI es el derecho del destinatario a no recibir comunicaciones comerciales no consentidas, con independencia de que el impacto sea aislado o reiterado, o de que exista un beneficio económico inmediato. La diligencia exigible debe concurrir antes del envío, no una vez detectada la reclamación. En consecuencia, procede desestimar íntegramente las alegaciones formuladas, al resultar conforme a Derecho la imputación de responsabilidad a XFERA como anunciante de las comunicaciones comerciales remitidas, sin que se haya vulnerado el principio de culpabilidad, la presunción de inocencia ni el derecho de defensa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/30 Segunda.- De la indefensión generada a XFERA. La recurrente alega, en síntesis, que la AEPD ha generado una situación de indefensión al no haber canalizado la reclamación a través del sistema de resolución extrajudicial previsto en el Código de Conducta de AUTOCONTROL, al que XFERA se encuentra adherida, ni haber efectuado requerimientos de información previos a la incoación del procedimiento sancionador. Sostiene que dicho Código constituye el cauce habitual promovido por la propia Agencia para la resolución de controversias en materia de comunicaciones comerciales, que permite la subsanación ágil de incidencias propias del entorno digital y evita sanciones automáticas. Afirma igualmente que la Agencia ha prescindido de una fase de investigaciones previas, basando la sanción exclusivamente en las manifestaciones no contrastadas de la reclamante, lo que vulneraría el principio de presunción de inocencia, el principio de culpabilidad y las garantías del procedimiento administrativo sancionador, invocando jurisprudencia constitucional y contencioso-administrativa. Concluye solicitando el archivo del procedimiento por inexistencia o falta de acreditación de los hechos. Estas alegaciones no pueden ser estimadas. En primer lugar, debe reiterarse que la adhesión de XFERA al Código de Conducta para el Tratamiento de Datos en la Actividad Publicitaria de AUTOCONTROL no genera, ni puede generar, un derecho subjetivo a que toda reclamación sea tramitada necesariamente por la vía extrajudicial antes del ejercicio de la potestad sancionadora. Tal y como reconoce la propia recurrente, y como se razona expresamente en la resolución impugnada, no existe obligación legal de acudir con carácter previo a mecanismos alternativos de resolución de conflictos. El propio Código de Conducta, en su sección 10, utiliza el verbo “podrá”, lo que evidencia el carácter facultativo y discrecional de la eventual remisión por parte de la AEPD. La potestad sancionadora atribuida a esta Agencia por la LOPDGDD y la LSSI no queda subordinada ni condicionada a la activación de sistemas voluntarios de mediación, aun cuando estos hayan sido promovidos o recomendados como buenas prácticas. La afirmación de que dicho cauce constituye el “procedimiento habitual” no altera esta conclusión. La práctica administrativa, aun cuando sea frecuente, no crea obligaciones jurídicas ni limita la competencia legalmente atribuida a la autoridad de control. En consecuencia, la decisión de no remitir la reclamación a AUTOCONTROL no vulnera derecho alguno ni genera indefensión, máxime cuando la entidad reclamada ha podido ejercitar plenamente su derecho de defensa dentro del procedimiento sancionador, presentando alegaciones y documentación y participando en la fase probatoria. Tampoco puede prosperar la alegación relativa a la supuesta obligación de la Agencia de realizar actuaciones previas de investigación o requerimientos de información con carácter anterior a la incoación del procedimiento sancionador. Ni la LSSI, ni la Ley 39/2015, ni la normativa específica en materia de protección de datos imponen tal exigencia. La LOPDGDD configura las actuaciones previas de investigación como una facultad de la autoridad de control, destinada a verificar con carácter preliminar la posible existencia de una infracción, pero en ningún caso como un trámite preceptivo ni como presupuesto necesario para el ejercicio de la potestad sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/30 La incoación del procedimiento resulta plenamente conforme a Derecho cuando concurren indicios objetivos suficientes, como sucede en el presente supuesto, en el que la reclamante aportó pruebas documentales directas —capturas de mensajes SMS de contenido publicitario— que permiten razonablemente apreciar la posible comisión de una infracción. En tales circunstancias, el artículo 63 de la Ley 39/2015 habilita el inicio del procedimiento sin necesidad de actuaciones previas adicionales, sin que ello suponga anticipar un juicio sancionador ni menoscabar las garantías del procedimiento. La ausencia de investigaciones preliminares no genera indefensión alguna cuando, como aquí ocurre, la entidad reclamada ha conocido desde el acuerdo de inicio los hechos imputados, ha podido ejercer plenamente su derecho de defensa, formular alegaciones, proponer y aportar prueba y obtener una respuesta motivada a todas sus pretensiones. La presunción de inocencia no se ve comprometida por la incoación del expediente, sino únicamente por la eventual imposición de una sanción sin prueba suficiente, circunstancia que no concurre en el presente caso. La presunción de inocencia, consagrada en el artículo 24.2 de la Constitución Española y recogida en el artículo 53.2.
21. b)de la LPACAP, no impide la incoación de un procedimiento sancionador, sino la imposición de una sanción sin una actividad probatoria suficiente. En el presente expediente, la sanción no se fundamenta en meras manifestaciones no contrastadas, sino en pruebas documentales aportadas por la reclamante (capturas de los SMS), corroboradas por la propia documentación de la reclamada, que reconoce el envío y se limita a intentar justificarlo en un consentimiento que, como se ha razonado extensamente, no ha quedado acreditado de forma válida. La fase de prueba practicada ha servido, además, para confirmar extremos relevantes, como la titularidad prolongada de la línea por parte de la reclamante, que desvirtúan la tesis defensiva de XFERA. No existe, por tanto, quiebra del principio de contradicción ni indefensión material. XFERA ha conocido los hechos imputados desde el Acuerdo de Inicio, ha podido alegar cuanto ha considerado oportuno y aportar los documentos que estimó pertinentes, y ha obtenido una respuesta razonada y motivada a cada una de sus alegaciones. El hecho de que la Agencia no comparta su valoración probatoria no equivale a desconocer o ignorar sus manifestaciones, sino al legítimo ejercicio de la función de apreciación de la prueba conforme a criterios jurídicos. La jurisprudencia citada por la recurrente tampoco ampara su pretensión. Lejos de exigir el archivo automático en supuestos como el presente, dicha doctrina subraya que la culpabilidad puede apreciarse en forma de negligencia o falta de diligencia, cuando el resultado infractor es consecuencia de la ausencia de controles adecuados. Precisamente, en este caso se ha constatado que XFERA permitió el envío de comunicaciones comerciales sin verificar mínimamente la licitud del consentimiento alegado, apoyándose en documentación insuficiente y contradictoria, lo que evidencia una falta de diligencia relevante a efectos sancionadores, sin que ello suponga instaurar un régimen de responsabilidad objetiva. Finalmente, no procede la aplicación del artículo 89.
22. b)de la LPACAP ni el archivo de las actuaciones. Los hechos han quedado acreditados: se enviaron comunicaciones comerciales por SMS desde marcas de XFERA a la reclamante, sin que se haya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/30 probado la existencia de consentimiento previo válido. Tales hechos constituyen infracción administrativa conforme al artículo 21.1 de la LSSI. La posterior supresión de los datos o la ausencia de un perjuicio económico relevante no eliminan la infracción ya consumada ni convierten el procedimiento en contrario a Derecho. En consecuencia, debe desestimarse íntegramente la alegación relativa a la supuesta indefensión, al no apreciarse vulneración alguna de los principios de legalidad, culpabilidad, presunción de inocencia ni de las garantías esenciales del procedimiento administrativo sancionador, resultando conforme a Derecho la tramitación seguida. Tercera.- Circunstancias aplicables al caso individual, art. 83.2 RGPD. La recurrente sostiene, en esencia, que no procede ni la imposición de sanción ni la apreciación de circunstancia agravante alguna, al considerar que XFERA actuó con la diligencia debida y sobre la base de un consentimiento que reputa válido. Afirma que no concurre intencionalidad, que los envíos fueron puntuales, carentes de beneficio económico y de perjuicio acreditado, que existían mecanismos efectivos de oposición y que, una vez conocida la reclamación, se actuó de forma inmediata suprimiendo la numeración afectada. Sobre esta base, invoca el principio de proporcionalidad, rechaza la aplicación del criterio agravante previsto en el artículo 40.
23. a)de la LSSI y solicita la apreciación de diversas circunstancias atenuantes contempladas en dicho precepto —ausencia de reincidencia, inexistencia de beneficio, cooperación con la autoridad, adhesión a códigos de conducta y certificaciones, así como adopción de medidas correctoras—, concluyendo que la sanción resulta desproporcionada y que, en todo caso, debería ser suprimida o reducida de forma significativa. Estas alegaciones no pueden ser acogidas. Con carácter previo, conviene precisar que el régimen sancionador aplicado trae causa de una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
24. d)de la misma norma, y que la graduación de la sanción se ha efectuado conforme a los criterios específicos establecidos en el artículo 40 de la LSSI. A estos efectos, la invocación genérica del artículo 83.2 del RGPD no resulta determinante. La resolución impugnada no desconoce el principio de proporcionalidad, sino que lo aplica atendiendo a la naturaleza del hecho, a la conducta desplegada por la entidad y al estándar de diligencia exigible. En primer lugar, no puede compartirse la premisa de la recurrente relativa a la existencia de un consentimiento válido pues como se ha razonado de forma extensa en apartados anteriores, no ha quedado acreditado un consentimiento previo, específico, informado y verificable otorgado por la reclamante. El certificado aportado por ***EMPRESA.1 identifica como otorgante a un tercero distinto, sin respaldo técnico que permita vincular de manera fiable el acto de consentimiento con la destinataria real de los SMS. Partiendo de esta constatación, resulta improcedente sostener que XFERA actuó amparada en una base de legitimación válida o que la deficiencia apreciada sea meramente formal o técnica. El envío de comunicaciones comerciales sin haber verificado mínimamente la licitud del consentimiento constituye, por sí mismo, una infracción del deber de diligencia exigible, con independencia de la buena fe alegada o de la intervención de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/30 En este contexto, la apreciación del criterio de graduación previsto en el artículo 40.
25. a)de la LSSI no exige, como sostiene la recurrente, la concurrencia de dolo directo o de una voluntad expresa de infringir la norma. A efectos de dicho precepto, la intencionalidad comprende también aquellas conductas en las que el resultado infractor es consecuencia de una falta de diligencia debida, cuando el responsable se encuentra en posición de evitarlo mediante la adopción de controles y cautelas razonablemente exigibles en el desarrollo de su actividad. Así ha sido entendido de forma reiterada en el ámbito del derecho administrativo sancionador, en el que la culpabilidad no se limita al comportamiento doloso, sino que puede manifestarse en forma de negligencia relevante, sin que ello suponga instaurar un régimen de responsabilidad objetiva. En el presente caso, la conducta de XFERA revela una insuficiencia clara de diligencia: permitió el envío de comunicaciones comerciales en el marco de su propia actividad y en su beneficio a una persona que no era cliente y respecto de la cual no constaba un consentimiento válido, apoyándose en documentación insuficiente y contradictoria aportada por un tercero, sin articular mecanismos efectivos de verificación. Esta actuación, atendida la naturaleza de la actividad desarrollada y la experiencia de la entidad en el envío de este tipo de comunicaciones, resulta imputable al criterio de intencionalidad previsto en el artículo 40.
26. a)de la LSSI a efectos de la graduación de la sanción, sin que ello sea incompatible con la calificación de la infracción como leve. Tampoco puede prosperar la alegación de que se trata de un hecho irrelevante por su carácter puntual o por la inexistencia de beneficio económico o perjuicio acreditado. El bien jurídico protegido por el artículo 21.1 de la LSSI es el derecho del destinatario a no recibir comunicaciones comerciales no consentidas, derecho que se ve vulnerado desde el primer envío no autorizado, con independencia de que el impacto sea único o reiterado, o de que se obtenga un beneficio económico inmediato. La ausencia de lucro directo o de daño patrimonial cuantificable no elimina la infracción ni impide la imposición de sanción, sino que constituye uno de los elementos ya ponderados al fijar una cuantía claramente alejada del máximo legal previsto para las infracciones leves. En cuanto a las circunstancias atenuantes invocadas, procede señalar que la ausencia de reincidencia, la falta de beneficio económico y el carácter limitado del envío han sido implícitamente considerados en la graduación de la sanción, que se sitúa en un tramo medio-bajo dentro del margen legal. Sin embargo, tales circunstancias no obligan a suprimir la sanción ni a sustituirla por un apercibimiento cuando, como sucede en este caso, la infracción se ha consumado y se aprecia una falta de diligencia relevante. La cooperación con la autoridad y la supresión de la numeración tras el Acuerdo de Inicio constituyen actuaciones reactivas, desplegadas una vez iniciado el procedimiento, que no neutralizan la ilicitud del envío previo ni pueden operar como atenuantes cualificados determinantes de la exclusión de responsabilidad. La diligencia exigible debía concurrir antes del envío de los SMS, no después de tener conocimiento de la reclamación. Del mismo modo, la adhesión de XFERA a códigos de conducta, sistemas de autorregulación o mecanismos de certificación —tales como ISO 27001, ISO 27701 o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/30 el Esquema Nacional de Seguridad— no exonera del cumplimiento efectivo de la normativa ni garantiza, por sí sola, la ausencia de infracciones en supuestos concretos. Estas adhesiones pueden ser valoradas como elementos contextuales positivos, pero no neutralizan una infracción ya acreditada ni sustituyen la obligación de verificar la licitud de los tratamientos realizados en campañas específicas. En el presente caso, la existencia de dichas certificaciones no impidió el envío de comunicaciones comerciales sin consentimiento válido, lo que evidencia que no resultan determinantes para excluir la responsabilidad apreciada. Finalmente, la solicitud de que esta Agencia emita recomendaciones o instrucciones generales sobre la obtención del consentimiento resulta ajena al objeto del presente procedimiento sancionador. La finalidad de esta resolución es enjuiciar la licitud de una conducta concreta a la luz de la normativa vigente, no establecer protocolos abstractos de captación de consentimiento, máxime cuando el marco normativo aplicable — artículo 21.1 de la LSSI, RGPD y Directrices del Comité Europeo— define con claridad los requisitos esenciales del consentimiento y la carga de su acreditación. En definitiva, no procede estimar la alegación relativa a la inexistencia de culpabilidad ni a la improcedencia o desproporción de la sanción. La infracción ha quedado debidamente acreditada, la conducta de XFERA revela una falta de diligencia relevante a efectos del artículo 40 de la LSSI y la cuantía impuesta se ha fijado ponderando adecuadamente las circunstancias concurrentes, sin que concurran atenuantes cualificados que justifiquen una reducción adicional o la supresión de la sanción. Cuarta.- Sobre las solicitudes formuladas. En primer lugar, no procede acordar el archivo del procedimiento por la supuesta acreditación del consentimiento. Tal y como se ha razonado de forma extensa y reiterada al dar respuesta a las alegaciones formuladas en el recurso, no ha quedado acreditada la existencia de un consentimiento previo, específico, informado y verificable otorgado por la reclamante para la recepción de comunicaciones comerciales. La documentación aportada identifica como presunto otorgante a un tercero distinto, carece de una trazabilidad técnica suficiente y no permite vincular de manera fiable el acto de consentimiento con la destinataria real de los SMS. En estas circunstancias, persiste la vulneración del artículo 21.1 de la LSSI y no concurre causa alguna que justifique el archivo del procedimiento en los términos del artículo 89 de la LPACAP. Tampoco puede estimarse la solicitud subsidiaria de archivo por inexistencia de culpabilidad. Como se ha expuesto, la responsabilidad apreciada no es de carácter objetivo, sino que se fundamenta en una falta relevante de diligencia imputable a XFERA, consistente en permitir el envío de comunicaciones comerciales en su propio beneficio sin verificar mínimamente la licitud del consentimiento alegado. En el ámbito sancionador administrativo, la culpabilidad queda satisfecha con la concurrencia de negligencia o imprudencia, sin que resulte exigible la existencia de dolo directo. La conducta acreditada se incardina plenamente en este estándar, por lo que no procede el archivo del procedimiento por ausencia de culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/30 En cuanto a la pretensión subsidiaria de sustitución de la sanción por un apercibimiento o de una modulación adicional de la multa, procede igualmente su rechazo. La infracción ha quedado debidamente acreditada y la sanción impuesta se sitúa dentro de los márgenes previstos para las infracciones leves en la LSSI. La cuantía fijada ha sido graduada conforme a los criterios establecidos en el artículo 40 de dicha norma, ponderando la naturaleza del hecho, la ausencia de reincidencia, la inexistencia de beneficio económico directo y las circunstancias concurrentes. No concurren atenuantes cualificados adicionales que justifiquen ni la sustitución de la sanción por un apercibimiento ni una reducción adicional de la multa, máxime cuando la actuación reactiva de supresión de datos tuvo lugar una vez iniciado el procedimiento y no elimina ni neutraliza la infracción ya consumada. Por último, en cuanto a la solicitud de suspensión cautelar de la ejecutividad de la resolución, el artículo 90.3 de la LPACAP prevé la posibilidad de acordar la suspensión cuando el interesado manifieste su intención de interponer recurso contenciosoadministrativo y concurran los requisitos legalmente exigidos. En consecuencia, procede desestimar las solicitudes formuladas en el recurso de reposición, al no apreciarse vulneración alguna del ordenamiento jurídico ni de las garantías propias del procedimiento administrativo sancionador, confirmándose en todos sus extremos la resolución recurrida, tanto en la apreciación de los hechos como en su calificación jurídica y en la sanción impuesta. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/30 la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la entidad XFERA MÓVILES, S.A.U. con NIF.: A82528548, contra la Resolución de la AEPD de fecha 19 de noviembre de 2025 en el expediente EXP202415278 (PS/00097/2024), SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.U TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
28. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/30 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es