REPOSICION-PS-00435-2024

1/18  Expediente nº.: EXP202409001 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U. (en lo sucesivo, VF) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 31 de marzo de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 31/03/2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202409001, en virtud de la cual se imponía a VF, una sanción de multa de VEINTE MIL euros (20.000,00 euros), correspondiente a las siguientes infracciones: - Por una infracción del artículo 21.1 de la LSSI, tipificada en el artículo 38.4.

1. d)de la LSSI, una multa de QUINCE MIL euros (15.000,00 euros). Por una infracción del artículo 21.2 de la LSSI, tipificada en el artículo 38.4.
2. d)de la LSSI, una multa de CINCO MIL euros (5.000,00 euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 08/04/2025, fue dictada previa tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, con número PS/00435/2024, quedó constancia de los siguientes: “PRIMERO: Se ha acreditado, a partir de las capturas de pantalla aportadas junto con la reclamación, que el reclamante recibió las siguientes comunicaciones de carácter comercial de VF con las siguientes fechas y contenido: - 22/05/24, correo electrónico, con el título “¿Buscas un regalo…” - 17/06/24, correo electrónico, con el título “¡Vodafone TV te trae Netflix!” - 19/06/24, correo electrónico, con el título “Promo verano” - 16/07/24, correo electrónico, con el título “Nuevos plegables de Samsung” SEGUNDO: Que en los correos electrónicos de fecha 22/05/24, 17/06/24 y 19/06/24, anteriormente citados, no se hace referencia a la posibilidad de oponerse al tratamiento de sus datos con fines promocionales ni una dirección de correo electrónico u otra dirección electrónica válida para ejercitar este derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 TERCERO: Que el 23/07/2024 VF remite carta al reclamante, en relación con los mensajes enviados por correo electrónico, informándole de un error puntual de inclusión en su base de datos. CUARTO: Se ha acreditado, a partir de las capturas de pantalla aportadas junto a la reclamación y de la información adicional sobre las fechas que aporta VF, que el reclamante recibió las siguientes comunicaciones de carácter comercial de VF con las siguientes fechas y contenido: - 19/08/24, SMS, con el título “Publi: Remate final Xiaomi redmi A midnight black” - 29/08/24, SMS, con el título “Publi: REMATE FINAL Xiaomi Redmi 13 C navy blue” - 01/09/24, SMS, con el título “Publi: tenemos nuevos planes para ti” - 08/09/24, SMS, con el título “Publi: Protege tus líneas de ciberamenazas” TERCERO: La parte recurrente ha presentado a esta Agencia Española de Protección de Datos, con fecha 08/05/2025, recurso de reposición, fundamentándolo en lo siguiente: Con carácter previo, VF resume los antecedentes del PS y afirma: “La Autoridad ha mantenido todos los motivos indicados tanto en el Acuerdo como en la Propuesta del expediente sancionador para sancionar, sin considerar los nuevos hechos y documentos aportados por esta parte, con la consiguiente afectación del derecho de defensa de mi mandante.” A continuación, VF señala que “se remite en su integridad a las Alegaciones a la Propuesta de Resolución” y formula cinco alegaciones. 1. En primer lugar, afirma que “Vodafone no ha infringido el artículo 21.1 de la LSSI en el envío de los correos electrónicos. Fue un cruce de datos, lo que dio lugar a que A.A.A. recibiese los correos electrónicos y estos hechos, así como documentación acreditativa aportada no han sido valorados por la Agencia.” Menciona que la Resolución del procedimiento sancionador señalaba que VF había presentado tres versiones distintas sobre los hechos, todas ellas sin soporte documental. Al respecto VF señala que en el transcurso del procedimiento ha ido investigando de buena voluntad y trasladando la información a la Agencia en función de lo informado por sus equipos internos: “Cuando se contesta al requerimiento de información se cree que alguien se ha equivocado al filtrar las bases de datos, pero al ver que hay nuevas comunicaciones tras el requerimiento de información de la Agencia, se concluye que ese no ha podido ser el origen del problema, y se acaba encontrando que hay otro cliente en Vodafone que también cuenta con el correo electrónico ***EMAIL.1, titularidad A.A.A., como dato de contacto y es éste el motivo por el que A.A.A. recibe estas comunicaciones, por la existencia de este cruce de datos, no porque Vodafone no haya respetado la voluntad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 A.A.A. o porque los sistemas no funcionen bien al registrar los permisos o porque alguien haya introducido el dato A.A.A. en los sistemas de envío de forma manual por error.” Señala a continuación VF que “Aceptar la teoría de que el sistema de registros de permisos no funciona sería tanto como considerar que todos los permisos de los clientes están mal y eso no es así o tendríamos miles de reclamaciones por este asunto, no siendo ese el caso” A continuación, aporta capturas de pantalla del sistema de VF, ya aportadas como alegaciones a la propuesta de resolución, en las que se observan registros con la dirección de correo electrónico de la parte reclamante asignados también a otro cliente. En la columna “FLAG_ROBINSON” correspondiente a ese cliente figura la referencia “0” en color verde y en la de la parte reclamante, la referencia “1” en color rojo. De acuerdo con VF, este es el motivo por el que la parte reclamante recibió los correos electrónicos de fechas 22/05/24, 17/06/24, 19/06/24 y 16/07/24 a pesar de no haber consentido comunicaciones comerciales. Al respecto VF añade el siguiente argumento: “Esta parte no niega que los correos electrónicos se hayan remitido, lo que se señala es que no iban destinados a A.A.A., que tenía marcada su voluntad de no recibir esta clase de comunicaciones en los sistemas. El registro en el sistema de la preferencia del reclamante era correcto, ocurre que al tener otro cliente de Vodafone el correo electrónico ***EMAIL.1 también como dato de contacto, la comunicación le llega a A.A.A., pero estaba destinada a un cliente de Vodafone con el nombre de B.B.B., que también tenía informado este correo electrónico en sistemas y que además sí tenía expresada su voluntad de recibir comunicaciones. Por tanto, este matiz sí debería tenerse en cuenta, la normativa no ha sido incumplida, si no que se ha producido un cruce de datos, o al menos debería valorarse estos hechos, a los efectos de minorar la cuantía sancionadora.” Por otro lado, VF señala que en la Resolución se menciona que no se aporta información sobre los motivos por los que constaban dos direcciones diferentes, pero que el hecho de que en el sistema interno de VF constara una misma dirección para dos clientes, no evidencia ni que se haya cumplido con las obligaciones del artículo 21.1, ni que se haya respetado el derecho de oposición. Al respecto VF manifiesta que ha solicitado que se obtuviesen evidencias. Así, indica VF lo siguiente: “Se ha observado que con fecha 2013 esta clienta tenía informado el correo electrónico ***EMAIL.2, que posteriormente en el 2019 es modificado por la propia cliente a través del apartado de autogestión de Mi Vodafone, por el siguiente correo electrónico ***EMAIL.3, siendo finalmente en el 2020 al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 solicitar un aumento de gigas que aparece el correo electrónico titularidad A.A.A.. Este entendemos sería el momento origen del cruce de datos. Se aporta como Documento número 1, contrato firmado por la cliente de nombre B.B.B. del año 2013. Se aporta captura de pantalla del sistema con la marca “ECARE”, relativa al apartado de autogestión de Mi Vodafone, donde puede observarse el cambio realizado por esta cliente en el año 2019 en su correo electrónico.” En la captura de pantalla indicada se observa un registro en el que figura el usuario “ENCARE”, como tipo de consulta “Modificación datos facturación”, en la columna “F.Fin.Ma…” figura “25/10/2019 22…” y en la columna “Mail notific…” figura un correo distinto al del reclamante. Continúa su alegación indicando lo siguiente: “Y, por último, aportamos como Documento número 2 y 3, documentación que acredita la aparición del correo electrónico ***EMAIL.1, en una solicitud de ampliación de gigas realizado por la cliente de Vodafone con nombre de B.B.B.. En la actualidad este caso se encuentra completamente resuelto tras rectificarse los datos del correo electrónico de la cliente con nombre B.B.B.. En su ficha se observa que con fecha 29 de diciembre de 2024 se produjo la rectificación de la dirección de correo electrónico, figurando como nueva dirección la siguiente ***EMAIL.3” “En definitiva, ante la insuficiencia de la prueba alegada por la Autoridad, esta parte ha querido aportar pruebas adicionales para que se valore los hechos y pruebas que se han puesto en conocimiento de la Autoridad y que a juicio de esta parte deberían valorarse bien ya sea para retirar la sanción impuesta por vulneración del artículo 21.1 de la LSSI en el envío de los correos electrónicos, o subsidiariamente, a los efectos de aminorar la cuantía de la sanción a la luz de los hechos y pruebas expuestas” Como “Documento número 2” aporta un documento elaborado por VF en el que figura un cuadro con datos del cliente en el que aparece como dirección de email la coincidente con la del reclamante. El documento no lleva firma. Como “Documento número 3” aporta un contrato con el título “Contrato de Servicio Móvil, Banda Ancha, Fijo y TV para Clientes Particulares”, con fecha 18/01/2020. En los datos de cliente de dicho contrato figuran el nombre del segundo cliente que menciona VF en su escrito y, como “Email”, la dirección coincidente con la del reclamante. El documento no lleva firma del cliente. 2. En segundo lugar, alega VF lo siguiente “Vodafone no ha infringido el artículo 21.1 de la LSSI en el envío de los SMS. Vodafone ha aportado pruebas sobre la autorización concedida por A.A.A. a través de Mi Vodafone, siendo éste el motivo por el cual ha recibido los SMS. Dichas pruebas han sido consideradas insuficientes por parte de la Agencia, por considerar que se trata de un mero pantallazo de los sistemas de la compañía, no estando esta parte de acuerdo con dicha valoración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 (…) Como indicado en el Acuerdo de Inicio y en la Propuesta de Resolución, la marca “ECARE” de la que ha dejado registro el sistema procede del apartado de autogestión de Mi Vodafone. A Mi Vodafone se puede acceder bien ya sea a través de la aplicación, bien a través de la web y para ello es necesario acceder con usuario, contraseña, tras los cuales se solicita la inclusión de un código OTP que se remite a una de las líneas móviles del parque contratado. Por tanto, procediendo la marca de Mi Vodafone, la única opción que queda es que el reclamante haya autorizado el envío de las comunicaciones comerciales” A continuación, aporta pantallazos para acreditar el proceso para el acceso y de la sección de “Mi Vodafone” donde se pueden visualizar los permisos. Afirma VF que “Por tanto, no estamos ante un mero registro en sistemas, si no que estamos ante un apartado de autogestión de los permisos que debe realizarse por el propio cliente. En Mi Vodafone también se pueden contratar productos y/o servicios y para todas estas acciones se requiere acceder como indicado con usuario, contraseña e introducir el código OTP enviado a una línea móvil del parque contratado. Es la forma que tiene Vodafone de asegurarse que las acciones son realizadas por el cliente y no por un tercero no autorizado. Igualmente se explicó que, si el permiso hubiese sido modificado por cualquier agente en call center, junto con el registro de logs del sistema figuraría el nombre del usuario que realizó dicha modificación, pero en este caso, como indicado la marca no es de ningún agente, porque el cambio se ha realizado desde Mi Vodafone, desde el apartado de autogestión, representado en sistemas por la marca “ECARE”.” Incluye capturas de pantalla ya aportadas en el procedimiento sancionador con los registros citados. Concluye VF que se considera evidenciado que el 16/08/2024 el reclamante autorizó el envío de comunicaciones comerciales a través de “Mi Vodafone”, que dicho permiso permaneció habilitado hasta el 08/09/2024 y que los SMS objeto del procedimiento se encuentran en dichas fechas. Sobre los logs, afirma VF lo siguiente: “El reflejo en sistemas es la evidencia de los logs que solicita la Agencia. Vodafone siempre ha aportado estas evidencias en los procedimientos de inspección de la AEPD habiendo sido siempre válidas para esta. En la misma se constata el momento, el contexto (con la descripción de la acción y el canal) y los términos del consentimiento (siendo esta la codificación que se vincula a los permisos de la App, en este caso “Si Robinson” o “No Robinson”). Debe entenderse que todas las acciones que se realizan sobre los datos del cliente vuelcan en la ficha del cliente, generándose trazabilidad de todas las acciones. Lo que se está mostrando, son los logs que vuelcan en la ficha de cliente de los permisos dados a través de la App para lo cual el cliente tiene que logarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 con usuario, contraseña, introducir el código OTP recibido y acceder específicamente a la sección de gestión de permisos y preferencias y modificar expresamente sus permisos. Como se puede observar del pantallazo, con fecha 16 de agosto de 2024 se habilitan los permisos en Mi Vodafone (el sistema lo refleja como “SI Robinson” a “NO Robinson”) y en fecha 8 de septiembre de 2024 se vuelven a deshabilitar, también a través de Mi Vodafone (reflejándose en sistemas como “NO Robinson” a “SI Robinson”). Por tanto, las comunicaciones comerciales enviadas por SMS contaban con una base de legitimación válida. El Reclamante otorgó su autorización a dichos envíos. Y esta parte considera que debería darse una motivación más clara de por qué estas evidencias no son válidas para la Autoridad. Estos hechos, así como las pruebas aportadas deberían ser más que suficientes para considerar que Vodafone no ha vulnerado el artículo 21.1 de la LSSI en el envío de los SMS remitidos y la Autoridad debería valorar nuevamente estas pruebas aportadas que no han sido tenidas en cuenta lo que vulnera el derecho de defensa de esta parte.” 3. En tercer lugar, VF alega lo siguiente: “Vodafone no ha infringido el artículo 21.2 de la LSSI en tanto en cuanto cuenta con procedimientos internos para asegurar que todas las comunicaciones comerciales incorporan un mecanismo válido de oposición.” VF cita la afirmación de la Resolución de que no se analizan los procesos internos de VF sino tres comunicaciones en concreto. Afirma VF que la intención era manifestar la diligencia de VF en el envío de comunicaciones comerciales. Indica de nuevo que las comunicaciones comerciales incorporan una cláusula informativa y aporta información adicional sobre dicha cláusula y el mecanismo para tramitar la baja. Concluye que “El correo electrónico de fecha 16/07/24 cuenta con un mecanismo de baja, y también todos los SMSs enviados que figuran en los hechos probados, pero también otras comunicaciones que se enviaron en otras campañas y que se aportaron en la contestación al primer requerimiento de información. En la Propuesta de Resolución se aportó como Documento número 1, todas las comunicaciones que constan en el expediente y que cuentan con un mecanismo válido de oposición en la propia comunicación comercial. Nuevamente estamos ante un hecho aislado. No ante la forma general de proceder de la compañía y ello debería al menos valorarse para no sancionar a Vodafone o bien, subsidiariamente, aminorar la cuantía sancionadora por la infracción del artículo 21.2 de la LSSI” 4. En cuarto lugar, alega VF lo siguiente: “Subsidiariamente a los puntos 1), 2 y 3) anteriores, para el caso de que se entendiera que sí ha habido infracción, no existe culpa en las infracciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 imputadas a mi mandante y, en consecuencia, no puede imponerse sanción alguna.” VF afirma que no está de acuerdo con la Resolución y manifiesta lo siguiente: “La imposición de sanciones no sólo debe tener en cuenta el tipo objetivo, si se llevó a cabo la acción prohibida, si no también el tipo subjetivo, es decir, si existió o no dolo (intencionalidad) o negligencia grave. En este caso, esta parte entiende que no se dan ninguna de las dos, ni dolo ni negligencia grave y ello viene acreditado en las alegaciones primera, segunda y tercera En este sentido, reitera los argumentos anteriormente citados: en cuanto al envío de los correos electrónicos que “se debió a un cruce de datos” y hay evidencia de que la dirección del reclamante figuraba como dato de contacto de otra cliente; que el envío de SMS había sido autorizado desde la aplicación “Mi Vodafone” y que “en relación con la falta de mecanismo de oposición en tres de los correos electrónicos de fechas 22/05/2024, 17/06/2024 y 19/06/2024, Vodafone con carácter general incluye dicho mecanismo de oposición, prueba de ello son todas las demás comunicaciones que están en el propio expediente, por lo que este hecho también debería ser valorado a la hora de graduar la sanción”.” Considera VF que “En consecuencia, deberían tenerse en cuenta todos estos hechos y evidencias, a los efectos de considerar que no ha habido intencionalidad o culpabilidad grave en lo acontecido, y que como mucho Vodafone debería ser sancionado únicamente a título de simple cupla, con la correspondiente minoración de la cuantía sancionadora” 5. En quinto lugar, alega VF que “Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias atenuantes para graduar la sanción”. En cuanto a la no consideración como atenuante la adhesión al “Código para el tratamiento de datos en la actividad publicitaria” de Autocontrol por no ser uno de los previstos por el artículo 18 de la LSSI, manifiesta VF que no se especifica el motivo y añade que “necesitaría entender la razón por la cual el Código de Conducta de Autocontrol no es encuadrable en el artículo 18 de la LSSI. La anterior manifestación de la Agencia no permite conocer el verdadero motivo de la no aplicación de esta atenuante.” Sobre la afirmación de la Resolución de que la intencionalidad o negligencia en la infracción solo puede considerarse como un agravante y no como un atenuante, afirma VF que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 “Siendo esto así, la Autoridad debería valorar lo indicado en las alegaciones primera, segunda, tercera y cuarta y valorar que estos hechos no se han cometido con intencionalidad o negligencia grave, como así se ha puesto de manifiesto a lo largo del presente escrito y no ha sido tenido en cuenta.” En cuanto al plazo de tiempo durante el que se ha cometido la infracción, VF afirma que las comunicaciones enviadas por SMS estaban amparadas por el consentimiento del reclamante, lo que afectaría al periodo de tiempo en el que se produciría la infracción. En concreto, afirma lo siguiente: “Esta parte, en estrictos términos de defensa, no puede estar de acuerdo con lo anterior por lo ya visto en las alegaciones primera y segunda. En este sentido, nos remitimos íntegramente a dichas alegaciones, en las que se han aportado nuevas pruebas y documentos para acreditar la suficiencia de la prueba. Si se valorase lo anterior, únicamente tendríamos cuatro comunicaciones comerciales no solicitadas enviadas vía correo electrónico, que se producen en los meses de mayo, junio y julio de 2024.” En cuanto a la sanción por infracción del artículo 21.1 de la LSSI y el argumento de que el spam se ha repetido en varias ocasiones, reitera los argumentos de las alegaciones primera y segunda. Respecto a la referencia al expediente EXP202211263 como infracción previa, afirma VF lo siguiente: “Esta parte no puede estar de acuerdo con lo indicado por la Autoridad, indicar por un lado que no se fundamenta ni especifica en qué se parecen el presente caso al ocurrido en el EXP202211263, si ambos están relacionados con el artículo 21.1 de la LSSI se tendrá que indicar en qué se asemejan los hechos, aquí como hemos visto en la alegación primera y segunda, los permisos A.A.A. fueron respetados en todo momento, ocurre que respecto de los correos electrónicos hay un cruce de datos y respecto de los SMS hay autorización del propio reclamante a través de Mi Vodafone App. Tampoco puede esta parte estar de acuerdo con lo indicado acerca de la terminación del procedimiento por pago voluntario. El hecho de que se pague con reducción una infracción imputada, en ningún caso quiere decir que exista culpa, dado que no hay un procedimiento sancionador que haya ganado firmeza para dilucidar si existió o no dicha culpabilidad. Por lo que dicho argumento no debería ser tenido en cuenta.” Sobre la graduación de la sanción por infracción del artículo 21.2 de la LSSI, manifiesta VF lo siguiente: “La AEPD en la Resolución reconoce que no son cuatro los correos electrónicos sin mecanismo de baja, si no tres, sin embargo, no hay modificación de la cuantía sancionadora por vulneración del artículo 21.2 de la LSSI (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 Dichas circunstancias deberían tenerse en cuenta, a los efectos de reducir la cuantía sancionadora por vulneración del artículo 21.2 de la LSSI” FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, con carácter general, en cuanto a la alegación realizada con carácter previo, cabe aclarar que sí fueron tenidos en cuenta y analizados los documentos presentados por VF como alegaciones a la propuesta de resolución. Cuestión distinta es que estas alegaciones no fueron estimadas en la Resolución, por los motivos que se indicaron en dicha Resolución y que se reiteran, a continuación, en respuesta a algunos de los argumentos del recurso de reposición. A continuación se analizan las diferentes alegaciones realizadas en el recurso, manteniendo la numeración utilizada por VF. 1. En relación con el argumento de que se ha producido un “cruce de datos” como motivo para que se enviaran los correos y con la información adicional aportada sobre dicha incidencia en el recurso, no se puede estimar que haya habido consentimiento por el hecho de que en el sistema de VF figurara una misma dirección de correo electrónico para dos clientes distintos, uno de los cuales había aceptado el consentimiento y otro no, por lo que, de acuerdo con VF, la publicidad enviada al correo del reclamante no iría dirigida a él, sino al cliente que sí había consentido (y del que constaba la misma dirección de correo). Por un lado, el hecho de que el sistema con el que VF gestiona los consentimientos de sus clientes permita que una misma dirección de correo esté indicada como dirección de contacto para dos clientes, indicando cada uno de ellos una preferencia diferente respecto de la recepción de publicidad (consintiendo uno y el otro
3. no)y sin que dicha contradicción sea tenida en cuenta en el sistema, es incompatible con el cumplimiento de la obligación que impone el artículo 21 de la LSSI en cuanto a la prohibición de comunicaciones comerciales no solicitadas o consentidas. Por otro lado, incluso aunque no se tuviera en cuenta lo anterior, VF no acredita cómo se asigna en su sistema la misma dirección al segundo cliente. En la Resolución del procedimiento sancionador ya se indicaba que VF no aportaba información de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 motivos por los que constan dos direcciones. En su recurso, como ya se ha reproducido anteriormente, aporta como información adicional sobre los cambios en la dirección del segundo cliente, en los siguientes términos: “Se ha observado que con fecha 2013 esta clienta tenía informado el correo electrónico ***EMAIL.2, que posteriormente en el 2019 es modificado por la propia cliente a través del apartado de autogestión de Mi Vodafone, por el siguiente correo electrónico ***EMAIL.3, siendo finalmente en el 2020 al solicitar un aumento de gigas que aparece el correo electrónico titularidad A.A.A.. Este entendemos sería el momento origen del cruce de datos. Se aporta como Documento número 1, contrato firmado por la cliente de nombre B.B.B. del año 2013. Se aporta captura de pantalla del sistema con la marca “ECARE”, relativa al apartado de autogestión de Mi Vodafone, donde puede observarse el cambio realizado por esta cliente en el año 2019 en su correo electrónico. Y, por último, aportamos como Documento número 2 y 3, documentación que acredita la aparición del correo electrónico ***EMAIL.1, en una solicitud de ampliación de gigas realizado por la cliente de Vodafone con nombre de B.B.B..” En definitiva, VF menciona en primer lugar la introducción de un correo en 2013 y aporta el contrato firmado por el segundo cliente. En segundo lugar, menciona un cambio de dirección en 2019 y aporta registro en su sistema de dicho cambio. Sin embargo, en relación con el cambio en el que aparece la dirección coincidente con la del reclamante, que afirma que se habría producido en 2020, señala únicamente que “aparece el correo electrónico titularidad A.A.A.. Este entendemos sería el momento origen del cruce de datos”. No aporta información sobre cómo aparece esa dirección, cómo se produce ese cruce de datos o qué información consta en los registros relativos a dicho cambio en el sistema de VF, del que afirma que deja trazabilidad. Los dos documentos que aporta en relación con este cambio son un resumen de compra y un modelo de contrato elaborados por VF, en ninguno de los cuales consta la firma del cliente. En conclusión, sigue sin quedar acreditado el motivo del “cruce de datos” alegado por VF y, en cualquier caso, se ha acreditado la remisión de correos de publicidad por parte del reclamante habiendo indicado éste que no consentía dichos envíos. 2. En cuanto a la segunda alegación, relativa a las capturas de pantalla del sistema interno de VF para acreditar el consentimiento de los SMS, cabe reiterar el análisis que contenía la Resolución del procedimiento sancionador, que se transcribe a continuación: “Al respecto cabe reiterar lo manifestado anteriormente sobre la alegación realizada al acuerdo de inicio, que también es aplicable a la primera alegación (sobre el envío de correos electrónicos), en el sentido de que este documento (la captura de pantalla del sistema interno de VF) resulta insuficiente pues no constituye una evidencia de que el reclamante otorgó su consentimiento para el tratamiento de sus datos personales con fines de envío de comunicaciones comerciales, sino, en todo caso, de que VF registró ese dato en su sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 No obstante, cabe mencionar la información adicional que aporta VF en sus alegaciones a la propuesta de resolución, que consisten en una aclaración de los conceptos que aparecen en la captura de pantalla, en los siguientes términos: “En la misma se constata el momento, el contexto (con la descripción de la acción y el canal) y los términos del consentimiento (siendo esta la codificación que se vincula a los permisos de la App de cliente, en este caso “Si Robinson” o “No Robinson”). Debe entenderse que todas las acciones que se realizan sobre los datos del cliente vuelcan en la ficha del cliente, generándose trazabilidad de todas las acciones. Lo que se está mostrando, son los logs que vuelcan en la ficha de cliente de los permisos dados a través de la App para lo cual el cliente tiene que logarse con usuario y contraseña, acceder específicamente a la sección de gestión de permisos y preferencias y modificar expresamente sus permisos. Como se puede observar del pantallazo, con fecha 16 de agosto de 2024 se habilitan los permisos en Mi Vodafone (el sistema lo refleja como “SI Robinson” a “NO Robinson”) y en fecha 8 de septiembre de 2024 se vuelven a deshabilitar, también a través de Mi Vodafone (reflejándose en sistemas como “NO Robinson” a “SI Robinson”). Por tanto, las comunicaciones comerciales enviadas por SMS contaban con una base de legitimación válida. El Reclamante otorgó su autorización a dichos envíos. La referencia ECARE se refiere a la procedencia del permiso marcado en el apartado de autogestión, siendo esta la App de cliente Mi Vodafone. El permiso habilitado en Mi Vodafone vía autogestión fue el siguiente (el subrayado en amarillo es nuestro a los efectos de identificar con mayor claridad el permiso habilitado) (…) La consideración de que las presentes pruebas no constituyen un registro de logs debería volver a valorarse, siendo que estamos ante un registro que se lleva a cabo en los sistemas, figuran las fechas de habilitación (16/08/2024) y deshabilitación del permiso (08/09/2024) y figurando el lugar desde el cual se ha concedido el permiso, ECARE, que se refiere a la sección de autogestión de Mi Vodafone.” Esta información, sin embargo, no invalida el argumento que ya se puso de manifiesto en la propuesta de resolución. En este procedimiento no se está cuestionando ni el funcionamiento de la aplicación interna de VF ni que ésta sea adecuada para que la empresa lleve a cabo, entre otras cosas, el registro y gestión interna de los consentimientos otorgados por sus clientes. Lo que se pone en cuestión es si una captura de pantalla de ese sistema es una acreditación suficiente a efectos de este procedimiento. En ese sentido, hay que tener en cuenta que la exigencia de la normativa es que VF debe ser capaz de demostrar que su cliente consintió el envío de comunicaciones comerciales. Si contra la afirmación de su cliente de que no había otorgado su consentimiento se aceptara como prueba una captura de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 una aplicación interna que administra la propia empresa, se estaría vaciando de contenido esa obligación de VF de acreditar el consentimiento. Por estos motivos, no se acepta la alegación.” En definitiva, existe una controversia entre la afirmación del reclamante de que no consintió la recepción de los mensajes SMS y la afirmación de VF de que el reclamante sí consintió, pues habría cambiado sus preferencias el 16/08/2024 y de nuevo el 08/09/2024 a través de la herramienta de autogestión “Mi Vodafone”. En este marco, correspondiendo a VF la obligación de poder acreditar que existía consentimiento, no cabe aceptar como prueba del mismo un pantallazo del propio sistema interno de VF, que es parte reclamada. 3. En cuanto a la tercera alegación, sobre la inexistencia de un mecanismo válido para ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales en las comunicaciones que recibe, VF reconoce que dicho mecanismo no existía en las comunicaciones puestas de manifiesto en los hechos probados. No obstante, señala que “estamos ante un hecho aislado”, aportando otras comunicaciones enviadas por VF que sí incorporan ese mecanismo y alegando que, dado que no es la forma general de proceder de VF, debería valorarse “para no sancionar a Vodafone o bien, subsidiariamente, aminorar la cuantía”. Al respecto cabe insistir en los argumentos de la Resolución del procedimiento sancionador: lo que se están analizando son tres comunicaciones concretas que no incorporaban dicho mecanismo y que, por lo tanto, son constitutivas de una infracción del artículo 21.2 de la LSSI. La infracción del artículo 21.2 de la LSSI está tipificada en dos apartados del artículo 38 de la LSSI, en los siguientes términos: “3. Son infracciones graves:
4. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
5. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En el presente caso, la infracción fue calificada en la Resolución recurrida como infracción leve, entendiendo que no se había tratado de un envío masivo, insistente o sistemático. En este sentido, se desestima la alegación del recurso, dado que no se sancionó un envío masivo o sistemático, sino específicamente el envío de esos tres mensajes SMS. 4. En cuanto a la cuarta alegación de VF, indicando que no puede valorarse solo el tipo objetivo, sino también “también el tipo subjetivo, es decir, si existió o no dolo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 (intencionalidad) o negligencia grave”, esta alegación ya fue tenida en cuenta en la Resolución. Cabe reiterar que en el presente caso existen dos obligaciones legales de las que VF es responsable: la de no enviar comunicaciones comerciales sin consentimiento previo expreso y la de incorporar el citado mecanismo de oposición en dichas comunicaciones. De ambas obligaciones es responsable la empresa que envía las comunicaciones, que tiene un deber de diligencia y cuidado. El hecho de que se hayan enviado comunicaciones incumpliendo lo establecido en el artículo 21.1 y 2 de la LSSI implicaría en sí mismo una falta de diligencia atribuible a VF. Por otro lado, el que ese incumplimiento se debiera a un error (lo cual tampoco queda acreditado en el presente procedimiento), no invalidaría la atribución de culpa de acuerdo con el artículo 28.1 de la LRJSP. Por otro lado, la mención a si existió “negligencia grave”, se considera improcedente. La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP), utiliza en diferentes artículos los conceptos de “culpa”, “negligencia” y de “culpa o negligencia grave”. Y reserva la calificación de “grave” para determinadas consecuencias jurídicas (por ejemplo, la responsabilidad patrimonial de autoridades y personal al servicio de las administraciones públicas). El artículo 28 de la LRJSP, que es al que se refiere la alegación de VF, se refiere a “culpa”, como condición para la sanción de infracciones administrativas. En el presente caso, como se ha dicho, existiría culpa en la medida en que hay una infracción imputable a VF, sin que proceda calificar dicha culpa como “grave” para poder calificar la presente infracción. 5. En cuanto a las alegaciones relativas a los criterios de graduación de las sanciones, agrupadas en el punto 5, cabe señalar lo siguiente: Vodafone reitera en su recuso que su adhesión al “Código para el tratamiento de datos en la actividad publicitaria” de Autocontrol permite considerar lo dispuesto en el artículo 40.
6. g)de la LSSI, según el cual la cuantía de las multas se graduará considerando “La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes”. A este respecto, ya se indicó en la resolución impugnada que dicho Código “no se corresponde con uno de los previstos en el artículo 18 de la LSSI, que son los que permiten considerar lo dispuesto en el artículo 40.
7. g)para graduar la sanción”. El artículo 18 “Códigos de conducta” de la LSSI establece lo siguiente: “1. Las administraciones públicas impulsarán, a través de la coordinación y el asesoramiento, la elaboración y aplicación de códigos de conducta voluntarios, por parte de las corporaciones, asociaciones u organizaciones comerciales, profesionales y de consumidores, en las materias reguladas en esta Ley. La Administración General del Estado fomentará, en especial, la elaboración de códigos de conducta de ámbito comunitario o internacional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18 Los códigos de conducta que afecten a los consumidores y usuarios estarán sujetos, además, al capítulo V de la Ley 3/1991, de 10 de enero, de competencia desleal. Los códigos de conducta podrán tratar, en particular, sobre los procedimientos para la detección y retirada de contenidos ilícitos y la protección de los destinatarios frente al envío por vía electrónica de comunicaciones comerciales no solicitadas, así como sobre los procedimientos extrajudiciales para la resolución de los conflictos que surjan por la prestación de los servicios de la sociedad de la información. 2. En la elaboración de dichos códigos, habrá de garantizarse la participación de las asociaciones de consumidores y usuarios y la de las organizaciones representativas de personas con discapacidades físicas o psíquicas, cuando afecten a sus respectivos intereses. Cuando su contenido pueda afectarles, los códigos de conducta tendrán especialmente en cuenta la protección de los menores y de la dignidad humana, pudiendo elaborarse, en caso necesario, códigos específicos sobre estas materias. Los poderes públicos estimularán, en particular, el establecimiento de criterios comunes acordados por la industria para la clasificación y etiquetado de contenidos y la adhesión de los prestadores a los mismos. 3. Los códigos de conducta a los que hacen referencia los apartados precedentes deberán ser accesibles por vía electrónica. Se fomentará su traducción a otras lenguas oficiales, en el Estado y de la Unión Europea, con objeto de darles mayor difusión”. Sin embargo, el Código de conducta para el tratamiento de datos en la actividad Publicitaria, de Autocontrol ha sido aprobado por la AEPD de acuerdo con la normativa de protección de datos personales, para su aplicación a los tratamientos de datos con fines publicitarios o que versen sobre publicidad realizados por las entidades adheridas. Es un código de conducta de los previstos en el artículo 40 del RGPD, que tiene unos requisitos que difieren sustancialmente de los exigidos en el art. 18 de la LSSI, por lo que la adhesión entraría en juego a la hora de valorar la aplicación de la circunstancia prevista en el artículo 83.2.
8. j)del RGPD, según el cual, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual, se tendrá debidamente en cuenta la adhesión a códigos de conducta en virtud del art. 40 del RGPD. En cualquier caso, la mera adhesión a un código de conducta no basta para que pueda ser considerada una circunstancia atenuante, como pretende Vodafone. Es necesario probar, no solo la adhesión, sino que las disposiciones previstas por el código para el cumplimiento de la ley se respetan por la entidad adherida. Y no olvidemos que las conductas de los empresarios o profesionales que incumplen los compromisos asumidos en el código de conducta al que se encuentran adheridos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18 pueden ser incluso consideradas desleales en determinados casos, si concurren las circunstancias que recoge el art. 5.2 de Ley 3/1991, de 10 de enero, de Competencia Desleal. En cuanto al hecho de la que intencionalidad solo se pueda considerar como agravante, afirma VF que esta Agencia debería “valorar que estos hechos no se han cometido con intencionalidad o negligencia grave, como así se ha puesto de manifiesto a lo largo del presente escrito y no ha sido tenido en cuenta”. Sin embargo, como ya se indicó en la Resolución, la posibilidad de que se aplique el criterio previsto en el artículo 40
9. a)de la LSSI (la existencia de intencionalidad) para graduar la sanción, solo podría ser tenido en cuenta como agravante. Esto es: si existiera intencionalidad, se consideraría que la gravedad de la infracción es mayor. En sentido contrario (para entender que la conducta reviste menor gravedad), no cabe aplicar este criterio, dado que para que haya infracción necesariamente tiene que existir culpa, como ha quedado acreditado en el presente caso. Sobre el plazo de tiempo durante el que se cometió la infracción y el hecho de que el envío de spam se haya repetido en varias ocasiones, VF reitera el argumento de que ese plazo se reduce a los correos electrónicos, ya que entiende que los mensajes SMS contaban con consentimiento. Dado que se ha desestimado la alegación relativa al consentimiento de los SMS, tampoco se puede estimar estas alegaciones. En cuanto a la consideración del expediente EXP202211263 como infracción previa, señala VF que debería especificarse en qué se asemejan los hechos objeto de este procedimiento a los de aquel, menciona el argumento de que en este caso se habrían respetado las preferencias del reclamante y señala que el hecho de que en aquel procedimiento hubiera pago voluntario no implica que hubiera culpa. En cuanto a los hechos, en el procedimiento con referencia EXP202211263, VF asumía que se habían remitido comunicaciones comerciales a la parte reclamada a pesar de no haberlas consentido. En concreto, en los antecedentes de la Resolución consta lo siguiente en relación con la respuesta de VF cuando se le pidió información sobre la reclamación que dio origen a aquel procedimiento (escrito de VF de 09/12/22), indicó lo siguiente: “Han verificado que la parte reclamada está inscrita en la Lista Robinson para la oposición a la remisión de comunicaciones comerciales vía SMS/MMS. Por un error en sus sistemas de gestión de relaciones con los clientes (CRM) no se almacenaron adecuadamente en los sistemas de Vodafone las preferencias indicadas por el reclamante al agente de los servicios de atención al cliente. Igualmente, la oposición indicada por el reclamante a través de la reclamación interpuesta ante Vodafone, y posterior mediación, tampoco fue correctamente gestionada en el CRM empleado por esta entidad, lo que posibilitó la remisión de las comuniones SMS que han motivado la presente reclamación.” Por tanto, sí cabe entender que se trata de infracciones de la misma naturaleza, como prevé el artículo 40 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18 Por otro lado, dado que no se han estimado las alegaciones relativas al consentimiento, no puede estimarse la afirmación de que, en este caso, a diferencia del antecedente, se habían respetado las preferencias del reclamante. Sobre el pago voluntario, este argumento ya fue analizado en la Resolución ahora recurrida, en los siguientes términos: “En cuanto a la analogía entre los procedimientos, ambos se refieren a infracciones del artículo 21 de la LSSI. En cuanto al hecho de que el procedimiento terminara por pago voluntario, no cabe entender que en ese caso no hubiera infracción, al margen de que VF asumiera o no la culpa. El artículo 85.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, al prever la posibilidad de la reducción de la sanción cuando hay pago voluntario, establece que “Cuando la sanción tenga únicamente carácter pecuniario (…) el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción.” En el expediente de referencia, dado que hubo un pago voluntario anterior a la resolución, éste implicó la terminación del procedimiento, en cumplimiento del citado artículo 85.2, que se formaliza en una resolución de terminación por pago voluntario. Esa forma de terminación responde al hecho de que VF se acogiera a una modalidad de pago reducido y con una reducción sobre el importe de la sanción. Sin embargo, de ello no cabe deducir que no existiera una infracción, ya que ello sería contradictorio con la existencia de una sanción (multa). Solo cabe imponer una sanción (en este caso de multa) porque existe una infracción que se está sancionando. Por consiguiente, la resolución por la que se ponía fin a aquel procedimiento implicaba necesariamente la imputación de una infracción.” Finalmente, alega VF que la Resolución recurrida “reconoce que no son cuatro los correos electrónicos sin mecanismo de baja, si no tres, sin embargo, no hay modificación de la cuantía sancionadora”. Sin embargo, lo que se indica en la Resolución es que hay una errata en la Propuesta de resolución: mientras que en los hechos probados (que son los que se tienen en cuenta a la hora de imponer la sanción) se indica correctamente que son tres correos los que carecen del mecanismo de oposición (como también consta correctamente en el fundamento de derecho VI), en el fundamento de derecho VIII se indicaba erróneamente que eran cuatro. Es decir, que no se tuvo en cuenta a la hora de determinar la cuantía de la sanción que fueran cuatro sino tres los correos constitutivos de infracción, como constaba correctamente en los hechos probados. Por este motivo, no se acepta dicha alegación. III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 En consecuencia, en el presente recurso de reposición, cabe desestimar los argumentos presentados por la parte reclamante. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la AEPD está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el artículo 21.1 de la citada Ley. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 31 de marzo de 2025, en el expediente EXP202409001. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
10. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
11. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es