AEPD (Spain) - EXP202205208

1/46

 Expediente N.º: EXP202205208

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

ANTECEDENTES..........................................................................................................2
PRIMERO: Reclamación presentada.........................................................................2
SEGUNDO: Traslado de la reclamación a la parte reclamada...................................3
TERCERO. Resolución de archivo.............................................................................3
CUARTO. Recurso de reposición...............................................................................3
QUINTO: Actuaciones previas de investigación.........................................................3
SEXTO: Inicio de procedimiento sancionador............................................................5
SÉPTIMO: Alegaciones al acuerdo de inicio..............................................................5
OCTAVO: Propuesta de resolución..........................................................................10
NOVENO: Alegaciones a la propuesta de resolución...............................................10
DÉCIMO: Volumen de negocio.................................................................................11
HECHOS PROBADOS................................................................................................12
PRIMERO................................................................................................................ 12
SEGUNDO............................................................................................................... 12
TERCERO................................................................................................................ 12
CUARTO.................................................................................................................. 12
QUINTO................................................................................................................... 13
SEXTO..................................................................................................................... 13
SÉPTIMO................................................................................................................. 13
OCTAVO .................................................................................................................. 13
FUNDAMENTOS DE DERECHO.................................................................................13
I.Competencia.......................................................................................................... 13
II.Procedimiento.......................................................................................................13
III.Cuestiones previas...............................................................................................14
IV.Alegaciones de la parte reclamada......................................................................14
1.Caducidad de actuaciones.................................................................................15
2.Supuesto de hecho del procedimiento...............................................................16
3.Competencia de la AEPD..................................................................................18
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/46

3.Modelo de comercialización de tarjetas prepago. Encargado del tratamiento....19
4.Inexactitud de los datos.....................................................................................34
5.Proporcionalidad de la sanción..........................................................................36
V.Práctica de prueba propuesta...............................................................................39
VI.Obligación. Artículo 5.1 d) RGPD.........................................................................40
VII.Tipificación y calificación de la infracción............................................................42
VIII.Sanción.............................................................................................................. 42
IX.Adopción de medidas...........................................................................................43
RESUELVE:................................................................................................................. 44
PRIMERO:............................................................................................................... 44
SEGUNDO:.............................................................................................................. 44
TERCERO:............................................................................................................... 44
CUARTO:................................................................................................................. 44

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Reclamación presentada
A.A.A. (en adelante, la parte reclamante) con fecha 15 de abril de 2022 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra XFERA MÓVILES, S.A. con NIF A82528548 (en adelante, XFERA).

Presenta reclamación por recepción de llamadas comerciales en su línea móvil
***TELÉFONO.1 que promocionan los servicios de YOIGO. Justifica la inscripción en
la lista de exclusión publicitaria, de la línea receptora a través de una copia del correo
electrónico de Verificación de Cuenta recibido el día 15 de diciembre de 2021 y una
captura de pantalla que acredita el alta de la línea receptora.

Aporta varias capturas de pantalla del registro de llamadas entrantes que acreditan la
recepción de las siguientes llamadas:

 Desde la línea llamante ***TELÉFONO.2 recibió llamadas los días 12/04/2022
a las 13:53 horas, 13/04/2022 a las 17:32 horas y 14/04/2022 a las 17:21
horas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/46

 Desde la línea llamante ***TELÉFONO.3 recibió una llamada el día 11/04/2022
a las 17:51 horas.
 Desde la línea llamante ***TELÉFONO.4 recibió llamadas los días 18/3/2022 a
las 18:14 horas y 19/3/2022 a las 17:12 horas y 17:34 horas.

SEGUNDO: Traslado de la reclamación a la parte reclamada
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), con fecha 06/05/2022 se dio traslado de dicha reclamación a XFERA,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 13/05/2023 como consta en el
acuse de recibo que obra en el expediente.

Con fecha 14/06/2022 se recibe en esta Agencia escrito de respuesta indicando, en
esencia, que XFERA se encuentra adherida a ADigital y realiza comprobaciones en
todas sus campañas comerciales de Lista Robinson. Tal filtrado con Lista Robinson es
exigido igualmente a todos sus distribuidores en modalidad Televenta que pudieran
utilizar bases de datos propias ajenas a XFERA.

Afirma contar con una herramienta a través de la cual pueden obtener información de
sus sistemas que les permitiría consultar si han impactado comercialmente a una
numeración determinada. El resultado obtenido, afirma XFERA, en relación con la
numeración indicada es que no hay resultados para llamadas. Esto querría decir que
esta numeración no se ha incluido en ninguna acción comercial vía telefónica
autorizada por dicho operador.

TERCERO. Resolución de archivo
Con fecha de 22/07/2022 esta Agencia dictó resolución de archivo de actuaciones. Ello
debido a que “Una vez analizadas las razones expuestas por la parte reclamada, que
obran en el expediente, se ha constatado la falta de indicios racionales de la
existencia de una infracción en el ámbito competencial de la Agencia Española de
Protección de Datos, no procediendo, en consecuencia, la apertura de un
procedimiento sancionador.”

CUARTO. Recurso de reposición
La parte reclamante, en fecha 03/08/2022 interpuso recurso de reposición contra la
mencionada resolución de archivo. Tras la tramitación del oportuno procedimiento, en
el que se otorgó trámite de alegaciones a la parte reclamada, esta Agencia dictó
resolución en la que se acordó la estimación del recurso, ordenando que se prosiga la
tramitación de la reclamación. Con ello, esta se entendió admitida a trámite

QUINTO: Actuaciones previas de investigación
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/46

cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Desde la Inspección de Datos se consultó el operador responsable de los tres
números telefónicos desde los que se habrían realizado las llamadas:

- Número de teléfono ***TELÉFONO.4 Operador actual XFERA MÓVILES, S.A.
UNIPERSONAL
- Número de teléfono ***TELÉFONO.3 Operador actual XFERA MÓVILES, S.A.
UNIPERSONAL
- Número de teléfono ***TELÉFONO.2 Operador actual XFERA MÓVILES, S.A.
UNIPERSONAL

Se ha requirió información a XFERA para que facilitara los titulares de las citadas
líneas aportando esta, en su contestación, la siguiente información

1. Datos de contacto y de identificación del titular del número de teléfono
***TELÉFONO.4 en marzo de 2022: B.B.B. DNI ***NIF.2

2. Datos de contacto y de identificación del titular del número de teléfono
***TELÉFONO.3 en abril de 2022: C.C.C. DNI ***NIF.2

3. Datos de contacto y de identificación del titular del número de teléfono
***TELÉFONO.2 en abril de 2022: D.D.D. DNI ***NIF.3

Se requirió nuevamente a XFERA para que facilitara información relativa a “Si existía
algún tipo de relación contractual para la realización de llamadas telefónicas
comerciales con los titulares de las líneas así como la dirección postal de contacto”,
indicando los dicha entidad que, en relación con los titulares de las numeraciones
indicadas y las fechas referidas, no existía vínculo contractual para la realización de
llamadas telefónicas en ninguno de los tres supuestos referenciados.

Xfera Móviles únicamente conoce la dirección postal de contacto de C.C.C., al que ha
identificado como titular de la línea telefónica ***TELÉFONO.3

Con ello, la Inspección requirió información a C.C.C. en la dirección facilitada
manifestando este que la línea ***TELÉFONO.3 estuvo a su nombre con la compañía
***EMPRESA.1, y solo durante los meses de abril a junio de 2022. Afirma así mismo
que, revisando las facturas de estos meses, ha verificado que no se realizó ninguna
llamada a dicho número desde la línea ***TELÉFONO.3, y es más, desde esa línea
durante el tiempo que estuvo a su nombre no se habría llegado a realizar ni una sola
llamada, lo cual, afirma, imposibilitaría que se haya realizado dicha llamada. Aporta la
factura completa del mes de abril de 2022 en la que no figura ninguna llamada
realizada desde este número.

También niega expresamente haberse dedicado a hacer llamadas comerciales sin
consentimiento de la persona a la cual se haya podido llamar, manifestando su
extrañeza por esta reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/46

En relación a la confirmación de las llamadas comerciales, se ha requerido al operador
***EMPRESA.2 que ratifique la existencia de llamadas efectuadas al número del
reclamante (***TELÉFONO.1) desde las numeraciones y en las fechas descritas por
este. desde los números ***TELÉFONO.4 recibió llamadas el 18/03/2022 a las 18:14
(rechazada), el 19/03/2022 a las 17:12 (4 sg) y a las 17:34, ***TELÉFONO.3 el día
11/04/2022 a las 17:51 y ***TELÉFONO.2 el día 12/04/2022 al las 13:53 (7 sg) el
13/04/2022 a las 17:32 (6 sg) el 14/04/2022 a las 17:21, manifestando la referida
operadora que en relación a la solicitud de llamadas realizadas desde el número de
teléfono ***TELÉFONO.4, dado que las llamadas solicitadas son de un periodo
superior a un año, no es posible facilitar dichos datos al tener el sistema informático un
tiempo limitado de almacenamiento de doce meses según la Ley 25/2007, de
Conservación de datos por los operadores de comunicaciones electrónicas.

La Inspección solicitó a la Agencia Tributaria que proporcionara la dirección fiscal de
los otros dos titulares de las líneas telefónicas identificados por XFERA:

- B.B.B., DNI ***NIF.2
- D.D.D., DNI ***NIF.3

La AEAT contestó facilitando la siguiente información.
,.

- Dirección fiscal de B.B.B.. La búsqueda en el sistema de la Agencia Tributaria
no ha dado resultados para el DNI indicado ***NIF.2

- Dirección fiscal de D.D.D.. La Agencia Tributaria cuenta en su base de datos
con una persona física a la que le corresponde el DNI indicado ***NIF.3. No
obstante, el nombre y apellidos de dicha persona física no se corresponden
con los indicados.

SEXTO: Inicio de procedimiento sancionador
Con fecha 4 de abril de 2024, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta
infracción del Artículo 5.1.d) del RGPD, tipificada en el Artículo 83.5 del RGPD.

SÉPTIMO: Alegaciones al acuerdo de inicio
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifiesta lo siguiente:

ALEGACIONES JURÍDICO-FORMALES

Caducidad del recurso de reposición interpuesto el 3 de agosto de 2022. La resolución
estimatoria del recurso de reposición presentado frente a la resolución que acordó el
archivo de la reclamación fue dictada transcurrido el plazo de un mes, produciéndose
así una vulneración del artículo 25.1 b) de la LPACAP en relación con el artículo 124.2

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/46

de la misma norma. Por este motivo, debió ordenarse el archivo de las actuaciones,
con los efectos previstos en el artículo 95 de la LPACAP.

Caducidad de las actuaciones previas de investigación. De forma subsidiaria, se
considera que no se ha respetado el plazo previsto en el art. 67.2 de la LOPDGDD
respecto de la duración de las actuaciones previas de investigación, puesto que el
plazo de doce meses previsto venció el 15 de julio de 2023. A pesar de ello, no se
dictó informe de actuaciones previas de investigación hasta el 1 de abril de 2024. Por
ello, considera que se debiera haber declarado la caducidad del expediente y haber
ordenado el archivo de las actuaciones, según establece el artículo 25.1 b) de la
LPACAP.

ALEGACIONES JURÍDICO-MATERIALES. Bajo este epígrafe, la parte reclamada
incluye diversas alegaciones:

Datos objeto de conservación

Conducta imputada a XFERA. De la lectura del acuerdo de inicio se desprende que la
supuesta conducta infractora nada tiene que ver con las llamadas comerciales
recibidas por el reclamante, sino por el hecho de haber proporcionado “datos inexactos
con la titularidad de las líneas telefónicas requeridas”, de lo que se deriva una
presunta infracción del artículo 5.1 d) del RGPD.

Discrepancia con los hechos narrados en el Acuerdo. Las líneas de teléfono en las que
se ha detectado la discrepancia son de tipo prepago y fueron comercializadas bajo la
marca “Lebara”. Al tratarse de líneas prepago, XFERA no necesita conocer los datos
identificativos del titular/usuario de la tarjeta para prestar el servicio, recogiendo
únicamente información personal a efectos de dar cumplimiento a la Disposición
adicional única de la Ley 25/2007, de 18 de octubre, de conservación de datos
relativos a las comunicaciones electrónicas.

Lebara es una de las marcas, de prepago, bajo las que presta servicios de
telecomunicaciones la parte reclamada. No ofrece servicios “de contrato” sino,
únicamente ofrece servicios “de tarjeta”, esto es, basados en la compra de tarjetas y
bonos prepago. De ahí que muchas de sus líneas tengan una rotación muy alta. Esta
aclaración resulta esencial para el presente procedimiento, debido a que la adquisición
de una de estas tarjetas prepago es un negocio jurídico de compraventa, de tracto
único, en el que una persona acude a un punto de venta, adquiere una tarjeta y la
utiliza hasta que consume el saldo que contiene precargado. Agotado este saldo,
puede optar por recargarlo (manteniendo la numeración) o por comprar una nueva
tarjeta. Por ese motivo, la identidad del usuario es irrelevante para Lebara.

Por ello, la única información que XFERA gestiona de los clientes que adquieren las
tarjetas prepago de Lebara son los previstos en la Disposición adicional única de la
Ley 25/2007;

Conforme a esta Ley, y la referida Disposición: “los operadores de servicios de
telefonía móvil que comercialicen servicios con sistema de activación mediante la
modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la
identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/46

pago”. “La identificación se efectuará mediante documento acreditativo de la
personalidad, haciéndose constar en el libro-registro el nombre, apellidos y
nacionalidad del comprador, así como el número correspondiente al documento
identificativo utilizado y la naturaleza o denominación de dicho documento”.

Documentación acreditativa

Señala la incorrección de la AEPD en la página 6 del Acuerdo, cuando afirma que
“conforme a los artículos 1, 2 y 3 de la Ley 25/2007, de 18 de octubre, de conservación
de datos relativos a las comunicaciones electrónicas y a las redes públicas de
comunicaciones, los operadores de estas redes y servicios están obligados a
conservar el dato de la titularidad de las líneas telefónicas que asignen a sus
usuarios”; esta afirmación, no es cierta en relación a los usuarios de tarjetas SIM en
modalidad prepago, como los que nos ocupan en este procedimiento: XFERA conoce
únicamente el de la persona que adquirió la tarjeta, y solo porque así se lo obliga la
Ley 25/2007.

La norma establece que “la identificación se efectuará mediante documento
acreditativo de la personalidad”; pero en ningún caso permite ni obliga a la obtención y
conservación de una copia del documento de identidad del comprador. En este sentido
se ha pronunciado también la AEPD.

Modelo de comercialización

Señala que las compañías de telecomunicaciones no son titulares de la inmensa
mayoría de los puntos de venta que comercializan sus productos y servicios. En el
caso de Lebara, esta marca ni siquiera tiene tiendas propias. En el caso que nos
ocupa, las tarjetas prepago correspondientes a las líneas ***TELÉFONO.4 y
***TELÉFONO.2 fueron comercializadas a través de la plataforma de la entidad
Fullcarga Ibérica S.L., (…).

Fullcarga comercializa libremente las tarjetas a través de su extensa red de
distribución, formada por multitud de pequeñas empresas. Se somete, para ello, al
código de conducta de XFERA, cuyas obligaciones se hacen extensivas a todos los
establecimientos adheridos a su red.

El código de conducta prohíbe específicamente, entre otras acciones, “enviar el
formulario de venta a través de la herramienta dispuesta al efecto con datos de venta
incorrectos, falsos o incompletos del cliente final” y “obtener altas de forma irregular,
suplantando la identidad del cliente y/o sus datos personales”. En materia de
protección de datos, Fullcarga se configura como encargada, entre otros, del
tratamiento consistente en “la comercialización de tarjetas SIM (incluyendo la
identificación e inclusión de datos en el Libro Registro)” (anexo 4 del contrato).

Consultada por mi representada, Fullcarga nos ha confirmado que ambas ventas las
realizó un comerciante adherido a su red y con quien XFERA no mantiene relación
directa, llamado E.E.E., provisto de DNI ***NIF.4 y con domicilio en ***DIRECCIÓN.1.

Considera que XFERA no es responsable por los hechos que se le imputan. XFERA no
es titular de los puntos de venta que comercializan las tarjetas prepago de la marca
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/46

“Lebara”. En la práctica, es cada punto de venta el encargado de cumplir con la
obligación de recabar los datos de los clientes, a efectos de dar cumplimiento a la
obligación de llevanza del libro-registro previsto en la disposición adicional única de la
Ley 25/2007. Al no poder exigir a los clientes que aporten una copia de su documento
identificativo a la hora de adquirir una tarjeta prepago, y no necesitar tratar sus datos
personales para ninguna otra finalidad, XFERA no tiene la capacidad de verificar la
exactitud de los datos recabados por los puntos de venta, y (por tanto) no puede ser
considerada responsable por las inexactitudes cometidas por dichos negocios.
Considera, por lo tanto, vulnerado el artículo 28 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público (en adelante, “LRJSP”), que establece que “solo
podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas (...) que resulten responsables de los mismos a título de
dolo o culpa”.

Destaca que, desde un punto de vista contractual, el acuerdo firmado entre XFERA y
la plataforma comercializadora de las tarjetas SIM (Fullcarga) sometía a esta segunda,
y a su red comercial, a un código de conducta en el que se obligaban a “tomar las
medidas oportunas que impidan que se activen altas de contrataciones” en las que
consten “datos de venta incorrectos, falsos o incompletos del cliente final”, con
elevadas penalizaciones en caso contrario

Asimismo, entiende que XFERA ha implementado distintos procedimientos para la
lucha contra el fraude, y ha trasladado instrucciones precisas a los puntos de venta
sobre cómo recabar los datos de los interesados, de cara a su inclusión en el libro-
registro que exige la Ley 25/2007. A estos efectos, desarrolla los controles
implementados para detectar actuaciones fraudulentas o altas en las que no se haya
seguido el procedimiento establecido. Entiende, por lo tanto, que si alguno de dichos
puntos de venta desoye estas instrucciones, el artículo 28.10 del RGPD prevé que sea
considerado responsable del tratamiento.

Competencia de la AEPD

Señala una posible vulneración del principio de especialidad por falta de competencia
material de la AEPD. En este sentido, al conservar los datos tan sólo en cumplimiento
de la Ley 25/2007 considera que sería de aplicación el régimen sancionador específico
previsto en dicha norma para los casos de que los datos personales incorporados por
los operadores al libro-registro resulten incorrectos o incompletos.

Dicha norma prevé, en el apartado 5 de su disposición adicional única, en relación con
la llevanza del libro-registro un régimen sancionador que persigue el mismo objetivo
que el principio de exactitud previsto en el RGPD: garantizar que los datos obrantes en
el libro registro sean correctos

Entiende que en este caso se produce un concurso aparente entre ambas normas que
se debe resolver a favor de la norma específica (en este caso, la Ley 25/2007) sobre la
norma general (el RGPD), al exigir el principio invocado que se analice la norma
especial en primer lugar y, si se cumplen los requisitos para su aplicación, esta será
prioritaria frente a la general. Por ello, la competencia para resolver los procedimientos
sancionadores derivados de la vulneración de la obligación de correcta llevanza del
libro-registro que nos ocupa recae sobre el “Secretario de Estado de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/46

Telecomunicaciones y para la Sociedad de la Información”, según dispone el apartado
6 de la disposición adicional única de la Ley 25/2007. Aporta resolución de expediente
sancionador dictada por el SETID.

Con base en el principio de especialidad, esta Agencia Española de Protección de
Datos no es competente para sancionar a XFERA por la existencia de inexactitudes en
los datos conservados en relación con los adquirentes de las tarjetas SIM asociadas a
los números ***TELÉFONO.4 y ***TELÉFONO.2, puesto que lo es el SETID, en
aplicación de la disposición adicional única de la Ley 25/2007: una norma material
especial sobre el RGPD que necesariamente lo desplaza.

Responsabilidad

Por otro lado, entiende vulnerado el artículo 4 de la LOPDGDD puesto que la
exoneración al responsable de velar por la exactitud de los datos facilitados
directamente por el afectado buscaba precisamente evitar que la comisión de un error
por parte del interesado, en el momento de facilitar sus datos personales, derivase en
una sanción para el responsable del tratamiento, quien no hace más que reflejar en
sus sistemas la información que le fue facilitada.

Motivación del acuerdo de inicio y proporcionalidad de la sanción propuesta

Asimismo, considera que el acuerdo de inicio carece de la debida motivación en lo que
a la determinación de los hechos se refiere, pues no se concretan los criterios jurídicos
en los que se fundamenta el incumplimiento de las obligaciones relativas a la debida
diligencia a efectos de velar por la exactitud de los datos.

En cuanto a los criterios de graduación recogidos en el Acuerdo considera que, al
tratarse de datos falsos, que no se corresponden con interesados alguno, no se puede
tener en cuenta como criterio de graduación de la multa el daño sufrido por los
interesados afectados. Entiende asimismo, que no existe intencionalidad o negligencia
en la infracción, por su imposibilidad de comprobar la veracidad de los datos
trasladados por los puntos de venta.

Asimismo, destaca los criterios de graduación que no han sido tomados en
consideración: además de la falta de daño efectiva a un interesado y la ausencia de
intencionalidad o negligencia por su falta de responsabilidad respecto de la conducta
de los puntos de venta, su adherencia al Código de Conducta de Autocontrol para el
“Tratamientos de datos en la actividad publicitaria”, aprobado por la AEPD, la no
obtención de beneficio derivado de la conducta presuntamente infractora y el espíritu
colaborativo demostrado durante la actuación investigadora de la AEPD. En atención a
estas circunstancias, solicita una disminución de la gravedad de las infracciones y de
la sanción a imponer

En su escrito de alegaciones, la parte solicita la práctica de las siguientes pruebas:

1. Documental, consistente en la unión al procedimiento de los documentos aportados
con este escrito;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/46

2. Más documental, consistente en que esta digna Agencia libre atento oficio a la
Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, sita en
Madrid, Cl. Poeta Joan Maragall 41, planta 7, con correo electrónico
[email protected] a efectos de solicitar copia del expediente
sancionador SAN00067/23, en el marco del cual se dictó la resolución aportada como
documento núm. 2 de este escrito de alegaciones;

3. Testifical por escrito, consistente en que esta digna Agencia libre atento oficio a la
Fullcarga Ibérica, S.L., (…), a efectos de que su represente legal conteste a las
siguientes preguntas:

a. ¿Fueron comercializadas, a través de su plataforma informática, dos tarjetas
prepago de la marca “Lebara”, correspondientes a las líneas móviles ***TELÉFONO.4
y ***TELÉFONO.2, los días 23 de febrero de 2022 y 3 de marzo de 2022,
respectivamente?

b. En caso afirmativo, ¿pueden confirmar qué concreto establecimiento, de los
adheridos a su red, comercializó las citadas tarjetas prepago?

c. ¿Facilita Fullcarga algún tipo de instrucciones, a los establecimientos adheridos a su
red, sobre cómo cumplimentar los datos de los adquirentes de tarjetas prepago de
telefonía móvil, a efectos de dar cumplimiento a las obligaciones de identificación
previstas en la Ley 25/2007, de 18 de octubre?

OCTAVO: Propuesta de resolución
Con fecha 23 de enero de 2025 se formuló propuesta de resolución, proponiendo:

“PRIMERO Que por la Presidencia de la Agencia Española de Protección de
Datos se sancione a XFERA MÓVILES, S.A. con NIF A82528548, por una
infracción del Artículo 5.1 d) del RGPD, tipificada en el Artículo 83.5 del RGPD,
con una multa de CIEN MIL EUROS (100.000€)

SEGUNDO Que por la Presidencia de la Agencia Española de Protección de
Datos se ordene a XFERA MÓVILES, S.A. con NIF A82528548, que en virtud
del artículo 58.2.d) del RGPD, en el plazo de 6 meses, introduzca los
procedimientos y mecanismos necesarios de comprobación de la exactitud de
los datos que el propio operador recolecte en el momento de tramitar las altas y
portabilidades.”

NOVENO: Alegaciones a la propuesta de resolución
Notificada la citada propuesta de resolución conforme a las normas establecidas en la
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), y otorgada la ampliación del plazo
para realizar alegaciones a petición del interesado, se han recibido alegaciones que, a
la vez que reiteran argumentos ya expuestos previamente, aportan otros nuevos,
esencialmente los siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/46

- Tramitación del recurso de reposición: la reclamación inicialmente se archivó y
solo habría sido admitida tras la resolución del recurso de reposición
interpuesto por la parte reclamante. Con ello estaría ampliamente sobrepasado
el plazo de 3 meses para la admisión a trámite del art 65 LOPDGDD.

- Supuesto de hecho que da lugar al expediente sancionador. La reclamación
inicial se refería únicamente a la recepción de comunicaciones comerciales,
siendo así que ahora la AEPD prescinde del motivo de la reclamación y
sanciona por una inadecuación de los datos que conservaba XFERA

- Existencia de un informe del Ministerio del Interior que, según se afirma,
desplaza la responsabilidad por la identificación de titulares de líneas prepago
al titular del establecimiento o punto de venta. A estos efectos, en el informe se
indicaría que dicho establecimiento sería el obligado a cumplimentar los datos;
el operador de telecomunicaciones no podría comprobar su veracidad y
concluría que “La actitud del operador es satisfactoria”. Ello en el seno de un
procedimiento sancionador tramitado por la Secretaría de Estado de
Telecomunicaciones e Infraestructuras digitales (en adelante SETID) en
relación con el incumplimiento de la Ley 25/2007, de 18 de octubre.

- En relación con la responsabilidad de XFERA, el art 4 LOPDGDD excluye de la
responsabilidad del responsable del tratamiento en los casos en que los datos
inexactos son así facilitados directamente por el interesado

- En el apartado de proporcionalidad de la sanción, consideran que no cabe
considerar como agravantes la gravedad de la infracción. La AEPD indica que
la gravedad viene del hecho de que el incumplimiento habría impedido
determinar la autoría de las llamadas investigadas, cuando las obligaciones de
XFERA no abarcan el contenido de las llamadas

- Discrepa asimismo en la consideración como agravante de la Intencionalidad o
negligencia. Dado que a lo largo de sus alegaciones intenta demostrar la
inexistencia de negligencia, ello iría en coherencia con su argumentación.

- Considera que la agravante de vinculación con el tratamiento habitual de datos
personales, considera que la misma debe referirse al supuesto concreto de la
Ley 25/2007, y no a una vinculación genérica con el desarrollo de su actividad
ordinaria

- Finalmente propone la toma en consideración de atenuantes como el bloqueo
de línea cuando tuvo constancia del fraude, y la ausencia tratamiento de
categorías especiales;

DÉCIMO: Volumen de negocio
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad XFERA
MÓVILES, S.A. es una gran empresa, con un volumen de negocios de 2.098.178.000
euros en el año 2023

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/46

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO.
A.A.A. presentó con fecha 15 de abril de 2023 reclamación ante la Agencia Española
de Protección de Datos. contra XFERA MÓVILES, S.A. con NIF A82528548 por la
recepción de llamadas comerciales en las que se publicitaban los servicios de YOIGO
a pesar de haberse incluido en la Lista Robinson de exclusión publicitaria.

Acompañando a su reclamación, aporta varias capturas de pantalla en las que se
identifican las líneas teléfono ***TELÉFONO.2 ***TELÉFONO.3 ***TELÉFONO.4
como aquellas desde las que se realizaron las llamadas comerciales por las que
reclama, así como datos sobre las fechas y horas en las que se realizaron dichas
llamadas.

SEGUNDO.
XFERA es el operador que prestaba el servicio, en la fecha de realización de las
llamadas, a las líneas telefónicas desde las que se realizaron las llamadas objeto de la
reclamación.

TERCERO.
Consta en el expediente, aportado por la parte reclamada, un contrato de prestación
de servicios de tramitación y gestión de solicitudes de recarga de saldo, fechado el 1
de septiembre de 2021 y suscrito entre XFERA MÓVILES, S.A.U., (…) y
LYCAMOBILE, (denominados de forma conjunta, XFERA), y, FULLCARGA IBERICA,
S.L., (…) (el proveedor).

Conforme al mismo, FULCARGA asume la condición de encargado del tratamiento de
datos personales, en la ejecución de las prestaciones encomendadas en el citado
contrato.

CUARTO.
A requerimiento de la Inspección de la AEPD, XFERA facilita la siguiente información
sobre los titulares de señaladas líneas telefónicas

- Datos de contacto y de identificación del titular del número de teléfono
***TELÉFONO.4 en marzo de 2022: B.B.B. DNI ***NIF.2

- Datos de contacto y de identificación del titular del número de teléfono
***TELÉFONO.3 en abril de 2022: C.C.C. DNI ***NIF.2

- Datos de contacto y de identificación del titular del número de teléfono
***TELÉFONO.2 en abril de 2022: D.D.D. DNI ***NIF.3

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/46

QUINTO.
El operador ***EMPRESA.2 ratifica que el número del reclamante recibió las siguientes
llamadas desde los números indicados en la reclamación,

- Desde el ***TELÉFONO.4 recibió llamadas el 18/03/2022 a las 18:14
(rechazada), el 19/03/2022 a las 17:12 (4 sg) y a las 17:34, ***TELÉFONO.3 el
día 11/04/2022 a las 17:51
- Desde el ***TELÉFONO.2 el día 12/04/2022 a las 13:53 (7 sg) el 13/04/2022 a
las 17:32 (6 sg) el 14/04/2022 a las 17:21,

SEXTO.
No existía vínculo contractual para la realización de llamadas de contenido comercial
en las fechas identificadas en la reclamación entre XFERA y los titulares de las líneas
telefónicas desde las que se realizaron las llamadas objeto de reclamación.

SÉPTIMO.
Según la información aportada por la Agencia Tributaria, la búsqueda por el DNI
facilitado por XFERA como correspondiente a B.B.B. no proporciona resultados.
Asimismo, el DNI que XFERA indica como correspondiente a D.D.D. corresponde a
otra persona.

OCTAVO .
Las tarjetas prepago correspondientes a las líneas ***TELÉFONO.4 y
***TELÉFONO.2 fueron comercializadas a través de la plataforma de la entidad
Fullcarga Ibérica S.L., (…) al amparo del contrato suscrito entre ambas partes con
fecha 1 de septiembre de 2021.

FUNDAMENTOS DE DERECHO

I. Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

II. Procedimiento

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/46

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

III. Cuestiones previas

Según el artículo 4.1 del RGPD, ha de entenderse que son datos personales toda
información sobre una persona física identificada o identificable («el interesado»); se
considerará persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

Asimismo, el apartado 2 de dicho precepto señala lo siguiente en cuanto al concepto
de tratamiento de datos personales cualquier operación o conjunto de operaciones
realizadas sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

En el presente caso, de acuerdo con lo establecido en los preceptos señalados y lo
reflejado en los antecedentes y en los hechos probados, consta un tratamiento de
datos personales, en este caso de las líneas telefónicas desde las que se realizaron
las llamadas recibidas por el reclamante y que dicho tratamiento lo realiza XFERA en
su calidad de operadora de los números de teléfono desde las que se realizaron las
llamadas objeto de reclamación, y en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD: «Responsable del tratamiento» o «responsable»: la persona física o
jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros,
determine los fines y medios del tratamiento; si el Derecho de la Unión o de los
Estados miembros determina.

Conforme a los datos obtenidos en AXESOR, XFERA MÓVILES, S.A. es una gran
empresa, con un volumen de negocios de 2.098.178.000 euros en el año 2023.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/46

IV. Alegaciones de la parte reclamada

En respuesta a las alegaciones presentadas por la entidad reclamada, tanto al
acuerdo de inicio como a la propuesta de resolución, se debe señalar lo siguiente:
.1 Caducidad de actuaciones

En relación a la alegada caducidad del recurso de reposición interpuesto el 3 de
agosto de 2022, la parte reclamada considera que la resolución del recurso interpuesto
por el reclamante, una transcurrido el plazo previsto en el art. 25.1 b) de la LPACAP,
conlleva su caducidad y, por lo tanto, se debiera haber decretado el archivo de las
actuaciones.

A este respecto, ha de señalarse que, contrariamente a lo indicado por la parte
reclamante, no nos encontramos ante un supuesto de los previstos en el artículo 25 de
la LPACAP - Falta de resolución expresa en procedimientos iniciados de oficio-, sino
en el artículo 24, cuyo apartado 1, párrafo tercero, dispone lo siguiente:

“El sentido del silencio también será desestimatorio en los procedimientos de
impugnación de actos y disposiciones y en los de revisión de oficio iniciados a
solicitud de los interesados. No obstante, cuando el recurso de alzada se haya
interpuesto contra la desestimación por silencio administrativo de una solicitud
por el transcurso del plazo, se entenderá estimado el mismo si, llegado el plazo
de resolución, el órgano administrativo competente no dictase y notificase
resolución expresa, siempre que no se refiera a las materias enumeradas en el
párrafo anterior de este apartado.” (el subrayado es nuestro)

Cabe recordar también que la Administración está obligada a dictar resolución expresa
conforme a lo dispuesto en el artículo 21.1 de la misma norma y, en ese sentido, el
apartado 3. b) del ya mencionado artículo 24 señala lo siguiente:

“3. La obligación de dictar resolución expresa a que se refiere el apartado
primero del artículo 21 se sujetará al siguiente régimen(…):

b) En los casos de desestimación por silencio administrativo, la resolución
expresa posterior al vencimiento del plazo se adoptará por la Administración sin
vinculación alguna al sentido del silencio.” (el subrayado es nuestro)

Por lo anteriormente expuesto, cabe concluir que la tramitación realizada por esta
AEPD es conforme con lo dispuesto en la LPACAP y que, por lo tanto, no nos
encontraríamos ante un supuesto de caducidad de las actuaciones como señala la
parte reclamada.

Respecto de la alegación de la parte reclamada relativa a la caducidad de las
actuaciones previas de investigación, cabe recordar que el presente procedimiento
sancionador tiene su origen en la estimación del recurso de reposición interpuesto por
la parte reclamante, mediante resolución de 10/04/2023, tal y como consta en el
expediente. Teniendo en cuenta que la estimación de dicho recurso tuvo como
consecuencia la realización de actuaciones previas de investigación y posteriormente
el inicio del presente procedimiento sancionador frente al archivo de las actuaciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/46

inicialmente decretado, ha de considerarse que dicha fecha es la que ha de tomarse
como referencia para el inicio del cómputo de los doce meses fijado en el artículo 67.2
LOPDGDD- en la redacción de dicho precepto anterior al 10/05/2023, aplicable al caso
que nos ocupa-.

A esos efectos es importante señalar que el reclamante en el recurso de reposición
aportó listado de llamadas, por lo que se trataba de nueva documentación que fue
evaluada por la AEPD y por tal motivo el plazo de caducidad de las actuaciones
previas se inicia cuando se produce la resolución estimatoria del recurso. La
documentación no constaba en la reclamación original. La resolución de recurso de
reposición tiene fecha de 10/04/2023.

En complemento de este argumento, ha de recordarse, asimismo, que dicho precepto
se incardina en el Título VIII de la LOPDGDD, procedimientos en caso de posible
vulneración de la normativa de protección de datos, y, en ese sentido, y, como
decimos, frente al archivo inicialmente acordado, el procedimiento por una posible
vulneración de la normativa de protección de datos personales sólo fue iniciado tras la
estimación del recurso de reposición presentado por la parte reclamante.

Teniendo en cuenta lo anterior, y que el acuerdo de inicio de expediente sancionador
según consta en el expediente, fue firmado con fecha 04/04/2024, ha de entenderse
que el plazo previsto en el art. 67.2 LOPDGDD fue debidamente respetado.

En relación con la alegación referida al transcurso de un plazo superior a tres meses
desde la recepción de la reclamación hasta su admisión a trámite, es preciso recordar
que la superación del plazo viene producida por los hechos señalados por la propia
parte reclamada. En una primera instancia la reclamación fue archivada, y solo fue
admitida a trámite tras la resolución del recurso de reposición interpuesto por la parte
reclamante. Con ello, dicha admisión a trámite no fue como consecuencia de la
tramitación ordinaria de la reclamación, sino como tras la actividad revisora llevada a
cabo en la tramitación y resolución del recurso de reposición. En todo caso, la
admisión a trámite no prejuzga ni mucho menos la consideración de un incumplimiento
que dé lugar a la tramitación de un procedimiento sancionador, sino que este solo ha
sido iniciado tras la realización de las actuaciones previas de investigación previstas
en el artículo 67 de la LOPDGDD y detalladas en los antecedentes de esta resolución.

.2 Supuesto de hecho del procedimiento

Dentro de las alegaciones calificadas como jurídico-materiales, la parte reclamada
indica que por parte de la AEPD se habría modificado el supuesto de hecho objeto del
procedimiento. Si bien la reclamación se presentó referida a la recepción de llamadas
comerciales no solicitadas o consentidas, el objeto del procedimiento sancionador
sería una presunta falta de exactitud de los datos objeto de conservación por XFERA
bajo las obligaciones de la Ley 25/2007, de 18 de octubre.

En relación con esta alegación, el procedimiento seguido ha sido el siguiente:

- Efectivamente, la reclamación tiene por objeto la denuncia de la recepción de
llamadas comerciales por la parte reclamante

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/46

- Como se establece en los hechos probados, XFERA es el operador de
telecomunicaciones al cual pertenecen las líneas desde las cuales habrían sido
efectuadas las llamadas de carácter comercial objeto de la reclamación

- Durante la investigación, se ha requerido por parte de la Inspección de esta
AEPD a XFERA la identificación de los titulares de las líneas telefónicas. Ello
con objeto de poder determinar posibles responsabilidades en las llamadas
denunciadas

- XFERA suministró a esta Agencia los datos de identidad que constaban en sus
sistemas.

- Como se indica en los hechos probados de esta resolución, tras una consulta a
la AEAT, se concluye que los datos eran claramente inexactos. En relación con
una de las líneas telefónicas, el DNI facilitado por XFERA como
correspondiente a la persona física titular de una de las líneas “no proporciona
resultados”. Asimismo, el DNI que XFERA indica como correspondiente a otra
de ellas corresponde a otra persona.

Existían por lo tanto, claros indicios de que XFERA habría incumplido el principio de
exactitud de datos personales (art 5.1.d RGPD) toda vez que se habrían atribuido a la
línea telefónica en cuestión datos personales que no se correspondían con su
titularidad. Esta presunta infracción tendría una competencia sancionadora que
corresponde a esta AEPD, al constituir un incumplimiento del RGPD.
`
A este respecto la Sentencia del Tribunal Supremo de 11/11/2024 indica lo siguiente:

“Con esas precisiones sobre la manera en que el auto de admisión del recurso
formula la cuestión de interés casacional, la cuestión a dilucidar consiste en
realidad en si, en la incoación, tramitación y resolución de un procedimiento
sancionador, la Agencia Española de Protección de Datos queda vinculada, y en
qué forma y grado, por el contenido de la reclamación que ante ella se haya
presentado.

Y, formulada la cuestión en esos términos, para responderla debemos declarar lo
que sigue:

La Agencia Española de Protección de Datos, en la incoación, tramitación y
resolución de un procedimiento sancionador, puede abordar cuestiones fácticas
y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la
reclamación que da origen al procedimiento. Y, más específicamente, en el curso
de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones
en materia de protección de datos personales, cuando se aprecie que las
infracciones singulares denunciadas tienen sus origen común en un documento
o instrumento de alcance general que define la política de la entidad en materia
de protección de datos, la AEPD puede, y aún debe, hacer objeto del
procedimiento sancionador a ese mismo documento que alberga la política de
privacidad de la entidad responsable, a fin de examinarlo, detectar sus posibles
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/46

carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten
necesarias en el seno del propio procedimiento sancionador; en el bien
entendido de que de todo ello habrá de darse conocimiento al sujeto del
expediente, de manera que durante la tramitación del procedimiento pueda este
tener ocasión de formular alegaciones y, en su caso, proponer pruebas, sin que
en ningún caso pueda producirse indefensión.”

Como es lógico, reconoce el Tribunal Supremo la posibilidad de sancionar infracciones
que surjan de las cuestiones objeto del procedimiento, sin que esta Agencia tenga que
estar constreñida por la narración concreta de los hechos detallada por la parte
reclamante. Lo contrario implicaría una dejación de funciones ante la constatación de
evidencias que ponen de manifiesto la posible comisión de una infracción.

.1 Competencia de la AEPD

Aparte, las alegaciones materiales por la parte reclamada versan, en esencia, sobre la
calificación de la conducta antijurídica presuntamente cometida, la ausencia de
competencia de la AEPD y la responsabilidad de la parte reclamada en su comisión en
atención a los hechos acaecidos.

En relación con la posible falta de competencia de esta Agencia, hace notar la parte
reclamada que la competencia sancionadora por la falta de llevanza del libro – registro
de líneas prepago, conforme a la Ley 25/2007, de 18 de octubre, correspondería a la
SETID. A este respecto, cabe comenzar señalando que, según el artículo 8-Protección
y seguridad de los datos- de dicha Ley:

“2. Las obligaciones relativas a las medidas para garantizar la calidad de los
datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las
establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de
desarrollo. (…)

4. La Agencia Española de Protección de Datos es la autoridad pública
responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica
15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los
datos contemplados en la presente Ley.”

En este sentido, ha de tenerse en cuenta que la calidad de los datos está directamente
relacionada con que éstos sean exactos, en el sentido de que sean reflejo de una
situación real. Dicho de otro modo, no puede predicarse de unos datos inexactos que
cumplan con el requisito de calidad.

Asimismo, resulta claro del precepto transcrito que dicha calidad en la información ha
de garantizarse de acuerdo a lo dispuesto en la normativa de protección de datos
personales. Normativa que ha de entenderse referida al RGPD y a la LOPDGDD. En
consecuencia, por lo señalado, puede concluirse que dicha obligación- garantizar la
calidad de los datos tratados en cumplimiento de la Ley 25/2007- se corresponde con
el principio de exactitud de los datos previsto en el artículo 5.1 d) del RGPD- y que su
cumplimiento ha de garantizarse de acuerdo a lo dispuesto en la normativa en materia
de protección de datos personales actualmente en vigor: el RGPD y la LOPDPGDD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/46

Dicho lo anterior, y toda vez que la AEPD es la entidad competente para velar por el
cumplimiento de la normativa en materia de protección de datos personales- como,
además del RGPD y la LOPDGDD, el propio artículo 8.4 de la Ley 25/2007 señala
expresamente- ha de rechazarse la alegación relativa a la incompetencia material para
resolver la comisión presuntamente cometida por la parte reclamada objeto del
presente procedimiento sancionador. La obligación deriva de la Ley 25/2007, pero con
obligación o sin ella, los datos personales que trata un responsable tienen cumplir el
principio de exactitud del RGPD.

En sus alegaciones a la propuesta de resolución, la parte reclamada incide en la
posible existencia de un “concurso de leyes”, de modo que, en caso de considerarse
que tanto la AEPD como la SETID tuvieran competencia sancionadora por una misma
infracción, el concurso debería resolverse en favor de esta última, por el principio de
especialidad.

A este respecto, no es preciso acudir al conflicto de leyes para resolver la cuestión.
Debe analizarse la razón para sancionar que tendría cada uno de estos organismos.
La Ley 25/2007, de 18 de octubre, otorga competencias a la SETID para sancionar
infracciones como ( disposición adicional única apartado 5): “El incumplimiento de la
llevanza del libro-registro referido; la llevanza reiterada o sistemáticamente incompleta
de dicho libro-registro; el incumplimiento deliberado de la cesión y entrega de los datos
a las personas y en los casos previstos en esta disposición; la llevanza incompleta del
libro-registro o el incumplimiento de la cesión y entrega de los datos a las personas y
en los casos previstos en esta disposición”

Dicha Ley tiene por objeto garantizar que los operadores de telecomunicaciones
conserven los datos relativos a los clientes y abonados de los operadores, por si fuera
preciso que los pongan a disposición de las Fuerzas y cuerpos de seguridad. El bien
jurídico protegido es la seguridad pública y se encomienda a la SETID velar por el
mismo, a través de su competencia sancionador. Para ello, aplica el régimen de
infracciones y sanciones previsto en la propia Ley 25/2007.

Por el contrario, en este expediente la AEPD está supervisando el cumplimiento de los
principios básicos del derecho fundamental a la protección de datos, que corresponde
a los titulares de los mismos. Y lo cierto es que, como se motiva en esta resolución, no
se ha garantizado el principio de exactitud al vincularse nombres, direcciones,
números de teléfonos y documentos identificativos que eran inexactos. Esta resolución
sanciona por el incumplimiento de un principio básico de la protección de datos
personales, establecido en el art 5.1.d) del RGPD y no aplica el régimen sancionador
de la Ley 25/2007, sino el del propio RGPD complementado con las disposiciones de
la LOPDGDD.

Cuestión distinta es que para determinar el régimen sustantivo que se aplica al sector
de la conservación de datos personales en las comunicaciones electrónicas, se acuda
a una norma sectorial, en este caso la Ley 25/2007, al igual que esta Agencia lo hace
otros múltiples sectores para determinar si se produce alguna vulneración de la
normativa de protección de datos en los mismos.

Por lo demás, no consta ni ha sido alegado por el interesado, que la SETID haya
abierto algún expediente sancionador por estos mismos hechos, de modo que pudiera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/46

enjuiciarse un posible “bis in ídem”, (en el que, como hemos dicho, se estimaría que
cada Administración actúa en protección de un bien jurídico diferente)

3. Modelo de comercialización de tarjetas prepago. Encargado del tratamiento

Señala la reclamada su ausencia de responsabilidad respecto del incumplimiento
imputado en atención a las condiciones en las que se produce la venta de las tarjetas
telefónicas por los puntos de venta habilitados para ello. Entiende que es la
imposibilidad de ejercer un control sobre la práctica llevada a cabo por estos puntos de
venta y, sobre todo, la imposibilidad de evitar casos de fraude en la identificación de
los adquirentes- y, por ende, en los datos que son recabados para dar cumplimiento a
la Ley 25/2007 y cumplir con los fines previstos en la misma- la circunstancia que
implica que XFERA no pueda ser responsable de la conducta objeto de este
procedimiento.

Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP,
dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.” No obstante, el modo de
atribución de responsabilidad a las personas jurídicas no se corresponde con las
formas de culpabilidad dolosas o imprudentes que son imputables a la conducta
humana. De modo que, en el caso de infracciones cometidas por personas jurídicas,
aunque haya de concurrir el elemento de la culpabilidad, éste se aplica
necesariamente de forma distinta a como se hace respecto de las personas físicas.
Según la STC 246/1991, de 19 de diciembre Rec 1274/1988 " (...) esta construcción
distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de
la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos
el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a
las que están sometidos.

Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23
de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/46

Finalmente, cabe recordar que la SAN de 22 de junio de 2021, Rec. 1210/2018, al
valorar el elemento subjetivo o culpabilístico, que la culpabilidad de la parte actora no
puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible
actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no
deriva de la actuación de éste, sino de la suya propia.

La figura del encargado del tratamiento

La figura del encargado del tratamiento obedece a la necesidad de dar respuesta a
fenómenos como la externalización de servicios por parte de las empresas y otras
entidades, de manera que en aquellos supuestos en que el responsable del
tratamiento encomiende a un tercero la prestación de un servicio que requiera que el
encargado trate datos personales por su cuenta, el tratamiento o las operaciones del
tratamiento se llevan a cabo por el encargado, en nombre y por cuenta del
responsable, como si fuera este último quien lo lleva a cabo.

Por lo tanto, la existencia de un encargado del tratamiento depende de una decisión
adoptada por el responsable del tratamiento, que podrá decidir realizar por sí mismo
determinadas operaciones de tratamiento o contratar la totalidad o parte del
tratamiento con un encargado.

Es decir, que el encargado, para serlo, no ostenta ningún interés propio respecto del
resultado del tratamiento objeto de encargo, sin perjuicio de la compensación
económica que recibe por el servicio prestado y que es lo que acontece en el presente
caso. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre
del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo
que determina que sean encargados desde el principio.

Ello determina que responde el responsable del tratamiento de actuaciones contrarias
al RGPD llevadas a cabo por sus encargados del tratamiento, a salvo que estos
últimos hubieran actuado como verdaderos responsables del tratamiento, decidiendo
sobre los fines y medios del tratamiento, cuestión que no ha acontecido en el presente
supuesto.

Así, la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21, en cuanto a
la cuestión de si puede imponerse una multa administrativa con arreglo al artículo 83
del RGPD a un responsable del tratamiento en relación con las operaciones de
tratamiento efectuadas por un encargado, determina que,

“83 Por lo que respecta, en segundo lugar, a la cuestión de si puede
imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un
responsable del tratamiento en relación con las operaciones de tratamiento
efectuadas por un encargado, es preciso recordar que, según la definición que
figura en el artículo 4, punto 8, del RGPD, se entiende por encargado del
tratamiento «la persona física o jurídica, autoridad pública, servicio u otro
organismo que trate datos personales por cuenta del responsable del
tratamiento».

84 Dado que, como se ha indicado en el apartado 36 de la presente
sentencia, un responsable del tratamiento es responsable no solo por todo
tratamiento de datos personales que efectúe él mismo, sino también por los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/46

tratamientos realizados por su cuenta, puede imponerse a ese responsable
una multa administrativa con arreglo al artículo 83 del RGPD en una situación
en la que los datos personales son objeto de un tratamiento ilícito y en la que
no es él, sino un encargado al que ha recurrido, quien ha efectuado el
tratamiento por cuenta suya.

85 No obstante, la responsabilidad del responsable del tratamiento por el
comportamiento de un encargado no puede extenderse a las situaciones en las
que el encargado haya tratado datos personales para fines que le sean propios
o en las que haya tratado dichos datos de manera incompatible con el marco o
las modalidades del tratamiento tal como hayan sido determinados por el
responsable del tratamiento o de manera que no pueda considerarse
razonablemente que dicho responsable hubiera dado su consentimiento. En
efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el
encargado del tratamiento debe, en ese supuesto, ser considerado
responsable del tratamiento con respecto a dicho tratamiento”. (el subrayado es
nuestro)

A lo anterior, hemos de adicionar la Sentencia de la Audiencia Nacional de 8 de febrero
de 2024, rec. 0002250/2021, respecto de ***EMPRESA.4, en la que se determina que,

“Pues bien, la sociedad recurrente es la responsable del tratamiento, pues
determina la finalidad y medios de los tratamientos realizados con las
finalidades señaladas en su Política de Privacidad: “En ***EMPRESA.5
tratamos los datos del cliente o usuario para la prestación del servicio, así
como para otras finalidades que el mismo permita o autorice en los términos
informados en la presente Política de Privacidad o en las Condiciones
específicas de cada Producto o Servicio ***EMPRESA.5 contratado”.

Mientras que las compañías ***EMPRESA.6, ***EMPRESA.7 y
***EMPRESA.8, tienen la consideración de encargados del tratamiento.

Lo expuesto se deriva de los contratos suscritos por la parte actora con las
citadas compañías.

….

Pues bien, no ha que quedado acreditado que las citadas empresas, como
encargadas del tratamiento de la parte actora, hayan determinado fines y
medios del tratamiento, ni hayan utilizado los datos de los clientes de aquella
para sus propias finalidades, ni han interactuado frente a los interesados
ajenos a la estructura y nombre comercial de la sociedad recurrente, sino que
han actuado bajo el nombre de la parte actora para el cumplimiento de los fines
de estos, utilizando los sistemas de ésta para realizar las operaciones con los
clientes.

Por lo que, no cabe invocar el art. 28.10 del RGPD para una presunta
atribución de responsabilidad a los encargados que, además, implique la
exoneración del responsable del tratamiento, es decir, de la sociedad aquí
recurrente. Por otro lado, conforme a los reseñados contratos, se incluye una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/46

cláusula que repercute en ellos las posibles sanciones que la sociedad
demandante pudiera sufrir por el incumplimiento de las obligaciones en materia
de protección de datos”. (el subrayado es nuestro)

Por otro lado, las Directrices 7/2020 del CEPD sobre los conceptos de «responsable
del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0 Adoptada el 7
de julio de 2021, determinan que,

“30 Siguiendo la línea del enfoque basado en los hechos, la palabra
«determine» significa que el ente que realmente ejerce una influencia decisiva
sobre los fines y medios del tratamiento es el responsable. Por lo general, el
contrato de tratamiento establece quién es la parte determinante (el
responsable del tratamiento) y quién, la parte que sigue las instrucciones (el
encargado del tratamiento). Incluso cuando el encargado del tratamiento
ofrezca un servicio que se defina previamente de un modo concreto, deberá
presentar al responsable del tratamiento una descripción detallada del servicio,
y este deberá adoptar la decisión final sobre la aprobación del modo en que se
efectuará el tratamiento y solicitar los cambios que considere necesarios.
Además, el encargado del tratamiento no puede modificar, en un momento
posterior, los elementos esenciales del tratamiento sin la aprobación del
responsable.

…
39. La cuestión es dónde se debe trazar la línea entre las decisiones
reservadas al responsable del tratamiento y aquellas que pueden dejarse a la
discreción del encargado. Es evidente que las decisiones sobre el fin del
tratamiento siempre deben corresponder al responsable.

40. Por lo que respecta a la determinación de los medios, cabe distinguir entre
los medios esenciales y los no esenciales. Los medios esenciales se reservan
tradicionalmente y de forma inherente al responsable del tratamiento. Estos
deben ser determinados obligatoriamente por el responsable del tratamiento,
aunque la determinación de los medios no esenciales también puede dejarse
en manos de él. Los medios esenciales son medios estrechamente ligados al
fin y el alcance del tratamiento, como el tipo de datos personales tratados
(«¿qué datos se tratarán?»), la duración del tratamiento («¿cuánto tiempo se
tratarán?»), las categorías de destinatarios («¿quién tendrá acceso a los
datos?») y las categorías de interesados («¿a quién pertenecen los datos
personales tratados?»). Además de estar relacionados con el fin del
tratamiento, los medios esenciales se encuentran estrechamente vinculados a
la cuestión de si el tratamiento es lícito, necesario y proporcionado. Los medios
no esenciales están relacionados con aspectos más prácticos del tratamiento
en sí, como la elección de un tipo particular de hardware o software o la
decisión sobre los pormenores de las medidas de seguridad, que pueden
dejarse en manos del encargado del tratamiento.

41. Pese a que las decisiones sobre los medios no esenciales pueden dejarse
en manos del encargado del tratamiento, el responsable aún deberá estipular
ciertos elementos en el contrato con el encargado: por ejemplo, en relación con
el requisito de seguridad, podrá ordenarse la adopción de todas las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/46

exigidas en virtud del artículo 32 del RGPD. El contrato también debe
establecer que el encargado del tratamiento ayudará al responsable a
garantizar el cumplimiento de, por ejemplo, lo dispuesto en el artículo 32. En
cualquier caso, el responsable del tratamiento sigue siendo responsable de la
aplicación de las medidas técnicas y organizativas apropiadas a fin de
garantizar y poder demostrar que el tratamiento es conforme con el
Reglamento (artículo 24). Para ello, el responsable debe tener en cuenta la
naturaleza, el alcance, el contexto y los fines del tratamiento, además de los
riesgos para los derechos y las libertades de las personas físicas. Por este
motivo, el responsable del tratamiento debe contar con una información
completa sobre los medios utilizados, ya que, así, podrá adoptar una decisión
informada al respecto. Para que el responsable pueda demostrar la legalidad
del tratamiento, se aconseja documentar, en el contrato u otro instrumento
jurídicamente vinculante entre el responsable y el encargado, al menos las
medidas técnicas y organizativas necesarias.

…
74. El RGPD establece obligaciones concretas que vinculan directamente a los
encargados del tratamiento, tal como se especifica en la sección 1 del apartado
II de las presentes directrices. Es posible exigir responsabilidad o sancionar a
un encargado cuando no cumpla con dichas obligaciones o actúe al margen o
en contra de las instrucciones legales del responsable.

…
80 En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un
responsable del tratamiento, pero no bajo su autoridad ni control directos.
Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al
concepto jurídico de «delegación». En el caso de la normativa de protección de
datos, el cometido del encargado del tratamiento es aplicar las instrucciones
dadas por el responsable del tratamiento, cuando menos en lo relativo a los
fines del tratamiento y a los elementos esenciales de los medios. La legitimidad
del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del
Reglamento deriva de la actividad del responsable, y el encargado únicamente
debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal
como se ha indicado previamente, las instrucciones del responsable del
tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de
servir mejor a los intereses de este, de modo que permitan al encargado elegir
los medios técnicos y organizativos más adecuados.

81. Actuar «por cuenta de» alguien también significa que el encargado no
puede llevar a cabo el tratamiento para sus propios fines. Tal como se estipula
en el artículo 28, apartado 10, el encargado del tratamiento infringirá el RGPD
cuando no se ciña a las instrucciones del responsable y comience a determinar
sus propios fines y medios del tratamiento. En estos casos, el encargado del
tratamiento se considerará responsable en relación con dicho tratamiento y
podrá ser sancionado por no haberse adherido a las instrucciones del
responsable”. (el subrayado es nuestro)

Partiendo de lo anterior, consta en el expediente, aportado por la parte reclamada,
contrato de prestación de servicios de tramitación y gestión de solicitudes de recarga
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/46

de saldo, fechado el 1 de septiembre de 2021 y suscrito entre XFERA MÓVILES,
S.A.U., con CIF A-82528548 y LYCAMOBILE, (denominados de forma conjunta,
XFERA), y, FULLCARGA IBERICA, S.L., con CIF B-31867534 (el proveedor).

En dicho contrato se especifica que XFERA es una entidad habilitada para la
prestación de servicios de comunicaciones móviles personales, operando en la
actualidad bajo las marcas YOIGO,MASMOVIL, LLAMAYA, LEBARA, HITS MOBILE,
LYCAMOBILE y otras marcas y sus signos distintivos. (el subrayado es nuestro).

El indicado contrato de septiembre de 2021 tiene por objeto sustituir el previamente
firmado- en octubre de 2019) por ambas partes con la finalidad de establecer los
términos y condiciones que rigen la prestación por EL PROVEEDOR de:

a) Los servicios de tramitación y gestión de las solicitudes de recarga de saldo
cursadas por los clientes del servicio prepago y
b) La comercialización de tarjetas SIM en los puntos de venta asociados a la red de
distribución de EL PROVEEDOR.

La cláusula tercera del indicado contrato de septiembre de 2021 indica lo siguiente:

XFERA suministrará a EL PROVEEDOR para su comercialización en su red de
distribución las tarjetas SIM de las marcas LLAMAYA, LEBARA y LYCAMOBILE EL
PROVEEDOR adquirirá dichas tarjetas SIM en propiedad de acuerdo con las
condiciones económicas de adquisición y pago establecidas por XFERA(…)

EL PROVEEDOR se compromete a cumplir y hacer cumplir en su red de distribución
el código de conducta y las condiciones de comercialización de las marcas de
comerciales de XFERA, tal y como se detalla en el Anexo 2 y a obligarse a que todos
los distribuidores de dicha red firmen en sus respectivos contratos o acuerdos
comerciales el respeto y el seguimiento de dicho código de conducta y condiciones de
comercialización. (…)

SEXTA.- COMERCIALIZACION DE LAS RECARGAS POR EL PROVEEDOR

EL PROVEEDOR sólo tendrá derecho a comercializar y vender los productos
directamente a consumidores finales, a través de sus propios canales de distribución.

No le estará permitido utilizar los canales de venta y puntos de venta de una red de
terceros sin el previo consentimiento por escrito de XFERA, siendo esto considerado
incumplimiento contractual muy grave.

Las autorizaciones de venta a subdistribuidores serán otorgadas por XFERA, por
escrito, y limitadas al plazo de vigencia del contrato. En ningún caso se prorrogarán
automáticamente con la prórroga del contrato, sino que deberán ser objeto de prórroga
explícita por escrito con cada renovación contractual.

EL PROVEEDOR deberá solicitar autorización para la realización de recargas a través
de nuevas tiendas web a clientes finales, tanto de forma directa como a través de
clientes de EL PROVEEDOR, no pudiéndose realizar este tipo de recargas sin
disponer de la autorización previa, expresa y escrita de XFERA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/46

El incumplimiento de esta previsión por parte de EL PROVEEDOR se considerará un
incumplimiento contractual grave con entidad suficiente para desplegar los efectos
establecidos en la cláusula undécima del presente contrato.

Para garantizar que la venta real a los comercios minoristas la realiza EL
PROVEEDOR, y no un subdistribuidor o revendedor, la política comercial de XFERA
para todas sus entidades recargadoras, se exige que el servicio al punto de venta sea
prestado inequívocamente por EL PROVEEDOR mediante el cumplimiento de todos y
cada uno de los siguientes Requisitos (…)

UNDÉCIMA.- PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL (…)

Con el fin de poder prestar a XFERA los Servicios, el PROVEEDOR deba tratar datos
de carácter personal cuyo responsable sea XFERA, el PROVEEDOR actuará en
nombre y por cuenta de éste, asumiendo la posición de encargado del tratamiento,
todo ello en cumplimiento del artículo 28 del Reglamento (UE) General de Protección
de Datos (“RGPD”) y demás normativa que resulte aplicable, así como de conformidad
con lo dispuesto en el Anexo de Encargo de Tratamiento que se adjunta al presente
Contrato, como Anexo 4 como parte inseparable del mismo.

DÉCIMOSEXTA.- CÓDIGO ÉTICO DE PROVEEDOR

Con el fin de cumplir con las normas nacionales, europeas e internacionales, así como
los convenios internacionales y demás usos de comercio y con el fin de garantizar una
responsabilidad corporativa adecuada y desarrollo sostenible, XFERA requiere a sus
proveedores el cumplimiento de una política de grupo de estándares éticos y de
conductas responsables, así como unos requisitos de sostenibilidad relevantes. (…)

El PROVEEDOR deberá proporcionar de forma regular a XFERA la información y los
datos relacionados con el cumplimiento del Código por parte del PROVEEDOR y las
medidas adoptadas para garantizar el cumplimiento del mismo. XFERA tendrá
también el derecho a realizar auditorías de acuerdo con esta sección para verificar el
cumplimiento del Código por parte del PROVEEDOR.

El PROVEEDOR informará sin demora a XFERA de cualquier sospecha de
incumplimiento del Código o de cualquiera de sus anexos.

El PROVEEDOR deberá reflejar el contenido del Código en sus acuerdos con sus
subcontratistas.

En el caso de que el PROVEEDOR detecte un incumplimiento del Código este deberá,
previa notificación por escrito a XFERA remediar dicho incumplimiento tan pronto
resulta posible. Si dicho incumplimiento sustancial no fuera subsanado dentro de los
treinta (30) días naturales después de dicha notificación, se considerará que el
PROVEEDOR ha incumplido el Contrato y XFERA tendrá derecho a rescindirlo de
conformidad con lo establecido en el mismo.

Revisado el contrato de encargo de tratamiento (anexo 4), en el mismo se señala lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/46

i. El objeto y naturaleza del encargo del tratamiento viene definido en la cláusula 1 del
Contrato Principal, en el que se incluyen diversos servicios prestados por el
PROVEEDOR.

ii. El tratamiento a realizar por el Encargado tiene como finalidad la prestación de los
servicios de tramitación y gestión de las solicitudes de recarga de saldo cursadas por
los Clientes del servicio de comunicaciones electrónicas móviles prepago de XFERA;
la comercialización de tarjetas SIM (incluyendo la identificación e inclusión de datos en
el Libro Registro); y el desarrollo, mantenimientos y gestión del Portal único de Ventas
para la red de distribución de XFERA.

iii. Los datos personales tratados en los términos del presente serán datos
identificativos, de contacto y de pago de clientes de XFERA que realicen recargas, así
como los datos de nacionalidad y número de documento acreditativo de la identidad
que se proporcionarán en el momento de adquisición de la tarjeta SIM. Sobre estos
datos se desarrollarán las siguientes actividades de tratamiento: recogida, registro,
estructuración, extracción, consulta, comunicación por transmisión y conservación.

En su cláusula 2.1 se señala lo siguiente:

El ENCARGADO DE TRATAMIENTO, llevará a cabo el tratamiento de datos
personales derivado de la prestación del servicio contratado, de conformidad con las
siguientes obligaciones:

• Limitarse a realizar las actuaciones que resulten necesarias para prestar al
RESPONSABLE DEL TRATAMIENTO el servicio contratado, de conformidad con lo
establecido en el Contrato Principal de servicios

En concreto, el ENCARGADO DEL TRATAMIENTO se compromete a realizar el
tratamiento de los datos personales ajustándose a las instrucciones que, en cada
momento, le indique el RESPONSABLE DEL TRATAMIENTO, así como a lo dispuesto
en la normativa que le resulte aplicable en materia de protección de datos personales,
inclusive con respecto a las transferencias de datos personales a un tercer país o a
una organización internacional, salvo que esté obligado a ello en virtud del Derecho de
la Unión o de los Estados miembros que se aplique al ENCARGADO DEL
TRATAMIENTO, en cuyo caso, el ENCARGADO DEL TRATAMIENTO informará al
RESPONSABLE DEL TRATAMIENTO de esa exigencia legal con carácter previo al
tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés
público.

En la cláusula 3- Obligaciones del RESPONSABLE DEL TRATAMIENTO- se indica lo
siguiente:

Corresponden al RESPONSABLE DEL TRATAMIENTO las siguientes obligaciones:
(…)

• Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD
por parte del ENCARGADO DEL TRATAMIENTO.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/46

De todo cuanto antecede cabe concluir que XFERA tenía- y debió ejercer- capacidad
de supervisión respecto de la actuación de FULLCARGA y, por ende, de los puntos
autorizados por ésta. A lo que debe añadirse la condición de encargado del tratamiento
FULLCARGA respecto de los datos personales tratados por esta entidad en atención a
los fines y medios previamente identificados por el responsable, XFERA

Ello implica, a sensu contrario y conforme determina la normativa de protección de
datos, las sentencias precitadas y las Directrices 7/2020, que el responsable del
tratamiento responde de las actuaciones llevadas a cabo por su encargado de
tratamiento a salvo que este determine fines y medios, resultando que esta última
cuestión no ha quedado acreditada en el procedimiento tramitado.

Por tanto, de acuerdo con lo expuesto, XFERA MÓVILES es la responsable del
tratamiento que se realiza, es quien ha decidido encomendar a un encargado del
tratamiento que lo realice en su nombre y por su cuenta, es la entidad que tiene la
verdadera capacidad para ejercer el control sobre el tratamiento de datos personales,
quien determina qué datos personales serán tratados en su nombre y por su cuenta, el
por qué y el cómo deberán tratarse estos, pues define la finalidad del tratamiento de
datos personales que su actividad comprende y elige los medios que considera
oportuno.

Y conforme a todo lo antedicho y para el caso concreto XFERA MÓVILES es
responsable de la infracción del RGPD aun cuando la contratación de una línea móvil
prepago concreta se haya producido materialmente a través de su encargado del
tratamiento.

Esto se relaciona directamente con el principio de responsabilidad proactiva del
responsable del tratamiento previsto en el artículo 5.2 del RGPD que establece que «el
responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)». Esto significa que el
responsable deberá garantizar la aplicación efectiva de los principios del tratamiento
tanto en el momento de determinar los medios del tratamiento como durante el
tratamiento en sí, bien lleve a cabo el tratamiento de datos personales directamente o
encargue a un encargado del tratamiento que lo realice por su cuenta (a efectos de la
normativa de protección de datos es lo mismo), a través de la articulación de una serie
de medidas técnicas y organizativa de todo tipo, las cuales deberán ser objeto de
revisión y actualización periódica. Ello implica que el citado responsable es el que
asume su propia responsabilidad dirigiendo, revisando y coordinando el tratamiento,
incluyendo la del personal y la del encargado del tratamiento que le presta servicios.

El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, cuyas previsiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/46

control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.

Se tiene en cuenta a estos efectos lo señalado en el considerando 74 del RGPD,

“Debe quedar establecida la responsabilidad del responsable del tratamiento
por cualquier tratamiento de datos personales realizado por él mismo o por su
cuenta. En particular, el responsable debe estar obligado a aplicar medidas
oportunas y eficaces y ha de poder demostrar la conformidad de las
actividades de tratamiento con el presente Reglamento, incluida la eficacia de
las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el
contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas.” (el subrayado es nuestro)

Completando lo anterior y en desarrollo del artículo 5.2 del RGPD se ha de citar el
artículo 24 y 25 del mismo texto legal, indicando este último respecto a la “Protección
de datos desde el diseño y por defecto” que el derecho fundamental a la protección de
los datos personales es mucho más que mera tecnología, pues su enfoque es en los
riesgos en los derechos y libertades de los interesados derivados del tratamiento de
los datos personales,

“1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de
diversa probabilidad y gravedad que entraña el tratamiento para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará, tanto
en el momento de determinar los medios de tratamiento como en el momento
del propio tratamiento, medidas técnicas y organizativas apropiadas, como la
seudonimización, concebidas para aplicar de forma efectiva los principios de
protección de datos, como la minimización de datos, e integrar las garantías
necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas
apropiadas con miras a garantizar que, por defecto, solo sean objeto de
tratamiento los datos personales que sean necesarios para cada uno de los
fines específicos del tratamiento…”

XFERA MÓVILES parece sostener que la responsabilidad la tiene el encargado del
tratamiento con el que suscribió un contrato y en cuya virtud se obligaba a la
implementación de las medidas organizativas de seguridad adecuadas al riesgo.
Como se ha motivado por esta Agencia en párrafos precedentes es XFERA quien ha
determinado fines y medios del tratamiento, que es responsable del tratamiento, que
es responsable de la exactitud de los datos conservados por las actuaciones de
tratamiento efectuadas por su encargado de tratamiento por cuenta de aquella y que
está sujeta a las obligaciones del RGPD, especialmente en cuanto a la
responsabilidad proactiva.

Ello es responsabilidad de XFERA por cuanto, es la responsable del tratamiento y es
quien tiene la obligación de integrar y desplegar la protección de datos dentro de todo
lo que constituya su organización, en todos sus ámbitos de actuación, ya afecten a sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/46

empleados o a sus encargados del tratamiento. Se debe de tener muy presente que
en última instancia la finalidad determinante es la de garantizar la protección del
interesado, pues el foco está los riesgos en los derechos y libertades de los
interesados derivados del tratamiento de datos personales que realiza el responsable
del tratamiento.

Por consiguiente, el responsable del tratamiento debe llevar a cabo un análisis de los
riesgos de los derechos y libertades de las personas físicas en los tratamientos de
datos, implantando las medidas técnicas y organizativas apropiadas para aplicar los
principios de protección de datos e integrar las garantías necesarias en el tratamiento,
a fin de cumplir los requisitos del RGPD, debiendo poder demostrar que el tratamiento
es conforme con lo previsto en la citada norma. Y a la luz del principio de
responsabilidad proactiva (art 5.2 RGPD), el responsable del tratamiento debe poder
demostrar que ha tomado en cuenta todos los elementos previstos en el RGPD.

Y, dentro de las actuaciones que lleve a cabo para garantizar que su encargado del
tratamiento respeta los principios del RGPD, no se encuentran las meramente
preventivas, como la firma del contrato de encargo, establecimiento de obligaciones en
el mismo, e incluso dictado de instrucciones, sino que puede y debe complementarse
con medidas reactivas o de control a posteriori, como sería la realización de controles
o auditorías tendentes a comprobar la posible existencia de errores o inexactitudes. En
este caso, referidos a los datos de identificación de titulares de líneas prepago, de las
que, como se ha dicho XFERA es responsable del tratamiento.

Todo ello no hace sino reflejar una falta de diligencia por parte de la entidad
responsable a la hora de garantizar la exactitud de los datos objeto de tratamiento. En
este sentido, no debe olvidarse que en la base de datos afectada se encuentran
almacenados datos personales de miles de clientes, lo cual supone un tratamiento a
gran escala. Y la ley establece que los datos tienen que permanecer a disposición de
las Fuerzas y cuerpos de seguridad para la realización de investigaciones penales,
con lo que posibles inexactitudes o errores en los datos pueden desembocar a su vez
en el fracaso o ralentización de dichas investigaciones.

Tal y como se ha venido demostrando y argumentando a lo largo del presente
procedimiento sancionador, se considera que XFERA no había implantadas unas
medidas y controles adecuados para garantizar la corrección de los datos personales
de los clientes, lo que determinó en este supuesto que la investigación de la AEPD no
pudiera prosperar por no corresponderse la identidad proporcionada con los
verdaderos titulares de las líneas prepago

Es mucho más, es una falta de cumplimiento de las obligaciones impuestas por el
RGPD. Por tanto, se insiste, en que el responsable del tratamiento debe establecer, en
su relación con el encargado del tratamiento, modalidades claras para dicha asistencia
y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de
forma adecuada y documentarlo previamente a través de un contrato o bien en otro
acuerdo (vinculante) y también posteriormente durante la vigencia del mismo y
comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma
establecida en el mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/46

A este respecto, nada se ha acreditado, ni siquiera aportado, en relación con medidas
ex post (esto es, posteriores a la incorporación de los datos por parte del encargado
del tratamiento) tendentes a comprobar la exactitud o veracidad de los datos. La única
afirmación al respecto, contenida en las alegaciones a la propuesta de resolución es la
siguiente:

“Derivado de lo anterior, cabe concluir que XFERA sí ejerció un control y una
supervisión respecto de la actuación de FULLCARGA y de los puntos
autorizados por ésta, contando con controles tendentes a garantizar la exactitud
de los datos recabados, sin que quepa exigir la infalibilidad de estos.”

Pero no aclara, ni mucho menos justifica, cuáles serían esos controles.

En relación con este aspecto, procede traer a colación el contenido de la STS
1562/2020, de 15 de junio de 2020, rec. 601/2019, que señala lo siguiente:

“En tal sentido, ya la Sentencia del Tribunal Supremo de 5 de junio de 2004,
que confirma, en casación para Unificación de Doctrina, la de esta AN de 16 de
octubre de 2003, haciéndose eco de lo argumentado por esta Sala refiere la
diferenciación de dos responsables en función de que el poder decisión vaya
dirigido al fichero o al propio tratamiento de datos. Así, el responsable del
fichero es quien decide la creación del fichero y su aplicación, y también su
finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la
totalidad de los datos registrados en dicho fichero. El responsable del
tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre
las concretas actividades de un determinado tratamiento de datos, esto es,
sobre una aplicación específica. Se trataría de todos aquellos supuestos en los
que el poder de decisión debe diferenciarse de la realización material de la
actividad que integra el tratamiento. Con ello, como asimismo argumenta la
STS de 26 de abril de 2005 (casación para unificación de doctrina 217/2004),
el legislador español pretende adaptarse a las exigencias de la Directiva
95/46/CE, que tiene como objetivo dar respuesta legal al fenómeno, que cada
vez es más frecuente, de la llamada externalización de los servicios
informáticos, donde actúan múltiples operadores, muchos de ellos insolventes,
creados con el objetivo de buscar la impunidad o irresponsabilidad de los que
le siguen en los eslabones siguientes de la cadena. En la actualidad, el nuevo
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de
abril de 2016, relativo a la protección de las personas físicas en lo que respecta
al tratamiento de datos personales (por el que se deroga la Directiva 95/46/CE,
y de aplicación directa a partir del 25 de mayo de 2018) distingue asimismo
entre las figuras del responsable y del encargado del tratamiento. La primera
se define en el apartado 7) del artículo 4 como " persona física o jurídica (...)
que determine los fines y medios del tratamiento”. Y el encargado de
tratamiento en el apartado 8) del mismo artículo 4 como aquel que "trate datos
personales por cuenta del responsable del tratamiento".

Ello en relación con los Artículos 24 y 28 del mismo Reglamento Europeo de
Protección de Datos. Responsable y encargado del tratamiento de datos que,
sin lugar a duda, resultan asimismo responsables de las infracciones en
materia de protección de datos, en tal nuevo marco normativo, de conformidad
con lo previsto en el artículo 82.2 del repetido Reglamento (UE) 2016/679 a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/46

cuyo tenor: Cualquier responsable que participe en la operación de tratamiento
responderá de los daños y perjuicios causados en caso de que dicha operación
no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente
responderá de los daños y perjuicios causados por el tratamiento cuando no
haya cumplido con las obligaciones del presente Reglamento dirigidas
específicamente a los encargados o haya actuado al margen o en contra de las
instrucciones legales del responsable. Se desprende de todo lo anterior que la
concurrencia, en el presente supuesto, de un encargado del tratamiento ZZZZ
en absoluto exime de responsabilidad a la entidad XXXX ahora recurrente, y
ello a pesar de la contundencia de las cláusulas que figuran en el contrato y
anexo al mismo firmados por ambas compañías (hechos probados 9 y 10) en
cuanto los datos personales tratados lo fueron con la finalidad de llevar a cabo
una campaña publicitaria respecto de seguros de coche y moto que
comercializaba la (XXXX), en definitiva en beneficio de dicha XXXX, siendo tal
entidad actora la que, en último término, determina los fines y medios del
repetido tratamiento de datos, por lo que la misma no puede ser exonerada de
responsabilidad”.

Continua la STS, en relación con la posible exoneración de responsabilidad alegada
en cuanto a lo suscrito en el contrato de «encargado del tratamiento», lo siguiente:

“La conducta sancionada de obstaculización o impedimento por XXXX del
ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se
manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de
cautela para evitar el envío de publicidad a las direcciones de correo
electrónico de su cliente por parte de aquellas empresas a las que encomendó
la realización de las campañas publicitarias.

La adopción de las medidas o cautelas necesarias para asegurar la efectividad
del derecho de oposición al tratamiento de sus datos por parte de XXXX, como
responsable del fichero, subsisten aunque las campañas publicitarias no se
realicen a partir de los datos de sus propios ficheros, sino con bases de datos
de otras compañías contratadas por XXXX, y en este caso quedó acreditado
que la recurrente no comunicó a las empresas con las que contrató la
realización de servicios de publicidad la oposición del denunciante a recibir
publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar
la exclusión de su cliente de los envíos publicitarios contratados con terceras
entidades.”

En lo que respecta a la aplicación del principio de culpabilidad en el ámbito del
derecho sancionador regulado por el RGPD, la entidad investigada trae a colación la
doctrina sentada por la STJUE, de 5 de diciembre de 2023 (asunto C-807/21,
Deutsche Wohnen SE y Staatsanwaltschaft Berlin).

Pues bien, cabe preguntarse entonces cuáles son los parámetros de la diligencia
debida que la entidad investigada debía haber observado en relación con la conducta
examinada. La respuesta es que la diligencia que debió observar es la que era precisa
para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la
luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/46

Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice:

“[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre
que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia
ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe
duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones
legales al respecto”.

A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de
carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de
los deberes que la Ley impone a las personas responsables de ficheros o del
tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional
de 29 de junio de 2001).

En consecuencia, las alegaciones deben ser desestimadas toda vez que la entidad
investigada ha infringido las obligaciones impuestas en el RGPD en calidad de
responsable de los tratamientos llevados a cabo en su nombre y por su cuenta, en
relación con las responsabilidades que exige a todo responsable del tratamiento el
artículo 24 del RGPD. Las alegaciones no desvirtúan el contenido esencial de la
infracción que se declara cometida ni suponen causa de justificación o exculpación
suficiente.

Al respecto, y específicamente en relación con el principio de exactitud, cabe también
recordar que la Audiencia Nacional, en su sentencia de 1 de marzo de 2024, rec.
1757/2021, dispone que se impone al responsable del tratamiento que verifique la
exactitud de los datos del interesado a través de la implementación de las medidas
adecuadas cuando se efectúe una contratación. Precisamente por eso, es necesario
asegurarse que la persona que contrata es quien realmente dice ser y deben
adoptarse las medidas de prevención adecuadas para verificar la identidad de una
persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la
exigencia de documentación identificativa, como viene reiterando la Sala entre otras
en Sentencias de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec.
45/2014), entre otras. Obligación que es trasladable a los supuestos de
representación, en que no solo es necesario comprobar los datos del interesado sino
también los del representante que está actuando en nombre del representante y su
efectiva representación.

Por consiguiente, se desestima la alegación relativa a falta de culpabilidad de la parte
reclamada en la comisión de la infracción imputada. La responsabilidad última sobre el
tratamiento sigue estando atribuida al responsable, que es quien determina la
existencia del tratamiento y su finalidad. Así, recordemos que, con carácter general los
operadores son responsables del tratamiento de los datos de sus clientes, En este
sentido, XFERA ha suscrito un contrato con FULLCARGA, uno de cuyos puntos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/46

venta ha realizado la venta de las tarjetas telefónicas correspondiente a las líneas
objeto de la presente reclamación y en cuyo proceso debieran haberse garantizado el
cumplimiento de todas las obligaciones legales de aplicación; entre ellas, el
cumplimiento con el principio de exactitud de los datos previsto en el art. 5.1 d) del
RGPD.

Esta falta de mecanismos adecuados nos lleva a rechazar de igual forma la alegación
referida a la falta de afectación directa a un interesado identificado, por cuanto la
conducta revelada pone de manifiesto cierta negligencia en el establecimiento de
controles tendentes a garantizar la exactitud de los datos recabados por la parte
reclamada. Se vulneró el principio de exactitud; el DNI que XFERA indica como
correspondiente a D.D.D. corresponde a otra persona. Por tanto a ese DNI que
pertenece a una persona identificada se le asocio un nombre y apellidos que no le
corresponde y probablemente la titularidad de una línea que no es suya. La misma
situación se ha producido con B.B.B., al que se ha atribuido un DNI que no solo no es
el suyo, sino que, conforme aclara el informe de la Agencia Tributaria, ni siquiera
existe.

El informe del Ministerio del Interior

La parte reclamada menciona un informe emitido por el Ministerio del Interior durante
la tramitación por la SETID por presunto incumplimiento, también por XFERA
MÓVILES, de sus obligaciones de conservación de datos de la Ley 25/2007, de 18 de
octubre. En el informe se contienen afirmaciones como:

- “…el libro-registro se encuentra situado en las dependencias de dicho punto de
venta, siendo la responsabilidad de su cumplimentación del punto de venta”;

- “Es responsabilidad del punto de venta comprobar visualmente el documento
acreditativo que aporte la persona contratante” y

- “(no existe obligación de guardar una fotocopia del DNI), la operadora nunca
puede comprobar la veracidad de los datos trasladados por los puntos de
venta, por lo que la responsabilidad última de las infracciones siempre debe
recaer en dichos puntos”

Al respecto no podemos olvidar que estas afirmaciones se enmarcan dentro de la
imputación a XFERA por la presunta vulneración de sus obligaciones de conservación
de datos por la Ley 25/2007. Y en ese marco cobra todo el sentido lo afirmado, como
que la recolección de datos se produce presencialmente en el establecimiento de
venta, que la responsabilidad de dicha recolección es del titular de dicho
establecimiento y que la operadora no puede comprobar la veracidad de lo trasladado

Sin embargo, en el presente expediente sancionador nos encontramos dentro de la
comprobación de las obligaciones que el responsable del tratamiento (en este caso
XFERA como se ha argumentado en el apartado anterior) tiene como garante de la
exactitud de los datos conservados que, insistimos, se guardan para que en caso de
ser necesarios sean puestos a disposición de las Fuerzas y cuerpos de seguridad
dentro de las investigaciones penales por delitos graves.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/46

Y a estos efectos, si bien es cierto que la toma de datos se produce por el encargado
del tratamiento (una decisión como también se ha explicado antes voluntariamente
adoptada por el responsable, que también podía optar por realizar dicha toma con
medios propios) no lo es menos que dicho responsable es el obligado a garantizar el
cumplimiento del principio de exactitud. Y tiene a su disposición medios tanto
preventivos como reactivos para que dicha garantía se cumpla. Lo que no ha
acreditado en este caso.

3. Inexactitud de los datos

Posibilidad de comprobación

En relación con la comprobación de la exactitud de los datos, se afirma por parte de
XFERA que por su parte resultaría imposible comprobar la veracidad de los datos
aportados. En este sentido afirma:

- La toma de datos materialmente se realiza por el responsable del tratamiento

- Este tiene impuesta la obligación, por contrato, de comprobar la identidad que
figura en el documento identificativo y trasladarla a la base de datos

- Conforme al principio de minimización del art 5.1.c RGPD no puede
conservarse una copia o imagen del documento identificativo.

- El operador no tiene modo de comprobar si los datos son exactos

Basándose en esas premisas, XFERA afirma que no tendría ningún medio a su
disposición para realizar una comprobación de la veracidad de los datos. En sentido
contrario, la conclusión es que debe conformarse con dar por buenos los datos que se
cargan en la base de datos y no podría realizar comprobación alguna.

Incluso aceptando estas premisas, hay que tener en cuenta los resultados arrojados
por la consulta de la Inspección de esta Agencia a los datos de la Agencia Tributaria.
Respecto a una de las líneas telefónicas el resultado fue que el DNI proporcionado no
se correspondía con el nombre y apellidos proporcionados. Pero es que respecto a la
otra línea se proporcionó un número de DNI inexistente, es decir, que no se
correspondía con ninguna persona.

A este respecto, se observa que XFERA no tenía establecido ningún mecanismo de
seguridad conforme al cual no podrían aceptarse números de DNI inexistentes. Pero
nosolo eso, sino que como se ha explicado en relación con la responsabilidad de
encargado o responsable, no consta aportado ningún mecanismo de control, auditoría,
muestreo o similar que permitiese la posible existencia de errores o inexactitudes en
los datos.

Es decir, tal y como reconoce XFERA , su labor en este asunto, como responsable del
tratamiento, era dar por bueno todos y cada uno de los datos introducidos por sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/46

encargados del tratamiento, sin realizar comprobación alguna. Ello a sabiendas, según
también se reconoce, que puede haber fraudes, suplantaciones e incluso delitos de
falsedad documental con objeto de dar de alta titulares inexactos, lo que, también
insistimos, puede dar lugar al fracaso de investigaciones penales.

Como se indicó anteriormente, la única afirmación que se contienen en las
alegaciones de la parte reclamada, en relación con un posible control ex post de los
datos conservados, sería la siguiente:

“Derivado de lo anterior, cabe concluir que XFERA sí ejerció un control y una
supervisión respecto de la actuación de FULLCARGA y de los puntos
autorizados por ésta, contando con controles tendentes a garantizar la exactitud
de los datos recabados, sin que quepa exigir la infalibilidad de estos.”

Pero no menciona en qué medidas se concretaría este control, ni mucho menos se
justifica documentalmente.

En el presente procedimiento no se sanciona solo por la mera producción de un
resultado, como afirma XFERA, (sería un caso de responsabilidad objetiva proscrita
por nuestro ordenamiento y el derecho sancionador), sino porque ese resultado de
datos inexactos viene precedido por la ausencia de medidas técnicas y organizativas
que hacen que concurra en este caso una grave negligencia en el cumplimiento de sus
obligaciones como responsable del tratamiento de datos personales.

El artículo 4 de la LOPDGDD

La parte reclamada invoca en su favor el artículo 4 de la LOPDGDD, que establece
que:

“2. A los efectos previstos en el artículo 5.1.d) del Reglamento (UE) 2016/679, no
será imputable al responsable del tratamiento, siempre que este haya adoptado
todas las medidas razonables para que se supriman o rectifiquen sin dilación, la
inexactitud de los datos personales, con respecto a los fines para los que se
tratan, cuando los datos inexactos:

a) Hubiesen sido obtenidos por el responsable directamente del afectado”

El interesado afirma la exclusión de responsabilidad en caso de que quien contrata la
línea prepago facilite datos falsos. En primer lugar, nada ha quedado aclarado en
relación con el verdadero origen de la inexactitud de los datos, ya que la parte
reclamada se limita a repetir que no tienen manera de comprobar los datos que fueron
introducidos por su encargado de tratamiento.

Pero, en segundo lugar, no puede obviarse que el primero de los párrafos
reproducidos contiene el inciso “siempre que este haya adoptado todas las medidas
razonables para que se supriman o rectifiquen, sin dilación, la inexactitud de los datos
personales”. Y esta es la clave de este incumplimiento, que XFERA no tenía
adoptadas medidas que tendiesen a comprobar la exactitud de los datos. Hasta el
extremo que, como ha quedado acreditado, uno de los números de DNI aportado ni
siquiera existe.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/46

En su lugar, XFERA se limita a afirmar que tiene que dar por buenos los datos
incorporados por su encargado, sin posibilidad alguna de comprobarlos. Y, no
olvidemos, esta obligación de conservación tiene como finalidad que posteriores
posibles investigaciones penales puedan tener éxito.

3. Proporcionalidad de la sanción

Las alegaciones de la parte reclamada discrepan en las circunstancias de graduación
de la cuantía tenidas en cuenta en la propuesta de resolución. Ello en dos aspectos,
primero rechazando circunstancias que agravarían la cuantía y segundo proponiendo
otras que, a su juicio, la atenuarían

Circunstancias tenidas en cuenta en la propuesta y objetadas por XFERA.

En primer lugar, en opinión de XFERA, no existe intencionalidad o negligencia en la
infracción, por su imposibilidad de comprobar la veracidad de los datos trasladados por
los puntos de venta.

A este respecto cabe afirmar todo lo contrario a lo indicado por XFERA. De la
instrucción del procedimiento se ha acreditado la inexistencia de controles reales en la
actividad del encargado del tratamiento. La parte reclamada no ha aportado ninguna
medida de control más allá del establecimiento formal de un contrato de servicios,
unido a uno de encargo, en el que se impone al encargado la obligación de identificar
a los usuarios de tarjetas prepago, sin que la información suministrada por este sea
objeto de ningún tipo de comprobación o control posterior. Ello ha traído como
consecuencia que, tal y como se declara en los hechos probados, conforme a a la
información aportada por la Agencia Tributaria, a uno de los números de DNI
facilitados por XFERA no se corresponden ninguna persona, es decir se trataba de un
número de DNI inexistente. Asimismo, el DNI que indicó como correspondiente a una
persona, en realidad se corresponde con otra.

En sus alegaciones a la propuesta de resolución, la parte reclamada añade que, si
bien la gravedad de la infracción se concreta en las dificultades que pueden producirse
a la hora de identificar la realización de llamadas comerciales que alegaba la parte
reclamante agrava la supuesta negligencia de XFERA. En relación con esto, alega que
las obligaciones de XFERA como operadora de telecomunicaciones no abarcan el
contenido o finalidades que los emisores de las llamadas puedan hacer de estas,
motivo por el que no resulta imputable o vinculable a esta parte, a ningún nivel, la
realización de estas.

Es evidente que no puede hacerse a XFERA responsable del contenido de las
llamadas. Pero en lo que hace énfasis la propuesta de resolución sobre la que se
alega, es que la falta de conservación de unos datos exactos y correctos tuvo como
consecuencia que esta Agencia no pudiera sancionar una posible infracción
consistente en la realización de llamadas comerciales sin base legitimadora. Con ello,
cierto es que XFERA no es responsable del contenido de ninguna llamada, pero sí lo
es de no conservar datos adecuados y exactos, lo que, de haberse producido, habrían
permitido a esta Agencia determinar el sujeto responsable de una posible infracción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/46

administrativa de su competencia. Ello por no mencionar que lo mismo habría
sucedido si los datos de identidad del titular hubiesen sido requeridos por un juez para
la determinación de la posible responsabilidad de un delito penal.

Aparte, discrepa la parte reclamada en que se haya considerado la concurrencia de
una negligencia grave. Teniendo en cuenta, a juicio de XFERA, que no podía realizar
comprobaciones de la veracidad de los datos aportados, se estaría produciendo un
supuesto de “responsabilidad objetiva” o por el resultado.

A este respecto, analizada la concurrencia de la apreciación de una circunstancia
como la negligencia grave prevista en la propuesta de resolución, se aprecia que el
motivo de dicha concurrencia es similar al argumento principal utilizado a lo largo de
esta resolución para la imputación de la infracción, esto es, la ausencia de controles
sobre la actividad del encargado, y sobre los datos resultantes de las contrataciones
por este. De este modo, no queda suficientemente justificada la consideración de esta
circunstancia en la graduación de la sanción, ya que forma parte de la motivación
sustancial de la imputación. Con ello, se considera que no procede aplicar a esta
infracción la circunstancia de concurrencia de negligencia grave y se reduce la cuantía
de la sanción conforme se detalla en el Fundamento octavo de esta resolución.

También objeta la parte reclamante a la inclusión de la agravante de vinculación con el
tratamiento habitual de datos personales. Indica que esta agravante no podría
aplicarse de manera genérica, sino relacionada con el tipo de tratamiento al que se
refiere este expediente.

Y así se hace. Conforme a la disposición adicional única de la Ley 25/2007, de 18 de
octubre, los operadores que comercialicen tarjetas prepago de telefonía tienen la
obligación de conservar los datos establecidos en dicha disposición respecto a todos y
cada uno de los clientes que las contraten, Con ello, este tipo de tratamiento forma
parte de la actividad habitual y diaria. Cada vez que se produzca una contratación,
surge la obligación, como decimos para todos los clientes. Resulta difícil objetar que
XFERA sea un sujeto respecto de cual se produce una “vinculación con el tratamiento
habitual de datos personales”, circunstancia prevista en el artículo 76 de la LOPDGDD.

Circunstancias no contempladas y que, a juicio de XFERA, atenuarían su
responsabilidad

En primer lugar afirma que no habría sido tomado en consideración la falta de daño
efectiva a un interesado

A este respecto cabe precisar que en este procedimiento no ha establecido como
criterio agravante la existencia de daño a un interesado. No obstante, la ausencia del
mismo tampoco puede ser considerada como atenuante. Además, debe tenerse en
cuenta que, en la investigación realizada en este procedimiento, la ausencia de datos
exactos por parte de la parte reclamada, impidió investigar adecuadamente la
infracción inicialmente denunciada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/46

Alegan que cuentan con una adhesión al Código de Conducta de Autocontrol para el
“Tratamientos de datos en la actividad publicitaria”, aprobado por la AEPD.

Tampoco cabe apreciar como atenuante esta circunstancia, toda vez que la mera
adhesión formal al código de conducta no tiene trascendencia alguna en el supuesto
enjuiciado. Recordemos que se sanciona por el tratamiento de datos inexactos y no
por la realización de actividades publicitarias, por más que la reclamación inicial se
refiriera a estas últimas.

No habría obtención de beneficio derivado de la conducta presuntamente infractora

Las sanciones deberán ser en cada caso individual efectivas, proporcionadas y
disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD. Admitir la ausencia
de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos
contemplados en el artículo 76.2.c) LOPDGDD, sino también contrario a lo establecido
en el artículo 83.2.k) del RGPD y a los principios señalados.

Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que
inciden efectivamente en su cuantificación, reportando al responsable un beneficio al
que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede
llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo
que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho
infractor.

La Sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, indica:
“Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una
infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse
en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "e)
toda infracción anterior cometida por el responsable o el encargado del tratamiento".
Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto
para su aplicación conlleva que no pueda ser tomada en consideración, pero no
implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al
supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art.
76.2.c) de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no
permite su aplicación como atenuante.

Asimismo, se alegan el “espíritu colaborativo” demostrado durante la actuación
investigadora de la AEPD.

No puede considerarse como atenuante el cumplimiento de un deber legal, toda vez
que, conforme al artículo 52 de la LOPDGDD, los sujetos investigados deben prestar
la colaboración requerida a la inspección de la AEPD.

Por lo tanto, y en atención a lo reflejado en los aparatados anteriores, procede
desestimar las alegaciones presentadas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/46

Finalmente, por el mismo motivo, esto es que de apreciarse en sentido positivo
constituirían agravantes pero no son atenuante si no concurren, permiten desestimar
factores como:

- El bloqueo de línea telefónica cuando se comprobó la inexactitud del dato,
- El no tratamiento de categorías especiales de datos personales

I. Práctica de prueba propuesta

A continuación, se contesta a la prueba propuesta por la parte reclamada:

1. Documental, consistente en la unión al procedimiento de los documentos aportados
con este escrito.

Se aceptó y unió al expediente.

2. Más documental, consistente en que esta digna Agencia libre atento oficio a la
Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, a efectos de
solicitar copia del expediente sancionador SAN00067/23, en el marco del cual se dictó
la resolución aportada junto al escrito de alegaciones;

A este respecto, analizada la resolución aportada por la parte reclamada, se observa
que esta decreta el archivo de procedimiento sancionador inicialmente abierto a
XFERA por su presunto incumplimiento de las obligaciones de identificación de
titulares de tarjetas prepago conforme a la Ley 25/2007.

El archivo se basa en el informe emitido por el Ministerio del Interior en el que se
contienen afirmaciones como:

“Es responsabilidad del punto de venta comprobar visualmente el documento
acreditativo que aporte la persona contratante del servicio antes de apuntar dicha
información en el libro registro para comprobar su veracidad”

“Este Grupo es conocedor de que la operadora de comunicaciones tiene
procedimientos automáticos y manuales para la lucha contra el fraude.”

A este respecto, procede rechazar la práctica propuesta por dos motivos: primero,
porque su práctica no alteraría el resultado de este expediente, toda vez que va
referido a la responsabilidad del operador o distribuidor por el cumplimiento de la
propia Ley 25/2007, y no incide en aspectos relativos a la protección de datos y a la
peculiar relación existente entre responsable y encargado conforme se motiva en esta
resolución.

Y segundo porque, con independencia del motivo anterior, ya consta en el expediente,
aportada por la propia parte reclamada, la resolución que contiene los criterios que la
misma pretende que se apliquen al presente procedimiento sancionador.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/46

3. Testifical por escrito, consistente en esta Agencia libre oficio a FULLCARGA
IBÉRICA, S.L., a efectos de que su represente legal conteste a las siguientes
preguntas:

a. ¿Fueron comercializadas, a través de su plataforma informática, dos tarjetas
prepago de la marca “Lebara”, correspondientes a las líneas móviles ***TELÉFONO.4
y ***TELÉFONO.2, los días 23 de febrero de 2022 y 3 de marzo de 2022,
respectivamente?

b. En caso afirmativo, ¿pueden confirmar qué concreto establecimiento, de los
adheridos a su red, comercializó las citadas tarjetas prepago?

c. ¿Facilita Fullcarga algún tipo de instrucciones, a los establecimientos adheridos a su
red, sobre cómo cumplimentar los datos de los adquirentes de tarjetas prepago de
telefonía móvil, a efectos de dar cumplimiento a las obligaciones de identificación
previstas en la Ley 25/2007, de 18 de octubre?

Procede rechazar esta prueba, en tanto su práctica en nada alteraría el resultado de
este procedimiento sancionador. En efecto, en los hechos probados de esta propuesta
ya se recoge cuál fue el procedimiento de contratación e identificación de clientes en
este supuesto, a través del distribuidor FULLCARGA IBÉRICA. Ello no obstante, tal y
como se motiva en esta propuesta, la atribución de la infracción, procede, en
aplicación del régimen previsto en el RGPD, al responsable del tratamiento.

II. Obligación. Artículo 5.1 d) RGPD

El Artículo 5 del RGPD, Principios relativos al tratamiento, dispone que

1. Los datos personales serán:

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);

En relación con el artículo 5.1.d), dicho precepto exige que se adopten “las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan”. En este sentido, la
Audiencia Nacional señalaba en su sentencia de 27/02/2008, Recurso 210/2007, “…
El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta
necesario que los datos se recojan para su tratamiento de acuerdo con una serie de
criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades
compatibles a las que motivaron la recogida (principio de finalidad), sino que también
exige que quien recoge y trata datos de carácter personal garantice y proteja que la
información sometida a tratamiento no sea inexacta y esté puesta al día. El
incumplimiento o vulneración del principio de veracidad puede tener importantes
consecuencias para el afectado…>>. Asimismo, el artículo 5.1.d) no impone adoptar
medidas desproporcionadas para actualizar los datos, sino las razonables, atendiendo
a los medios disponibles y el fin para el que se usan los datos. Así lo expresa también
el considerando 39 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/46

(…) Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o
supriman los datos personales que sean inexactos. (…)

La SAN de 1 de marzo de 2024 (RCA 0001757/2021) dispone que «En esta línea la
STS de 13 de diciembre 2021 (Rec. 6109/2020) establece que “(…) es exigible a dicha
empresa contratante, como diligencia necesaria para que no se le pueda reprochar el
incumplimiento de sus obligaciones en materia de protección de datos de carácter
personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado
como en lo relativo al principio de veracidad y exactitud la implantación de medidas de
control y verificación tendentes a asegurar que la persona que pretende contratar es
quien dice ser, esto es, que coincide con el titular del DNI aportado”

Así se impone al responsable del tratamiento que verifique la exactitud de los datos
del interesado a través de la implementación de las medidas adecuadas cuando se
efectúe una contratación. Precisamente por eso, es necesario asegurarse que la
persona que contrata es quien realmente dice ser y deben adoptarse las medidas de
prevención adecuadas para verificar la identidad de una persona cuyos datos
personales van a ser objeto de tratamiento, y a ello obedece la exigencia de
documentación identificativa, como viene reiterando la Sala entre otras en Sentencias
de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014) etc.»

Por lo tanto, atendiendo a las circunstancias del presente procedimiento sancionador
cabe afirmar que la parte reclamada ha incumplido la obligación prevista en el
mencionado art. 5.1 d)

Así, como queda constatado en los hechos probados, según la información aportada
por la Agencia Tributaria, la búsqueda por el DNI facilitado por XFERA como
correspondiente a B.B.B. no proporciona resultados. Asimismo, el DNI que XFERA
indica como correspondiente a D.D.D. corresponde a otra persona.

III. Tipificación y calificación de la infracción

De conformidad con las evidencias de las que se dispone, se considera que los
hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada
tipificada en el artículo 83.5 del RGPD que estipula lo siguiente:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72.a). de la LOPDGDD, que califica de
muy grave la siguiente conducta:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/46

“a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”

I. Sanción

Esta infracción puede ser sancionada con multa de 20 millones de euros como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.

En el presente supuesto se considera que concurren las siguientes circunstancias:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido [artículo 83.2.a) RGPD]. Hay que tener en cuenta
que la inexactitud del dato transmitido a la AEPD ha obstaculizado la
averiguación de una posible infracción administrativa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/46

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD): XFERA, como
consecuencia de su actividad empresarial realiza de forma habitual y continua
tratamientos de datos de carácter personal de un elevado número de
interesados. La prestación de servicios de comunicaciones electrónicas al
público es la actividad principal de XFERA, implica forzosamente operaciones
de tratamiento de datos personales de las personas físicas clientes (o
potenciales clientes) de dicha entidad, no únicamente respecto a la
documentación remitida por estos por los canales establecidos por la
responsable sino para todo tipo de actividades. Así, la infracción se produce en
el marco de un tratamiento de datos personales que habitualmente realiza el
responsable en su negocio y que se encuentra estrechamente vinculado a
este.

Como se ha indicado en el Fundamento cuarto, punto 5, de esta resolución, se
descarta la concurrencia de la circunstancia de negligencia grave que fue tenida en
cuenta en la propuesta de resolución. Con ello, y con la apreciación de las
circunstancias detalladas más arriba, se estima procedente reducir la cuantía de la
sanción a SETENTA MIL EUROS (70.000€)

I. Adopción de medidas

Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar
su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido
en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá
“ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado…”. La imposición de
esta medida es compatible con la sanción consistente en multa administrativa, según
lo dispuesto en el art. 83.2 del RGPD.

En concreto, se ordena que, en el plazo de 6 meses, XFERA introduzca los
procedimientos y mecanismos necesarios de comprobación de la identidad de los
clientes que adquieran una tarjeta en modalidad prepago.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos

RESUELVE:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/46

PRIMERO:
IMPONER a XFERA MÓVILES, S.A.U., con NIF A82528548, por una infracción del
artículo 5.1.d) del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa
de70.000,00 euros (SETENTA MIL euros).

SEGUNDO:
ORDENAR a XFERA MÓVILES, S.A.U., con NIF A82528548, que en virtud del
artículo 58.2.d) del RGPD, en el plazo de 6 meses desde que la presente resolución
sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas
establecidas en el fundamento de derecho noveno de esta resolución

TERCERO:
NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.U..

CUARTO:
Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso
potestativo de reposición (un mes a contar desde el día siguiente a la notificación de
esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al
sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente
resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/46

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-100325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es