REPOSICION-PS-00170-2024

1/54  Expediente nº.: EXP202301365 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por XFERA MÓVILES, S.A.U. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 30 de mayo de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 30 de mayo de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202301365, en virtud de la cual se imponía a XFERA MÓVILES, S.A.U., con NIF A82528548, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD, una multa de doscientos mil euros (200.000 euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 2 de junio de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00170/2024, quedó constancia de los siguientes: procedimiento sancionador, “1. El 27/12/2022 tiene entrada en la AEPD escrito FACUA-Sevilla, en representación de A.A.A., con DNI ***NIF.1 (en adelante la parte reclamante) en el que manifiesta que la parte reclamada ha llevado a cabo una portabilidad sin su consentimiento; en fecha 14/09/2022 recibió un mensaje de texto en el que le informaban que su línea seria portada al día siguiente; manifiesta no haber solicitado portabilidad alguna ni contratación de servicio alguno con la parte reclamada; la nueva tarjeta SIM fue entregada en su domicilio a un tercero que no mostró su DNI. 2. El 14/09/2022, la parte reclamante recibió un mensaje SMS con el siguiente texto: MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2 am y 6 am. A partir de entonces ya puedes cambiar tu tarjeta SIM”. 3. En escrito de 19/02/2023 en respuesta a la pregunta realizada por inspector actuante: ¿Acreditación de que se remitió al interesado un código de validación por SMS al teléfono que se iba a portar y que fue incluida en el formulario de contratación web? Señala la parte reclamada que: “(…) En lo referente al sistema de códigos de validación por SMS con el que contamos actualmente, se encontraba en fase de desarrollo y pruebas en el momento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/54 portabilidad del interesado, implementándose poco después, siendo los formularios los mismos en el momento de la contratación del interesado, a falta solo de esa funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento, lo cual, como indicábamos, no es un requisito conforme la legislación vigente, sino confirmar la posesión de la numeración que se pretende portar. (…)” 4. En escrito de 19/02/2023 en respuesta a la pregunta realizada por inspector actuante: ¿Detalle de en qué momento del proceso de contratación se considera acreditada la identidad del cliente, así como qué documentación debe aportar en su caso? Señala la parte reclamada que: “En los procesos de contratación a distancia la acreditación de la identidad se lleva a cabo en el momento de la entrega de la tarjeta SIM, ya que es el único momento previo a la activación, en el que el titular de la numeración está presente, junto con su DNI, a fin de acreditar su identidad. Es el mensajero quien debe cotejar que la tarjeta SIM es entregada al destinatario del paquete mediante la exhibición de su DNI, instrucción que aparece en el propio albarán de la tarjeta SIM, el cual hemos aportado varias veces ya a lo largo del procedimiento”. 5. La parte reclamada en escrito de 08/03/2023 manifiesta que “…la portabilidad fue solicitada el 13 de septiembre de 2022 a través de SFID 0001, correspondiente al canal de ventas web, de modo que la solicitud se llevó a cabo a través de la web de la marca MASMOVIL…” y “…además de la línea a portar ***TELÉFONO.1, se proporciona en la solicitud como teléfono de contacto el ***TELÉFONO.2, que es el mismo teléfono de contacto aportado por FACUA, representantes del interesado, como medio de contacto…” Y en ese mismo escrito se señala que “De los primeros análisis realizados por el departamento de fraude, consistentes en comprobar la exactitud de los datos proporcionados, no se detectan indicios de fraude en relación con esta contratación. Puede por tanto concluirse en primera instancia que los datos identificativos, dirección y teléfono de contacto son realmente los del interesado, no apreciándose elementos de suplantación de identidad”. Por último, consta reflejado en este mismo escrito lo siguiente: “El número de DNI es un dato que el mensajero desconoce, que debe proporcionarse por el destinatario a la vez que exhibe su DNI y cuyo número el mensajero introduce en una PDA. El mensajero solo puede proceder a la entrega del paquete en caso de que la PDA le devuelva un OK tras la introducción del número del DNI proporcionado por el destinatario. Si el DNI proporcionado no coincidiera con el del cliente, la PDA devolvería un KO y el paquete no debería ser entregado. 6. La parte reclamada ha aportado contrato de portabilidad suscrito con la parte reclamante; en el mismo figuran los datos de carácter personal, los relativos al producto contratado y los datos económico (nº de cuenta); el documento no figura firmado por la parte reclamante, como tampoco figura firmada la orden de domiciliación de adeudo SEPA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/54 7. Consta aportado Contrato de Prestación de servicios, suscrito en Madrid el 15/07/2015, entre Xfera e Interbox Technology, S.L. cuyo objeto es la prestación de servicios logísticos a cambio de una remuneración. En la cláusula 1.6, Distribución y entrega, epígrafe 1.6.4, Comprobación de la identidad del cliente y cancelación entregas, se establece que: “EL OPERADOR LOGISTICO deberá proceder a la comprobación la identidad del cliente en el momento de la entrega del pedido. A tal fin, la persona designada por el OPERADOR LOGISTICO para realizar la entrega del pedido deberá solicitar al cliente, que previamente habrá sido informado de ello, la exhibición de un documento acreditativo de su identidad (Documento Nacional de Identidad, Tarjeta de Extranjero o Pasaporte). En caso de que el destinatario del pedido no fuera capaz de exhibir un documento acreditativo de su identidad o si el documento exhibido correspondiera a una persona distinta de la que realizó el pedido, según los datos obrantes en el Sistema Integrado, el OPERADOR LOGISTICO deberá cancelar la entrega y el pedido será transportado de nuevo a la Plataforma, donde se almacenara en una ubicación habilitada al efecto. EL OPERADOR LOGISTICO deberá proceder al registro informático de esta circunstancia en el plazo máximo de 24 horas desde que se produzca la cancelación de una entrega por la causa prevista en este apartado, de que esa información esté disponible en el Sistema Integrado. EL OPERADOR LOGISTICO asume ante YOIGO la plena disponibilidad sobre la comprobación de la identidad de los clientes en el momento de la entrega de los pedidos. La carga de la prueba acerca del cumplimento de esta obligación por parte del OPERADOR LOGISTICO correrá siempre a cargo del OPERADOR LOGISTICO, que deberá mantener indemne a YOIGO, frente a cualquier reclamación daño o perjuicio relacionado con la entrega de un pedido sin comprobación de la identidad del destinatario”. TERCERO: La parte recurrente ha presentado en fecha 2 de julio de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en la reiteración de las alegaciones previamente presentadas, que ratifica y da por reproducidas íntegramente, es decir: PREVIO. REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS MOTIVOS JURÍDICOS FORMALES ÚNICA. De la admisión extemporánea de la reclamación en fase de reposición. Señala que la resolución del 15 de septiembre de 2023, por la que se estimó el recurso de reposición interpuesto por el reclamante y se admite a trámite la reclamación, fue dictada y notificada cinco meses después de su interposición y por lo tanto indica que esta actuación administrativa vulnera de forma directa lo dispuesto en el art. 124.2 de la LPACAP, que fija de forma clara: “El plazo máximo para dictar y notificar la resolución del recurso será de un mes”. Por tanto, cuando se dicta esa resolución ya se había producido la caducidad del procedimiento conforme a lo dispuesto en el artículo 25.1.
2. b)de la LPACAP, que vicia de nulidad el procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/54 no resultando de aplicación el artículo 24.3.
3. b)de la misma norma, referido a los efectos del silencio y que no autoriza a la Administración a revivir los procedimientos. MOTIVOS JURÍDICO-MATERIALES Previa.- del contexto en el que se impone la reclamación contra XFERA. Indican, que la reclamación es presentada por FACUA en nombre de A.A.A., por ser éste, según se indica, socio de la entidad y el secretario general de la organización, señalando que se presenta bajo la apariencia de una acción de FACUA en nombre del Reclamante, es en realidad lo contrario, es A.A.A. quien presenta la Reclamación en nombre de FACUA, pero siendo que las personas jurídicas no son objeto de protección de la norma, lo hace en su condición de persona física para que la acción tenga visos de ser aceptada. La propia FACUA lo informa así en su web: “FACUA denuncia al Grupo MásMóvil por un grave agujero de seguridad en su protocolo de portabilidades”. Tanto es así que en el proceso de contratación se indica como dato de contacto el número móvil de la entidad. Además, con la propia Reclamación se anexa también un vídeo con su correspondiente evidencia electrónica contratado por FACUA a EGARANTE, como tercero de confianza. Señala que, bajo la apariencia de una reclamación privada por un uso no adecuado de datos personales, hay un interés de una entidad privada en promocionar su actividad y obtener nuevos asociados, reforzando su imagen de adalid de la defensa de los derechos de los consumidores al obtener una sanción para una entidad reconocida en el mercado, a costa de su reputación. Indica que, no se aprecian patrones o indicios algunos de fraude ni suplantación de identidad: todos y cada uno de los datos personales empleados en la portabilidad coinciden con los datos del Reclamante, siendo éste un hecho no controvertido. Así lo entiende la propia AEPD que, inexplicablemente, admite el recurso de reposición señalando que: “Sin embargo, en fecha 14 de abril de 2023, la parte reclamante ha interpuesto un recurso potestativo de reposición contra dicha resolución, en el que alega que la reclamación no se refería a la existencia de una posible suplantación de identidad, sino a que la parte reclamada habría procedido a realizar la portabilidad tras recabar sus datos, pero no su consentimiento, sin que se produjese ninguna clase de confirmación del contrato ni se recibiese un SMS del servicio de verificación, pese a que el proceso de contratación indicó que esto se produciría. Por tanto, no se recaba adecuadamente el consentimiento contractual”. Como se puede apreciar en los literales reproducidos, ambas descartan que se plantee una posible suplantación de identidad. Es decir, en el momento del inicio del procedimiento, tanto FACUA como la AEPD asumen que el fondo el asunto es la forma de perfeccionamiento del contrato de portabilidad, no la adecuación del tratamiento de los datos en el marco de la suscripción del contrato o la posibilidad de la suplantación de identidad durante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/54 proceso (aunque, incomprensiblemente, este el motivo por el que finalmente se sanciona a XFERA). Entiende XFERA que el contrato celebrado es perfectamente conforme a derecho y se perfeccionó debidamente y que no compete a la AEPD valorar este hecho sino a otras autoridades competentes en la materia. 1º.- De la existencia de un tratamiento de los datos personales legitimado. XFERA señala que es la propia FACUA, en nombre del Reclamante, quien manifiesta que: “la reclamación no se refería a la existencia de una posible suplantación de identidad sino a que la parte reclamada habría procedido a realizar la portabilidad tras recabar sus datos, pero no su consentimiento, sin que se produjese ninguna clase de confirmación del contrato”. Es decir, se admite que el formulario de contratación fue rellenado por el reclamante. Algo que la propia AEPD asume, indicando que la Reclamación: “no se refería a la existencia de una posible suplantación de identidad, sino a que la parte reclamada habría procedido a realizar la portabilidad tras recabar sus datos, pero no su consentimiento”. Pese a que tanto la AEPD como FACUA indicaban que no se denunciaba una posible suplantación de identidad, sino el perfeccionamiento del contrato, aluden posteriormente a que no ha habido una adecuada identificación del cliente. Para ello, FACUA no duda en faltar clamorosamente a la verdad en relación con los datos necesarios para realizar un proceso de contratación, indicando: “TERCERO.Que en definitiva, este grupo empresarial no lleva a cabo una mínima acción para comprobar la identidad de quien solicita la portabilidad de la línea. Esta falta de diligencia supone que cualquier persona ajena a la línea de teléfono en cuestión pueda solicitar un cambio de empresa prestadora del servicio sin poseer para ello autorización del titular de la línea móvil afectada. Basta con que se introduzca nombre, DNI, y teléfono del titular, pues la empresa no llevará a cabo ninguna clase de comprobación como, por ejemplo, enviar un sms de confirmación al número móvil que se pretende portar con alguna clase de clave o identificación”. Esta afirmación no es casual, sino que es un argumento “populista” que sirve a su causa de generar alarma en la población, como puede verse claramente en la aludida publicación web: “Las líneas contratadas con cualquier operador pueden migrarse fraudulentamente a compañías como… MásMóvil… con solo conocer el nombre y DNI de su titular”. Frente a esta acusación infundada, consta acreditado en el expediente que el proceso de contratación requiere de aportar una serie de información completa, incluyendo además del nombre y DNI, el domicilio, el operador actual o el número de cuenta. Y, lo que es más importante, el procedimiento aprobado por la Comisión Nacional de Mercados y de la Competencia para la gestión de las portabilidades delimita los datos que en el momento de la solicitud la empresa receptora facilite a la empresa donante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/54 En lo que se refiere a las verificaciones correspondientes al proceso de portabilidad, éstas vienen definidas en la denominada Especificación Técnica de Portabilidad (Portabilidad Móvil). Los datos que como operador receptor deben aportarse de forma obligatoria para iniciar una portabilidad son: • Datos de abonado: NIF/NIE/Pasaporte y nacionalidad/CIF - Nombre y apellidos o razón social • Datos de portabilidad: Tipo de portabilidad (individual/múltiple) - Numeración (MSISDN / múltiples MSISDN) - NRN asociado al receptor - Operador receptor Operador donante - Fecha y hora en que el abonado ha efectuado la solicitud en el operador receptor - Código de solicitud Y, en caso de falta de coincidencia de alguno de ellos, se deniega de forma automática la solicitud de la portabilidad. Afirma, que es totalmente falso que se pidan únicamente los datos señalados por FACUA, bastando, por ejemplo, con no conocer el operador actual, el domicilio o el número de cuenta del abonado para que sea imposible realizar el proceso. Asimismo, el reclamante niega que recibiese la tarjeta SIM en el momento de su entrega. Sin embargo, en el momento de la reclamación inicial se señalaba que: “Ese mismo día, se personó un mensajero en su domicilio, (donde sólo estaba su mujer) quien le solicitó a la misma el número de DNI, sin ni siquiera aclarar de qué tipo de gestión se trataba ni qué tipo de paquete iba a entregar, la cual se lo facilitó (sin enseñárselo), pensando que se trataba de algún otro tipo de pedido realizado a otra empresa”. Exponen, que ha sido acreditado documentalmente en el marco del procedimiento que XFERA tenía contratado el servicio de entrega en exclusiva, por el cual el mensajero tenía orden de entregar el paquete únicamente al titular y verificar su identidad mediante exhibición del DNI, y como prueba documental resultante, se aporta albarán firmado por el titular, sin que se haya desacreditado ni impugnado la validez de tal documento. No se ha aportado ni acreditado nada por parte del reclamante, más allá de su mero testimonio, el cual, a la luz de los objetivos del reclamante, es de dudosa veracidad. En este sentido, y ya centrándonos en hechos objetivos, quedaría acreditado que el mensajero pudo rellenar el número del DNI, ya que consta en el albarán de entrega y este lo desconoce de forma previa, al igual que consta una firma de alguien que dice ser A.A.A., no habiendo ningún elemento que haga dudar del cumplimiento de las instrucciones documentadas de mi representada. Indica que en el momento del recurso de reposición se cambia la versión para afirmar que sí se exhibió un DNI, pero que no era el de A.A.A.. Por tanto, pasamos de que su mujer facilitó el DNI del Reclamante a que exhibió un DNI pero que no era el de A.A.A., e inexplicablemente, el repartidor adivinó el DNI del receptor para poder validar su entrega. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/54 Señala, que todos los datos coinciden con los del interesado, lo que ha quedado acreditado en este procedimiento, con lo que son exactos, incluyendo su domicilio particular en el que se produce la entrega de la tarjeta SIM. - No se aprecian patrones o indicios algunos de fraude ni suplantación de identidad: todos y cada uno de los datos personales empleados en la portabilidad coinciden con los datos del Reclamante, siendo éste un hecho no controvertido. De hecho, la SIM fue entregada en su propio domicilio, cuestión reconocida por el Reclamante, previa exhibición de su DNI. - En el albarán de entrega consta una firma por parte de A.A.A. con sus datos identificativos, constando además que se ha verificado DNI. - El Reclamante no solo recibió la tarjeta SIM enviada, sino que la activó y utilizó hasta el 23 de septiembre de 2022, habiendo solicitado la portabilidad a su operador origen el 21 de septiembre, esto es, 6 días después de la activación del servicio por su parte, el 15 de septiembre. Pese a que todos los indicios sirven para probar que el Reclamante realizó el procedimiento de solicitud de portabilidad y lo completó personalmente, A.A.A. manifiesta que éste ha sido llevado a cabo “sin su consentimiento”, cuando incluso activó la tarjeta SIM que recibió y estuvo haciendo uso del servicio durante 8 días, lo que evidencia lo contradictorio de sus manifestaciones, sus actos y su escasa credibilidad. La AEPD no puede dar, sin más, validez a las manifestaciones de quien consta acreditado que ha incluido falsedades y contradicciones en sus manifestaciones frente a hechos objetivos que prueban lo contrario y cuando, además, no han sido objeto de análisis evidencias que servirían para para terminar aclarar la realidad de los hechos acontecidos. Así, por ejemplo, no se ha examinado la dirección IP desde la que se solicitó la portabilidad, lo que esclarecería si pertenece a A.A.A. o a la asociación a la que representa, ni tampoco se ha comprobado la titularidad de la cuenta bancaria facilitada durante el proceso de contratación, cuando la AEPD tiene capacidad para ello. No es sostenible renunciar a clarificar la realidad de una denuncia de dudosa fiabilidad y, al mismo tiempo, tratar de sustentar una infracción administrativa, con consecuencias sancionadoras, en meras manifestaciones interesadas del Reclamante. Si bien el Reclamante puede opinar y manifestar su disconformidad con la concreta configuración del proceso de solicitud de portabilidad de XFERA, no cabe negar que tal solicitud y proceso ha sido ejecutado por él mismo, dando cumplimiento al proceso delimitado por XFERA. En virtud de lo anterior, no resulta posible aludir a la existencia de un tratamiento de datos sin legitimación, como realiza sin embargo la Agencia en la Resolución. Ya que, el tratamiento de los datos personales del Reclamante se realiza por XFERA en virtud de la solicitud de portabilidad efectuada por el propio Reclamante, con la finalidad de ejecutar el trámite solicitado y con base en la necesidad de éste para la ejecución de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/54 un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales (artículo 6.1 apartado
4. b)del RGPD). Así pues, en el presente, resulta innegable que consta acreditada la solicitud de contratación entre el Reclamante y XFERA, formalizada por el propio Reclamante en el canal web de XFERA, que se ejecutó y confirmó en el momento de la activación de la SIM por el Reclamante el 15 de septiembre y su posterior uso hasta el día 23 del mismo mes. El cual aportamos como Documento nº 1. 2º 2º.- Sobre la acreditación de la identidad del receptor del paquete. Adicionalmente a lo anterior, no cabe negar la existencia de una verificación de la identidad del Reclamante. Realizada inicialmente mediante la comprobación de la corrección de los datos durante el proceso de solicitud de portabilidad con la operadora donante y confirmada posteriormente de forma presencial, en la entrega por parte de XFERA, tal y como identifica la AEPD en su Resolución -página 31-. Pese a que esta verificación de la identidad presencial no incluya una copia del documento revisado, hay evidencias de su comprobación (la inclusión del número en el albarán) y firma del mismo por alguien que se identifica como el Reclamante, que la AEPD no puede ignorar y aludir a su inexistencia. Especialmente, cuando es la propia AEPD la que limita las herramientas para la generación de evidencias de la identificación que pueden emplear los operadores de telecomunicaciones a distancia, al señalar como excesivo la solicitud de copias del documento nacional de identidad en numerosos procedimientos, donde incluso se han impuesto sanciones y se ha considerado que la solicitud del DNI o la conservación de su copia constituye una infracción de la normativa de protección de datos. Las evidencias presentadas son suficientes para justificar que la entrega se realizó al titular del DNI debidamente identificado, tal como se desprende de que el mismo fue introducido correctamente por el repartidor y la negativa de este hecho por parte del Reclamante no se sostiene, en vista de la contradicción de sus manifestaciones y de su admisión de la exhibición de un DNI en el momento de la recepción de la tarjeta SIM que, conforme a las evidencias, no podría ser otro que el suyo. 3º.- De la existencia de un contrato válido y la prestación del consentimiento por el Reclamante. Señala, que a lo largo de la Reclamación interpuesta, así como en la Resolución, por parte de la AEPD se aduce que no se prestó válidamente el consentimiento contractual, debido a que el Reclamante no llegó a firmar, en términos estrictos, un contrato (el Reclamante alude a un proceso “incompleto”). Indica, que si bien esta cuestión excede, a juicio de XFERA, el ámbito competencial de la AEPD y a la propia normativa de protección de datos, cabe señalar que, en el presente caso, tienen lugar los requisitos que nuestro ordenamiento jurídico establece para entender válidamente prestado el consentimiento en los contratos electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/54 Como bien conoce esta Agencia, la contratación electrónica se rige por la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, “LSSI”). En su artículo 23.1 se establece la validez de los contratos formalizados por vía electrónica como el que nos ocupa: “Artículo 23. Validez y eficacia de los contratos celebrados por vía electrónica. 1. Los contratos celebrados por vía electrónica producirán todos los efectos previstos por el ordenamiento jurídico, cuando concurran el consentimiento y los demás requisitos necesarios para su validez”. Afirma, que el vídeo aportado por el propio Reclamante acredita que el proceso de contratación de XFERA cuenta con todos los requisitos necesarios para que tenga lugar una contratación válida: una oferta, que se acepta de forma expresa por el contratante, que seleccionó la tarifa, completó sus datos personales en el formulario, marcó la opción de conservar su número móvil y aceptó la oferta marcando la casilla “Acepto las condiciones generales de contratación y la política de privacidad”, y pulsa el botón “Confirmar compra”. Ese proceso puede seguirse en el vídeo aportado por el reclamante, en cuyo minuto 2:42 se muestra la opción de marcar esa casilla con la leyenda “Cuando pulses confirmar compra estarás confirmando tu pedido”. En definitiva, se produjo el concurso entre la oferta y su aceptación. Con base en esto, de acuerdo con el Comité Europeo de Protección de Datos, y más en concreto, con sus “Directrices 2/2019 sobre el tratamiento de datos personales en virtud del artículo 6, apartado 1, letra b), del RGPD en el contexto de la prestación de servicios en línea a los interesados”, un tratamiento puede anclarse en la base de legitimación prevista en el artículo 6.1.
5. b)del RGPD cuando: 1. El responsable del tratamiento puede demostrar que el contrato existe; tal como se acredita con el Documento nº 1. 2. El contrato es válido en virtud del derecho nacional aplicable en materia de contratos, como se ha referido previamente; y 3. El tratamiento es necesario desde un punto de vista objetivo para la ejecución del contrato. Y, que a mayor abundamiento, las actuaciones posteriores del Reclamante reafirman la prestación de su consentimiento y su voluntad de contratar con XFERA: en el momento de la entrega, el Reclamante aceptó la misma y recibió el paquete en su domicilio y no solo eso, sino que el Reclamante activó y utilizó el servicio durante 8 días. Con base en sus propios actos (doctrina de los actos propios), no cabe negar la existencia de una contratación válida entre el Reclamante y XFERA. Este contrato válido es lo que habilita y consagra la legitimidad del tratamiento de datos asociado. Derivado de lo anterior, resulta evidente que XFERA cuenta con una base de legitimación que justifica el tratamiento de los datos del Reclamante y que permite su tratamiento en base a la relación contractual formalizada, no resultando posible identificar, en la conducta de esta parte, una infracción del artículo 6.1 del RGPD. No obstante, señalan que la Agencia niega, de forma absoluta, la existencia de un contrato entre las partes (páginas 21 y 22 de la Resolución: “Menos aún puede aceptarse la existencia de un contrato entre el reclamante y Xfera”) en base a las manifestaciones del reclamante no acreditadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/54 Manifiesta, que resulta evidente que, en caso de que el Reclamante no quisiese continuar con la portabilidad por el motivo que fuese, hubiese contactado a XFERA o realizado alguna actuación en tal sentido y una vez consumada la portabilidad, hubiera gestionado la retroportabilidad inmediatamente, no 6 días después, habiendo activado y utilizado el servicio del que reniega. Y, que, el Reclamante, pese a conocer sobradamente ambos derechos, dada su condición de secretario general de una asociación de consumidores, decidió no ejercitar su derecho de desistimiento y procedió a utilizar los servicios hasta casi una semana después, sin solicitar una restitución a la situación inicial, y que posteriormente afirma no haber contratado. Las actuaciones del Reclamante a posteriori evidencian que sí conocía la contratación, que deseaba ejecutar la misma y que no negaba la validez de ésta. 4º.- De la vulneración de las normas y principios generales que rigen los procedimientos administrativos Afirma, que la Resolución imputa a XFERA una supuesta infracción del art. 6.1 RGPD, si bien fundamenta su argumentación en consideraciones ajenas a dicho precepto, introduciendo elementos de juicio relativos a la suficiencia de las medidas de verificación de identidad aplicadas por XFERA, sin conexión directa con el tipo infractor descrito. Esta mezcla confusa de fundamentos genera una vulneración del principio de seguridad jurídica consagrado en el artículo 9.3 de la Constitución española y desarrollado, entre otras, por la STC 46/1990, de 15 de marzo, al dificultar la comprensión del supuesto infractor y entorpecer el ejercicio del derecho de defensa. Igualmente, esta parte quiere recalcar que el acto administrativo sancionador debe estar suficientemente motivado (art. 35.1.h LPACAP), permitiendo al interesado conocer los hechos imputados, su calificación jurídica y los elementos probatorios en los que se basa la decisión tal y como ha establecido el Tribunal Supremo (STS de 4 de abril de 2012), la insuficiencia de motivación constituye un vicio de anulabilidad por indefensión. Advierte sobre la ausencia de actividad investigadora y la falta de motivación de la resolución, que omite cualquier valoración razonada de los documentos probatorios aportados por XFERA —entre ellos, el contrato, la IP del dispositivo desde el que se realiza la contratación, la entrega certificada de la tarjeta SIM o el uso efectivo de la línea—, limitándose a asumir como hechos probados las meras manifestaciones del Reclamante, incumpliendo lo dispuesto en el artículo 77.1 de la LPACAP, incurriendo así en arbitrariedad y falta de imparcialidad. La inconsistencia argumentativa y la errática motivación impiden determinar de forma objetiva cuál es la conducta reprochada a XFERA, vulnerando el principio de tipicidad y transmutando el objeto del procedimiento hacia cuestiones colaterales (verificación de identidad, diligencia empresarial), que no constituyen, por sí solas, infracción del art. 6.1 RGPD. Otro aspecto fundamental a destacar es la vulneración manifiesta del principio de culpabilidad. En el ámbito sancionador rige, como reiteradamente ha declarado el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/54 Tribunal Constitucional, este principio, sin embargo, la AEPD impone una sanción sin haber acreditado la concurrencia de dolo o negligencia por parte de XFERA. Muy al contrario, consta en el expediente la actuación diligente de esta parte en la verificación del consentimiento del Reclamante y en la prestación del servicio contratado, según las condiciones establecidas normativamente para la portabilidad numérica. En este sentido, el presente supuesto se circunscribe a los supuestos que recoge el artículo 89 de la LPACAP, y que prevén el archivo de las actuaciones: “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
6. a)La inexistencia de los hechos que pudieran constituir la infracción.
7. b)Cuando los hechos no resulten acreditados.
8. c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa”. En consecuencia, la Resolución dictada en este procedimiento incurre en vulneraciones sustanciales de los principios básicos del procedimiento administrativo sancionador: legalidad, tipicidad, culpabilidad y presunción de inocencia, derecho a la prueba, motivación suficiente y seguridad jurídica. Estos vicios son determinantes de la nulidad de pleno derecho o, en su caso, de la anulabilidad de la resolución impugnada, debiendo acordarse el archivo del procedimiento por haberse conculcado las garantías procedimentales esenciales. 5º- De la falta de proporcionalidad de la sanción. Señalan, que la sanción incluida en la Resolución resulta, en todo caso, desproporcionada, atendiendo a las circunstancias y contenido de la supuesta infracción, que XFERA niega rotundamente. La capacidad sancionadora de la AEPD se encuentra limitada por la existencia del principio de proporcionalidad, de conformidad con lo dispuesto en el artículo 29 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, debiendo observar la idoneidad correspondiente, así como la necesidad de imponer una sanción adecuada a la gravedad del hecho constitutivo de la infracción. En virtud de los argumentos esgrimidos en el presente escrito, en el caso de no apreciarse una total falta de culpabilidad, debería apreciarse una cualificada disminución de la responsabilidad de XFERA o, cuanto menos, de la gravedad de los hechos de los que trae causa el presente procedimiento, lo que determinaría la procedencia de reducir la gravedad de las infracciones a ella atribuidas y, por ende, de reducir la sanción a imponer. No puede obviarse que, ante la particularidad del presente supuesto, la conducta de XFERA, consistente en tramitar la solicitud de portabilidad del Reclamante, no reviste la gravedad atribuida en la Resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/54 La AEPD en la Resolución, concretamente en su página 37, señala la posibilidad de imponer la adopción de medidas al responsable del tratamiento. No obstante, el anuncio de esta Agencia no determina qué medidas ni de qué tipología debería adoptarse por el responsable del tratamiento, no concretando la obligación que se le busca imponer. Por ende, de apreciar esta Agencia la necesidad de implementar medidas por parte de esta mercantil, estas deberán tasarse y determinarse de modo que no se produzca una mera apreciación generalista como la realizada en la Resolución. Cabe destacar los siguientes puntos que conforme a la interpretación de la Agencia son calificados de agravantes, sin que concurran las circunstancias para su consideración en relación con la supuesta infracción del artículo 6.1 del RGPD: - Sobre la naturaleza, gravedad y duración de la infracción: Tal y como consta expuesto en el expediente, este hecho no puede ser considerado como elemento agravante, en la medida en la que el RGPD contempla esta circunstancia como un elemento del tipo: la afectación de un principio básico provoca que la infracción sea tipificada en el artículo 83.5.
9. a)del RGPD, que se refiere concretamente a las infracciones de “los principios básicos para el tratamiento”. No obstante, en la medida en la que dicho elemento ya configura el tipo, no puede ser el mismo considerado nuevamente a la hora de considerar agravada la naturaleza o alcance de la conducta, a riesgo de incurrir en el quebrantamiento del principio no bis in idem. A mayor abundamiento, en relación con la supuesta existencia de un perjuicio al Reclamante, que según la Agencia se habría producido por verse privado del servicio de su anterior operadora, esta parte debe reiterar que fue el Reclamante quien, de forma voluntaria y consciente, solicitó la portabilidad de línea a favor de XFERA a través del canal web habilitado al efecto, formalizando expresamente dicha contratación mediante múltiples acciones afirmativas (como su uso) que reflejan, sin género de duda, su consentimiento. Esta voluntad quedó ratificada, además, con la aceptación del producto entregado en su domicilio, cuyo albarán de entrega figura firmado por el propio Reclamante, sin que se haya cuestionado en ningún momento la autenticidad de dicho documento. Por tanto, resulta evidente que entre las partes existió un contrato válidamente perfeccionado, en el que el consentimiento fue prestado por el propio Reclamante, quien, además, contaba con las vías legales de desistimiento previstas en la normativa de consumo si hubiera considerado que la contratación no respondía a su voluntad. Sin embargo, decidió no ejercer tales derechos y mantuvo la relación contractual con XFERA. A la vista de lo anterior, no puede sostenerse, bajo ninguna lógica jurídica ni factual, que XFERA haya generado perjuicio alguno al Reclamante, cuando su actuación se limitó a dar cumplimiento a una solicitud realizada por este y debidamente tramitada conforme al procedimiento aplicable. Por ello, y con los debidos respetos, la conclusión alcanzada por la Agencia resulta profundamente incoherente y carente de sustento, toda vez que parte de una premisa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/54 contraria a los hechos acreditados en el expediente. Por todo lo anterior, este hecho no puede ser considerado como agravante. - Sobre la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, la AEPD considera que la infracción se produce en el marco de un tratamiento de datos que XFERA realiza de forma habitual en su negocio. Si bien es cierto que la actividad de XFERA hace necesario el tratamiento de datos personales de sus clientes, la realidad es que este factor es ambiguo en su valoración para incluirlo como agravante, ya que dicha vinculación no supone ni mucho menos una relación directa con la supuesta infracción. El artículo 83.2.
10. k)exige que dicho agravante sea puesto en relación con el supuesto de hecho concreto. En este sentido, la supuesta infracción que identifica la Agencia se basa en la actuación de XFERA a la hora de realizar un proceso de portabilidad de línea solicitada por el propio Reclamante, procesos que, como esta Agencia conoce, responden a supuestos regulados por la normativa sectorial aplicable, donde las teleoperadoras no disponen de margen o discrecionalidad total para su definición. Por lo tanto, el examen de su diligencia será exhaustivo, pero la mera pertenencia a un sector económico no puede derivar, de forma automática, en un agravante en la graduación de una sanción, pues no posibilitaría defensa alguna para esta parte, generándole indefensión. De hecho, las Directrices 04/20223 , del Comité Europeo de Protección de Datos, en su versión 2.1, adoptadas el 24 de mayo de 2023, en su establecimiento de los criterios y estipulaciones a considerar de cara a interpretar y aplicar los criterios agravantes y atenuantes en el cálculo de sanciones al amparo de RGPD, excluyen la actividad y sector empresarial concreto del infractor como criterio a considerar en la imposición y cuantificación de sanciones derivadas de una infracción de la normativa en materia de protección de datos, de forma que la justificación de la AEPD decae de forma más que evidente. - Sobre la intencionalidad o negligencia en la infracción, la Agencia en su Resolución se limita a repetir, sin aportar nueva argumentación ni prueba concluyente, que “la tarjeta SIM fue entregada por el mensajero a un tercero, a sabiendas de que quien exhibía el DNI no era el titular del producto”. Sin embargo, esta afirmación resulta infundada, toda vez que en el expediente consta un albarán de entrega firmado por el propio Reclamante en su propio domicilio, y acompañado de su documento de identidad. La autenticidad de dicha documentación no ha sido cuestionada ni desvirtuada de forma fehaciente, por lo que no puede sostenerse que se haya producido una entrega a un tercero distinto del titular. Subsidiariamente, incluso si se diera por cierto —lo que esta parte niega expresamente— que la tarjeta SIM fue recogida por la esposa del Reclamante, ello no constituye en sí mismo una actuación negligente por parte de XFERA. La entrega tuvo lugar en el domicilio del Reclamante y a una persona que, según los propios hechos descritos por el Reclamante, forma parte de su entorno familiar y conviviente, quien pudo exhibir y enunciar el número de documentación identificativa dA.A.A.. En ese contexto, no resulta razonable pretender que tal actuación pueda valorarse como negligencia grave, máxime cuando la normativa vigente postal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/54 presume autorización para recepcionar una entrega postal a los familiares convivientes. Finalmente, esta parte quisiera poner de manifiesto que la supuesta negligencia ya ha sido tenida en cuenta por la propia AEPD como elemento configurador de la infracción, por lo que su utilización adicional como circunstancia agravante supone incurrir, además, en una doble valoración, cuestión que vulnera los principios básicos que rigen el derecho sancionador. Por todo ello, no existe base probatoria válida ni valoración objetiva alguna que permita afirmar la concurrencia de una negligencia, y mucho menos que esta sea grave. La afirmación contenida en la Resolución no puede aceptarse como hecho probado y, en ningún caso, puede fundar una agravación de la supuesta infracción. Adicionalmente, según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: • La adhesión a códigos de conducta en virtud del artículo 40 (Art. 83.2 j). XFERA se encuentra entre los operadores de telecomunicaciones que suscribieron con AUTOCONTROL sendos Códigos de Conducta, uno de Tratamiento de Datos en la actividad publicitaria (Documento nº 2) y otro para la resolución de controversias de protección de datos en el sector de las comunicaciones electrónicas (Documento nº 3) que, sin perjuicio de las competencias propias de la AEPD, prevé mecanismos para la resolución privada de controversias relativas a la protección de datos en el ámbito de contratación y publicidad de servicios de comunicaciones electrónicas, a los que se ha adherido XFERA en 2023 y 2024. La aplicación efectiva de ambos, en los términos del artículo 76.2, apartado
11. h)de la LOPDGDD, debe ser considerados como atenuante en el presente. • La adhesión a mecanismos de certificación aprobados con arreglo al artículo 42 (Art.83.2 j). XFERA se encuentra adherida a mecanismos de certificación aprobados con arreglo al artículo 42, tales como la ISO 27001, de Sistema de Gestión de Seguridad de la Información; e ISO 27701, de Gestión de la Privacidad de la Información; cuyas evidencias se aportan como Documento nº 4 y Documento nº 5, respectivamente. Asimismo, se aporta el certificado, como Documento nº 6, correspondiente a la certificación del Esquema Nacional de Seguridad nivel Alto de XFERA. • En ningún momento se han tratado categorías especiales de datos (Art.83.2 g). • Ausencia de daño y perjuicio para los interesados. Ningún interesado ha sufrido daño alguno, no constando acreditado la concurrencia de perjuicio alguno, dado que, no se produce incidencia alguna, en la medida en la que los datos empleados son exactos, pertenecientes al Reclamante y facilitados por él mismo a XFERA. • La ausencia de beneficio obtenido (Art. 76.2.h). XFERA no ha obtenido beneficio alguno con este tratamiento, pues su única función es cumplir con la petición de portabilidad del propio Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/54 • El grado de cooperación de XFERA con la AEPD. XFERA ha colaborado en todo momento con esta Agencia, a lo largo de las actuaciones previas de investigación, como demuestra la abundante información aportada a lo largo del procedimiento (Art. 83.2
12. f)RGPD). Solicita: I. Dicte resolución por medio de la cual estime el presente Recurso de Reposición y, consiguientemente, señale el archivo del Procedimiento N.º 01365/2023, con base en la caducidad de las actuaciones previas de investigación derivado de la admisión extemporánea del recurso de reposición interpuesto por el Reclamante. II. Subsidiariamente, dicte resolución por medio de la cual estime el presente Recurso de Reposición y consiguientemente, acuerde el archivo del Procedimiento N.º 01365/2023, por existir una base de legitimación válida para tratar los datos personales del Reclamante y, en concreto, la prevista en el art. 6.1 RGPD. III. Subsidiariamente, dicte resolución por medio de la cual estime el presente Recurso de Reposición y consiguientemente señale el archivo del procedimiento N.º 01365/2023, dada la ausencia de culpa o negligencia de XFERA. IV. Subsidiariamente a todo lo anterior, para el caso de que la AEPD resuelva en contra de la fundamentación jurídica que sostiene XFERA, se solicita a la AEPD que tenga en cuenta las circunstancias atenuantes fundamentadas en las anteriores alegaciones y, consecuentemente, culmine el procedimiento mediante un apercibimiento y, en última instancia, si considera que procede la imposición de una sanción, modere o module su propuesta recogida en la Resolución notificada a XFERA, atendiendo a los argumentos manifestados en el cuerpo del presente escrito de alegaciones. OTROSÍ DIGO: Subsidiariamente a todo lo anterior, para el caso de que no se estimen las alegaciones de esta parte, es necesario señalar que, ante una hipotética desestimación del recurso de reposición y la consiguiente imposición de la multa estipulada en la Resolución, XFERA procederá a solicitar la adopción de medidas cautelares ante la jurisdicción ordinaria, con el objeto de proteger la integridad de los derechos de esta parte. Por lo tanto, se solicita, de igual forma y en virtud del art. 90.3 LPACAP, la suspensión cautelar de la ejecutividad de la Resolución, en el marco del expediente AEPD 202301365, hasta la resolución final que pueda alcanzarse ante los Tribunales. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/54 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Fundamentos de la resolución impugnada En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la II a la VIII, de la Resolución recurrida, tal como se transcribe a continuación: <<II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena el número de línea telefónica móvil del cliente, así como el número de identificación personal, pero que también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Además, a los efectos de los artículos 4.1 y 4.2 del RGPD la formalización de nuevas altas de clientes mediante la portabilidad de sus líneas de telefonía supone un tratamiento de datos personales. XFERA realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/54 III Contestación a las alegaciones al Acuerdo de Inicio 1. En primer lugar, alega la reclamada la caducidad del recurso de reposición interpuesto por FACUA contra la resolución dictada acordando inadmitir la reclamación presentada por la parte reclamante. La Sección 3, Recurso potestativo de reposición, del Capítulo II, Recursos administrativos, de la de la LPACAP establece en los artículos 124, Plazos, que: “1. El plazo para la interposición del recurso de reposición será de un mes, si el acto fuera expreso. Transcurrido dicho plazo, únicamente podrá interponerse recurso contencioso-administrativo, sin perjuicio, en su caso, de la procedencia del recurso extraordinario de revisión. Si el acto no fuera expreso, el solicitante y otros posibles interesados podrán interponer recurso de reposición en cualquier momento a partir del día siguiente a aquel en que, de acuerdo con su normativa específica, se produzca el acto presunto. 2. El plazo máximo para dictar y notificar la resolución del recurso será de un mes. 3. Contra la resolución de un recurso de reposición no podrá interponerse de nuevo dicho recurso”. Pues bien, la Resolución de la no admisión a trámite de la reclamación fue dictada el 15/03/2023, siendo notificada en fecha 16/03/2023, según acuse que consta en el expediente. Posteriormente, en fecha 14/04/2023, es decir, antes del transcurso del plazo de un mes a partir del día siguiente a la notificación de Resolución de no admisión de la reclamación presentada, la parte reclamante interpuso recurso potestativo de reposición correspondiente contra la Resolución dictada, habiendo sido estimado mediante Resolución de la Directora de la Agencia el 15/09/2023 y habiendo sido notificado en la misma fecha según consta en acuse de recibo. Por tanto, no puede acordarse la caducidad, como indica la parte reclamada, del recurso puesto que fue interpuesto en plazo por la representación de la parte reclamante; cuestión distinta es que la AEPD resolviera el mismo de manera extemporánea, si bien ya se señalaba en la Resolución del mismo que venía motivado “a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, …” Por consiguiente, la alegación formulada no puede ser aceptada. 2. En segundo lugar, alega la parte reclamada que le resulta llamativo que la AEPD le abra procedimiento sancionador por ausencia de base de legitimación, cuando el propio reclamante reconoce que no se produjo una suplantación de identidad y que fue él quien rellenó sus datos en el sitio web de MásMóvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/54 Y ciertamente sorprende la citada afirmación puesto que no es cierto que la parte reclamante en los escritos remitidos a lo largo del procedimiento a la AEPD haya realizado tales manifestaciones; así, en el escrito de recurso señala “que los datos y el teléfono de contacto proporcionados en la solicitud eran los correctos y que coincidían con los del reclamante. Sin embargo, en la presente denuncia no se ha denunciado eso, sino que lo que se ha denunciado es que el proceso de contratación de la empresa Masmovil a través de la página web de la empresa: https://www.masmovil.es/tarifas-moviles, se ha podido verificar que cuando un usuario elige la tarifa y rellena sus datos, aparece un mensaje en que se anuncia ”AHORA TE FALTA FIRMAR CONTRATO” y que sin embargo, la realidad es que, a lo largo del proceso de contratación, nunca hay que llegar a firmar ningún contrato”. Por lo tanto, que los datos proporcionados en la solicitud fueran los correctos y coincidieran con los suyos, los del reclamante, media un abismo con lo afirmado de que el propio reclamante reconoce que fue el quien relleno los datos en el formulario de la web. Por el contrario, si es cierto que la parte reclamada en su escrito de 07/03/2023 manifiesta que no existió fraude, incurriendo en una suerte de voluntarismo, manifestando que no hubo fraude: “De los primeros análisis realizados por el departamento de fraude, consistentes en comprobar la exactitud de los datos proporcionados, no se detectan indicios de fraude en relación con esta contratación. Puede por tanto concluirse en primera instancia que los datos identificativos, dirección y teléfono de contacto son realmente los del interesado, no apreciándose elementos de suplantación de identidad”. 3. Alega la parte reclamada la existencia de un contrato entre las partes, por lo que sorprende que se inicie un procedimiento sancionador existiendo una base de legitimación de las contempladas en el artículo 6.1 del RGPD. Sin embargo, tal alegato al igual que los anteriores debe decaer; en el caso analizado, la infracción que se le imputa a la parte reclamada es la recogida en el artículo 6 del RGPD, " Licitud del tratamiento", que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito, entre los que se encuentra: "
13. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales...". En el presente caso, consta acreditado que la contratación de la portabilidad de la línea de telefonía móvil titularidad de la parte reclamante no contaba con su autorización ni consentimiento y así lo manifiesta en su escrito de reclamación cuando se indica: “PRIMERO: Que siendo A.A.A. cliente de la empresa O2, el mismo recibió en su terminal el día 14/09/22 un mensaje SMS procedente de la empresa MAsmovil con el siguiente texto: “MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2am y 6am. A partir de entonces ya puedes cambiar tu tarjeta SIM" Ese mismo día, se personó sin consentimiento de nuestro socio un mensajero en su domicilio, (donde sólo estaba su mujer) quien le solicitó a la misma el número de DNI dA.A.A., sin ni siquiera aclarar de qué tipo de gestión se trataba ni qué tipo de paquete C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/54 iba a entregar, la cual se lo facilitó (sin ni quiera enseñárselo), pensando que se trataba de algún otro tipo de pedido realizado a otra empresa”. La parte reclamada, no ha aportado ningún tipo de documento, protocolo o procedimiento que evidencie haber efectuado la verificación de la identidad del contratante cuando fue solicitada la portabilidad de la línea de telefonía móvil ***TELÉFONO.1, ni constan evidencias de controles realizados con la finalidad de comprobar la identidad de la persona que solicitaba la portabilidad y que quien contrataba era quien decía ser. Así, ante la pregunta formulada por el inspector actuante en el requerimiento de información de fecha 05/02/2024: ¿Acreditación de que se remitió al interesado un código de validación por SMS al teléfono que se iba a portar y que fue incluida en el formulario de contratación web? La parte reclamada respondía en fecha 19/02/2024: “(…) En lo referente al sistema de códigos de validación por SMS con el que contamos actualmente, se encontraba en fase de desarrollo y pruebas en el momento de la portabilidad del interesado, implementándose poco después, siendo los formularios los mismos en el momento de la contratación del interesado, a falta solo de esa funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento, lo cual, como indicábamos, no es un requisito conforme la legislación vigente, sino confirmar la posesión de la numeración que se pretende portar. (…)” Por tanto, en la fecha de contratación de la portabilidad de la línea móvil titularidad de la parte reclamante no existía método, formula o procedimiento de validación de la identidad del contratante mediante SMS, sino que se encontraba en fase de desarrollo e implantándose con posterioridad. Por otra parte, el Acta notarial aportada en la que se da fe de la realización del proceso seguido para la portabilidad de una línea de telefonía móvil, siguiendo los pasos señalados o indicados en la página web de la compañía, acredita que la portabilidad llevada a cabo a través de los formularios recogidos en la web de la compañía provoca la realización de la contratación, pero no prueba la identidad de quien lo realiza y que quien la realiza es quien dice ser. 4. La parte reclamada ha alegado una evidente vulneración del principio de presunción de inocencia. Artículo 53, Derechos del interesado en el procedimiento administrativo, de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece en su apartado 2, letra b): “(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/54 2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos:
14. a)A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así como de la identidad del instructor, de la autoridad competente para imponer la sanción y de la norma que atribuya tal competencia.
15. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. El derecho a la presunción de inocencia rige sin excepciones en el procedimiento administrativo sancionador –si bien con ciertas matizaciones- por cuanto es una manifestación de la potestad punitiva del Estado y comporta, (STC 76/1990) “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El Tribunal Supremo (STS de 26/10/1998) ha indicado que la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” La prueba de cargo de la infracción del artículo 6.1 de la LOPD que se atribuye a la parte reclamada es que no contaba con base de legitimación alguna para la contratación de la portabilidad de la línea de telefonía móvil titularidad de la parte reclamada, cuestión que no ha sido desvirtuada en las alegaciones formuladas al acuerdo de inicio. En contraste con las evidencias que acreditan la infracción la parte reclamada no ha aportado prueba alguna que sustente la versión ofrecida en el curso del procedimiento sancionador de que existía un contrato entre las partes. Ni el SMS enviado por la parte reclamada conteniendo el texto: “MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2 am y 6 am. A partir de entonces ya puedes cambiar tu tarjeta SIM”, ni por supuesto el Acta notarial aportada acreditan la identidad de la parte reclamante y que esta fuera quien llevo a cabo la portabilidad. Señalar en todo caso que está acreditado en la documentación que sirvió de base a la apertura del expediente sancionador que había existido un tratamiento de datos por la parte reclamada para el que carecía de legitimación, por lo que era a ella C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/54 a quien incumbía la carga de acreditar que exista una base legal que legitimaba el tratamiento efectuado. Nos remitimos a la SAN de 11/05/2001 en la que se indica que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. La conducta analizada, de la que es responsable la parte reclamada constituye una infracción del artículo 6.1 del RGPD, tipificada como infracción muy grave en el artículo 85.3.
16. a)del RGPD. 5. Alega la parte reclamada ausencia de culpabilidad en el tratamiento llevado a cabo. Sin embargo, dicho argumento debe ser rechazado; habiéndose acreditado la conducta típica, el tratamiento de los datos personales del reclamante sin acreditar ninguna de las bases de legitimación que se establecen en el artículo 6.1 del RGPD, la cuestión por tanto se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. La reclamada solicita que se acuerde el archivo del procedimiento por ausencia de culpabilidad al faltar los requisitos esenciales para imponer una sanción administrativa. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” De conformidad con este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/54 de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (…)” La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que le resulta exigible. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción (…) que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (…)” En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por la parte reclamada en relación con la conducta que debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponía el artículo 6.1 del RGPD y que motivó la apertura del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/54 Por tanto, de conformidad con el principio de proactividad la parte reclamada no adoptó una actitud consciente y diligente, sin haber aportado ningún tipo de evidencia, documento, testimonio o justificante acreditativo de haber efectuado la verificación de la identidad del contratante cuando fue solicitada la portabilidad de la línea de telefonía móvil ***TELÉFONO.1, sin que consten controles realizados para verificar la identidad del contratante y que quien contrataba era quien decía ser, evitando incidencias como las que dio lugar a la reclamación y la apertura del procedimiento, infracción del artículo 6.1 del RGPD, actitud y comportamiento que no ha existido en el presente caso, evidenciando ausencia de diligencia. 6. La parte reclamada ha alegado la vulneración del principio de tipicidad y la nulidad del acto administrativo. . No obstante, la citada argumentación se considera irrelevante y no puede ser aceptada; en el presente caso se atribuye a la reclamada en el procedimiento sancionador incoado la infracción del principio de legitimación en el tratamiento de los datos de carácter personal previsto en el artículo 6.1 del RGPD que dispone: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
17. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
18. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
19. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
20. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
21. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
22. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
23. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Los principios que presiden el tratamiento, establecidos en el artículo 5 del RGPD, son de obligado cumplimiento para el responsable de un tratamiento. Es más, el artículo 5.2. del RGPD introduce el principio de responsabilidad proactiva en virtud del cual el responsable del tratamiento queda obligado a cumplir los principios descritos en el artículo 5.1, y a estar en condiciones de demostrar su cumplimiento, lo que conlleva trasladar al responsable la carga de la prueba del cumplimiento de esa obligación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/54 Como ha manifestado el Gabinete Jurídico de la AEPD el RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de “responsabilidad proactiva” (“accountability”) La exposición de motivos de la LOPDGDD dice que “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento otro que descansa en el principio de responsabilidad activa”. En relación con el principio de legitimación de los datos los Considerandos 39 y 40 disponen que: