1/38
Expediente N.º: EXP202301365
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: FACUA-Sevilla, en representación de D. A.A.A., con DNI ***NIF.1 (en
adelante la parte reclamante) con fecha 27/12/2022 interpuso reclamación ante la
Agencia Española de Protección de Datos.
La reclamación se dirige contra XFERA MÓVILES, S.A. con NIF A82528548 (en
adelante XFERA o la parte reclamada).
La reclamación venia motivada por los siguientes hechos: la parte reclamante
manifestaba que la parte reclamada había llevado a cabo una portabilidad sin su
consentimiento. Señalaba que en fecha 14/09/2022 recibió un mensaje de texto en el
que le informaban que su línea seria portada el 15/09/2022; manifestaba no haber
solicitado portabilidad alguna ni contratación de servicio alguno con la parte
reclamada. La nueva tarjeta SIM fue entregada en su domicilio a un tercero que no
mostró su DNI.
SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las
reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las
mismas a los delegados de protección de datos designados por los responsables o
encargados del tratamiento, o a estos cuando no los hubieren designado, y con la
finalidad señalada en el referido artículo, se dio traslado de la reclamación a la parte
reclamada para que procediera a su análisis y diera respuesta en el plazo de un mes.
TERCERO: En fecha 15/03/2023 tras analizarse la documentación que obraba en el
expediente, se dictó resolución por la Directora de la Agencia Española de Protección
de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue
notificada a la parte recurrente, en fecha 16/03/2023, según consta acreditado en el
expediente.
CUARTO: En fecha 14/04/2023 la parte reclamante interpuso recurso potestativo de
reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída
en el expediente EXP202301365, en el que muestra su disconformidad con la
resolución impugnada, solicitando que se admita a trámite la reclamación inicial
presentada.
En fecha 30/08/2023 se remitió el recurso interpuesto a la parte reclamada en el marco
de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/38
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos
y justificantes que estimase procedentes, lo que se realizó mediante escrito de
respuesta de fecha 06/09/2023.
QUINTO: EL 15/09/2023 la Directora de la Agencia Española de Protección de Datos
resolvió estimar el recurso de reposición interpuesto contra la resolución dictada el
15/03/2023 y admitir a trámite la reclamación formulada de acuerdo con lo establecido
en el artículo 65 de la LOPDGDD.
SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.
En las respuestas ofrecidas por la parte reclamada, en fechas 21/11/2023 y
19/02/2024, a los requerimientos de información confirman que la contratación se
realizó a través de Internet y aportan información del procedimiento de contratación
con portabilidad mediante acta de presencia ante notario de 14/02/2023.
La verificación de la voluntad de contratar y llevar a cabo la portabilidad se manifiesta
a través del formulario que se rellena expresamente con esa finalidad y en el que se
informa de dicha circunstancia mediante el texto “Usaremos los siguientes datos para
portar tu número actual a la nueva tarjeta SIM de MASMOVIL”.
Además, se envía un SMS con la finalidad de verificar la línea para evitar
suplantaciones o errores.
Según consideraciones de los representantes de la entidad “la conservación de
números por los usuarios finales (portabilidad) se encuentra regulada en la Ley
11/2022, de 28 de junio, general de telecomunicaciones y en la mencionada
Especificación Técnica, no estando relacionado este proceso técnico con las
competencias de esta Agencia de garantizar la seguridad en el tratamiento de datos
de carácter personal. En este sentido, la portabilidad numérica se encuentra regida
por su regulación específica, siendo uno de sus requisitos el consentimiento del
abonado para proceder al ejecutar los procesos técnicos que lleva aparejado ese
proceso”.
Según considera la entidad existió manifestación de la voluntad de llevar a cabo la
portabilidad y el tratamiento de datos personales cumplía con los requisitos de licitud y
transparencia. Asimismo, consideran que no existió suplantación de la identidad ya
que los datos proporcionados en la solicitud correspondían todos a su persona
(dirección, teléfonos de contacto, datos identificativos…) y la tarjeta SIM fue entregada
en su domicilio.
En lo que respecta a la verificación de la identidad del contratante, esta se lleva a cabo
en el momento de la entrega de la tarjeta SIM, que es el primer momento en el que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/38
puede realizar una comprobación de la identidad mediante exhibición del documento
acreditativo de la identidad y la persona que porta dicho documento.
En relación con la acreditación de que se remitió al interesado un código de validación
por SMS al teléfono que se iba a portar y que fue incluida en el formulario de
contratación web, la parte reclamada manifiesta que:
El texto del SMS que se le envió al interesado fue aportado por él mismo en su
denuncia “MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022
entre las 2am y 6am. A partir de entonces ya puedes cambiar tu tarjeta SIM"
Facilitan copia del registro en sus sistemas de dicha comunicación.
La acción afirmativa para llevar a cabo la portabilidad se ofreció en el propio formulario
de contratación en la web cuando el interesado indica que desea llevar a cabo una
portabilidad y proporciona toda la información solicitada específicamente para ello
En lo referente al sistema de códigos de validación por SMS implantado actualmente,
se encontraba en fase de desarrollo y pruebas en el momento de la portabilidad del
interesado, implementándose poco después, siendo los formularios los mismos en el
momento de la contratación del interesado, a falta solo de esa funcionalidad. La
finalidad de este sistema de OTP no es revalidar el consentimiento sino confirmar la
posesión de la numeración que se pretende portar.
En este caso el propio interesado ha aportado en la denuncia el contenido del mensaje
de texto remitido informando de la portabilidad.
En lo que respecta al consentimiento para tratar los datos personales del interesado
para llevar a cabo la portabilidad, los representantes de la entidad indican que se
prestó en el momento de rellenar el formulario de la página web que tiene tal finalidad
y confirmarlo.
En relación al momento del proceso de contratación en que se considera acreditada la
identidad del cliente la parte reclamada manifiesta que:
En los procesos de contratación a distancia la acreditación de la identidad se lleva a
cabo en el momento de la entrega de la tarjeta SIM, ya que es el único momento
previo a la activación, en el que el titular de la numeración está presente, junto con su
DNI, a fin de acreditar su identidad.
Es el mensajero quien debe cotejar que la tarjeta SIM es entregada al destinatario del
paquete mediante la exhibición de su DNI, instrucción que aparece en el propio
albarán de la tarjeta SIM. Aportan copia de dicho albarán en el que se puede
comprobar que la dirección de entrega es la misma que la proporcionada por el
denunciante en su escrito.
En lo referente a la información de la que dispone el transportista en el momento de la
entrega, esta se limita a la información incluida en el campo “Destinatario” que es la
misma que aparece en la etiqueta del sobre.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/38
El número de DNI es un dato que el mensajero desconoce, que debe proporcionarse
por el destinatario a la vez que exhibe su DNI y cuyo número el mensajero introduce
en una PDA. El mensajero solo puede proceder a la entrega del paquete en caso de
que la PDA le devuelva un OK tras la introducción del número del DNI proporcionado
por el destinatario. Si el DNI proporcionado no coincidiera con el del cliente, la PDA
devolvería un KO y el paquete no debería ser entregado.
SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la parte
reclamada es una gran empresa constituida en el año 2.000, y con un volumen de
negocios de 1.996 millones de euros en el año 2.022.
OCTAVO: Con fecha 31/05/2024, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta
infracción del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto en el artículo
83.5.a) del citado Reglamento.
NOVENO: Notificado el acuerdo de inicio la parte reclamada solicitó mediante escrito
de 10/06/2024 ampliación de plazo para formular alegaciones y copia del expediente;
plazo que le fue concedido y copia remitida mediante escrito del instructor de misma
fecha.
El 26/06/2024 la parte reclamada presentó escrito de alegaciones manifestado, en
síntesis: la caducidad del recurso de reposición interpuesto; en cuanto a las cuestiones
jurídico materiales, la sorpresa por la apertura de un procedimiento sancionador por
ausencia de base de legitimación pues el propio reclamante reconoce que no se
produjo una suplantación de identidad; que existía un contrato entre las partes por el
que el consentimiento existió; vulneración del principio de presunción de inocencia; la
ausencia de culpabilidad; la existencia de circunstancias que no han sido tenidas en
cuenta y que atenúan la posible culpabilidad; el archivo del expediente y
subsidiariamente, una minoración de la sanción en leve.
DÉCIMO: Con fecha 10/12/2024, se acordó la apertura de un período de práctica de
pruebas, acordándose las siguientes:
- Dar por reproducidos a efectos probatorios la reclamación interpuesta por la
reclamante y su documentación, los documentos obtenidos y generados por los
Servicios de Inspección que forman parte del expediente.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio presentadas por la parte reclamada y la documentación que acompaña.
DECIMOPRIMERO: Con fecha 14 de marzo de 2025 se formuló propuesta de
resolución, proponiendo que por la Presidencia de la Agencia Española de Protección
de Datos se sancione a XFERA MÓVILES, S.A.U., con NIF A82528548, por una
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, con
una multa de 200.000 € (doscientos mil euros).
DECIMOSEGUNDO: Notificada la propuesta de resolución, el día 18 de marzo de
2025, la parte reclamada solicitó ampliación del plazo que le fue concedido y presentó
escrito de alegaciones el día 4 de abril de 2024 en el que, en síntesis, se aduce que se
reitera en las alegaciones previamente presentadas, es decir:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/38
ALEGACIONES JURÍDICO-FORMALES ÚNICA.
Caducidad del recurso de reposición.
Señala XFERA, que el plazo máximo para dictar y notificar la resolución del recurso
será de un mes, y que el plazo que la AEPD empleó para resolver el recurso de
reposición interpuesto por la parte reclamante fue de cinco meses.
Manifiesta XFERA que el artículo 25.1 apartado b) de la LPACAP, estipula, en
concreto, que, en los procedimientos de carácter sancionador, el vencimiento del plazo
máximo estipulado sin que se haya notificado resolución expresa por la
Administración, produce los siguientes efectos: “b) En los procedimientos en que la
Administración ejercite potestades sancionadoras o, en general, de intervención,
susceptibles de producir efectos desfavorables o de gravamen, se producirá la
caducidad.
En estos casos, la resolución que declare la caducidad ordenará el archivo de las
actuaciones, con los efectos previstos en el artículo 95”.
Afirma XFERA que, por tal motivo, ante la superación del plazo máximo para resolver
el recurso interpuesto por la parte reclamante, la Agencia debió ordenar el archivo de
las actuaciones, con los efectos previstos en el artículo 95 de la LPAC.
ALEGACIONES JURÍDICO-MATERIALES
PRIMERA. Del supuesto de hecho: de la existencia de un tratamiento con
legitimación.
La parte reclamada, insiste en que todos los datos coinciden con los del reclamante y
que el proceso de entrega de la nueva tarjeta SIM se realizó sin ninguna incidencia en
el domicilio del reclamante y señala que el mensajero previa verificación de la
identidad mediante el cotejo del documento de identidad, entregó el paquete al
reclamante, quien firmó el albarán de entrega y pese a constar acreditado lo contrario
documentalmente, el reclamante niega haber recogido el paquete con la tarjeta SIM,
pese a haberse efectuado la entrega en su propio domicilio y constar su firma en el
albarán de entrega.
Señala, que resulta innegable que consta acreditado la existencia de un contrato entre
el reclamante y XFERA, formalizado por el propio reclamante en el canal web de
XFERA y que se ejecutó y confirmó en el momento de la activación de la SIM por el
reclamante el 15 de septiembre y su posterior uso hasta el día 23 del mismo mes.
Afirma XFERA que no cabe considerar concurrente la existencia de un tratamiento de
datos sin legitimación, en la medida en la que consta acreditada la solicitud realizada
por el reclamante, titular de la línea que se quiere portar, al cumplimentar el
procedimiento designado por XFERA al efecto.
Sostiene XFERA que cuenta con una base de legitimación que justifica el tratamiento
de los datos del reclamante y que permite su tratamiento en base a la relación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/38
contractual formalizada, no resultando posible identificar, en la conducta de esta parte,
una infracción del artículo 6.1 del RGPD.
SEGUNDA. De la existencia de un contrato válido y la prestación del
consentimiento por el Reclamante.
XFERA se reitera en que el reclamante aduce que no prestó válidamente el
consentimiento contractual, debido a que no llegó a firmar, en términos estrictos, un
contrato, indicando que constituye una cuestión relativa a la prestación del
consentimiento contractual, que excede al ámbito competencial de la AEPD y a la
propia normativa de protección de datos, y que en el presente caso, tienen lugar los
requisitos que nuestro ordenamiento jurídico establece para entender válidamente
prestado el consentimiento en los contratos electrónicos.
XFERA vuelve a señalar el procedimiento llevado a cabo para la contratación y repite
lo ya manifestado en las alegaciones al acuerdo de inicio del presente procedimiento
sancionador, señalando en resumen que el video aportado por el propio reclamante
acredita que todos los requisitos necesarios para que tenga lugar una contratación se
cumplieron (oferta, documento contractual que rellenó el reclamante, aceptación
expresa, confirmación y compra) y señala que las actuaciones posteriores del
reclamante reafirman la prestación de su consentimiento y su voluntad de contratar
con XFERA: en el momento de la entrega, el reclamante aceptó la misma y recibió el
paquete en su domicilio.
Manifiesta XFERA que derivado de lo anterior cuenta con una base de legitimación
que justifica el tratamiento de los datos del reclamante y que permite su tratamiento en
base a la relación contractual formalizada, no resultando posible identificar, en la
conducta de XFERA de una infracción del artículo 6.1 del RGPD.
TERCERA. Vulneración de las normas generales que rigen los procedimientos
administrativos.
XFERA, señala que el principio de seguridad jurídica determina el necesario carácter
objetivo de la decisión administrativa, sin que quepa regular la decisión a una
interpretación subjetiva no tipificada, ni motivada de la Autoridad Administrativa. Y
alega que así lo estipula la Sentencia del Tribunal Constitucional 46/1990, de 15 de
marzo: "La exigencia del artículo 9.3 relativa al principio de seguridad jurídica implica
que el legislador debe perseguir la claridad y no la confusión normativa, debe procurar
que acerca de la materia sobre la que legisle sepan los operadores jurídicos y los
ciudadanos a qué atenerse, y debe huir de provocar situaciones objetivamente
confusas [...]. Hay que promover y buscar la certeza respecto a qué es Derecho y no
provocar juegos y relaciones entre normas como consecuencia de las cuales se
introducen perplejidades difícilmente salvables respecto a la previsibilidad de cuál sea
el Derecho aplicable, cuáles las consecuencias derivadas de las normas vigentes,
incluso cuáles sean éstas".
Asimismo, indica que el artículo 35 de la LPACAP establece, la exigencia de
motivación de ciertos actos administrativos: “1. Serán motivados, con sucinta
referencia de hechos y fundamentos de derecho: (…) h) Las propuestas de resolución
en los procedimientos de carácter sancionador, así como los actos que resuelvan
procedimientos de carácter sancionador o de responsabilidad patrimonial (…).”. En
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/38
relación con la motivación de los actos administrativos, el Tribunal Supremo ha
declarado, en su Sentencia de 4 de abril de 2012, que: "La exigencia de la motivación
de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la
que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001, a la
finalidad de que el interesado pueda conocer con exactitud y precisión el cuándo,
cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para
la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos
jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan
resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y
control de la actividad administrativa; de tal modo que la falta de esa motivación o su
insuficiencia notoria, en la medida que impiden impugnar ese acto con seria
posibilidad de criticar las bases y criterios en que se funda, integran un vicio de
anulabilidad, en cuanto dejan al interesado en situación de indefensión. Todo ello sin
perjuicio de la lógica discrepancia de quien obtiene una resolución desfavorable a sus
intereses, lo que no constituye falta de motivación, porque su derecho no alcanza a la
concesión de lo pedido, ya que nadie tiene derecho a que le den la razón, sino a que
la decisión que se le brinda ofrezca la explicación necesaria para que el administrado
pueda conocer con exactitud y precisión el contenido del acto".
Indica la parte reclamada, que la Agencia considera como hecho probado las
manifestaciones del reclamante, que aluden a que éste no prestó su consentimiento a
XFERA, pese a haber aceptado de forma expresa la oferta propuesta por ésta y
completar con sus datos personales y de su línea telefónica el formulario y contrato
relativo al servicio de telefonía de XFERA, así como efectivamente activar y hacer uso
del servicio que afirma no haber contratado durante una semana.
Señala XFERA que, no habiendo sido valoradas las pruebas aportadas, la Agencia ha
generado una manifiesta situación de indefensión para XFERA. El artículo 90.1. de la
Ley 39/2015 específicamente señala que: “En el caso de procedimientos de carácter
sancionador, además del contenido previsto en los dos artículos anteriores, la
resolución incluirá la valoración de las pruebas practicadas, en especial aquellas que
constituyan los fundamentos básicos de la decisión, fijarán los hechos y, en su caso, la
persona o personas responsables, la infracción o infracciones cometidas y la sanción
o sanciones que se imponen, o bien la declaración de no existencia de infracción o
responsabilidad”.
Expone que la Sentencia del Tribunal Constitucional 145/2004, de 13 de septiembre, el
derecho a la defensa, que proscribe cualquier indefensión, incluye la denegación
inmotivada de medios de prueba (por todas, SSTC 7/1998, de 13 de enero; 3/1999, de
26 de enero; 14/1999, de 22 de febrero; 276/2000, de 16 de noviembre, y 117/2002, de
20 de mayo). Con su actuación, que niega la existencia de una relación contractual
entre el reclamante y XFERA sin ningún razonamiento al respecto, pese a constar
acreditada su existencia, mediante el Documento nº 1 aportado al presente y pese a
haber hecho uso del servicio el propio denunciante durante una semana; la AEPD
vulnera el derecho de esta parte a utilizar los medios de prueba adecuados para la
defensa, de lo que se deriva una vulneración del artículo 24.2 de la Constitución
Española.
CUARTA. Circunstancias aplicables al caso individual, conforme al art. 83.2
RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/38
XFERA, señala que no procede la imposición de sanción alguna y expone los criterios
que han sido atendidos como agravantes por la AEPD, y considera que no concurren
las circunstancias para su consideración en relación con los hechos analizados.
Así mismo, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo
76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias
atenuantes que no han sido consideradas en la adecuada graduación de la supuesta
infracción por la Agencia:
1) En ningún momento se han tratado categorías especiales de datos (Art.83.2 g).
2) El grado de cooperación de XFERA con la AEPD con el fin de poner remedio a una
supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado
que se ha contestado en tiempo y forma a todos los requerimientos de información
solicitados por esta Agencia, en línea con la práctica habitual de esta mercantil de total
colaboración con la autoridad de protección de datos (Art. 83.2 f).
3) La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42 (Art. 83.2 j).
De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes
HECHOS PROBADOS
1. El 27/12/2022 tiene entrada en la AEPD escrito FACUA-Sevilla, en representación
de D. A.A.A., con DNI ***NIF.1 (en adelante la parte reclamante) en el que manifiesta
que la parte reclamada ha llevado a cabo una portabilidad sin su consentimiento; en
fecha 14/09/2022 recibió un mensaje de texto en el que le informaban que su línea
seria portada al día siguiente; manifiesta no haber solicitado portabilidad alguna ni
contratación de servicio alguno con la parte reclamada; la nueva tarjeta SIM fue
entregada en su domicilio a un tercero que no mostró su DNI.
2. El 14/09/2022, la parte reclamante recibió un mensaje SMS con el siguiente texto:
MASMOVIL: Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2 am
y 6 am. A partir de entonces ya puedes cambiar tu tarjeta SIM”.
3. En escrito de 19/02/2023 en respuesta a la pregunta realizada por inspector
actuante:
¿Acreditación de que se remitió al interesado un código de validación por SMS al
teléfono que se iba a portar y que fue incluida en el formulario de contratación web?
Señala la parte reclamada que:
“(…)
En lo referente al sistema de códigos de validación por SMS con el que contamos
actualmente, se encontraba en fase de desarrollo y pruebas en el momento de la
portabilidad del interesado, implementándose poco después, siendo los formularios los
mismos en el momento de la contratación del interesado, a falta solo de esa
funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento,
lo cual, como indicábamos, no es un requisito conforme la legislación vigente, sino
confirmar la posesión de la numeración que se pretende portar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/38
(…)”
4. En escrito de 19/02/2023 en respuesta a la pregunta realizada por inspector
actuante: ¿Detalle de en qué momento del proceso de contratación se considera
acreditada la identidad del cliente, así como qué documentación debe aportar en su
caso? Señala la parte reclamada que:
“En los procesos de contratación a distancia la acreditación de la identidad se lleva a
cabo en el momento de la entrega de la tarjeta SIM, ya que es el único momento
previo a la activación, en el que el titular de la numeración está presente, junto con su
DNI, a fin de acreditar su identidad.
Es el mensajero quien debe cotejar que la tarjeta SIM es entregada al destinatario del
paquete mediante la exhibición de su DNI, instrucción que aparece en el propio
albarán de la tarjeta SIM, el cual hemos aportado varias veces ya a lo largo del
procedimiento”.
5. La parte reclamada en escrito de 08/03/2023 manifiesta que “…la portabilidad fue
solicitada el 13 de septiembre de 2022 a través de (...), correspondiente al canal de
ventas web, de modo que la solicitud se llevó a cabo a través de la web de la marca
MASMOVIL…” y “…además de la línea a portar ***TELÉFONO.1, se proporciona en la
solicitud como teléfono de contacto el ***TELÉFONO.2, que es el mismo teléfono de
contacto aportado por FACUA, representantes del interesado, como medio de
contacto…”
Y en ese mismo escrito se señala que “De los primeros análisis realizados por el
departamento de fraude, consistentes en comprobar la exactitud de los datos
proporcionados, no se detectan indicios de fraude en relación con esta contratación.
Puede por tanto concluirse en primera instancia que los datos identificativos, dirección
y teléfono de contacto son realmente los del interesado, no apreciándose elementos
de suplantación de identidad”.
Por último, consta reflejado en este mismo escrito lo siguiente: “El número de DNI es
un dato que el mensajero desconoce, que debe proporcionarse por el destinatario a la
vez que exhibe su DNI y cuyo número el mensajero introduce en una PDA. El
mensajero solo puede proceder a la entrega del paquete en caso de que la PDA le
devuelva un OK tras la introducción del número del DNI proporcionado por el
destinatario. Si el DNI proporcionado no coincidiera con el del cliente, la PDA
devolvería un KO y el paquete no debería ser entregado.
6. La parte reclamada ha aportado contrato de portabilidad suscrito con la parte
reclamante; en el mismo figuran los datos de carácter personal, los relativos al
producto contratado y los datos económico (nº de cuenta); el documento no figura
firmado por la parte reclamante, como tampoco figura firmada la orden de
domiciliación de adeudo SEPA.
7. Consta aportado Contrato de Prestación de servicios, suscrito en Madrid el
15/07/2015, entre Xfera e Interbox Technology, S.L. cuyo objeto es la prestación de
servicios logísticos a cambio de una remuneración. En la cláusula 1.6, Distribución y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/38
entrega, epígrafe 1.6.4, Comprobación de la identidad del cliente y cancelación
entregas, se establece que:
“EL OPERADOR LOGISTICO deberá proceder a la comprobación la identidad del
cliente en el momento de la entrega del pedido. A tal fin, la persona designada por el
OPERADOR LOGISTICO para realizar la entrega del pedido deberá solicitar al cliente,
que previamente habrá sido informado de ello, la exhibición de un documento
acreditativo de su identidad (Documento Nacional de Identidad, Tarjeta de Extranjero o
Pasaporte).
En caso de que el destinatario del pedido no fuera capaz de exhibir un documento
acreditativo de su identidad o si el documento exhibido correspondiera a una persona
distinta de la que realizó el pedido, según los datos obrantes en el Sistema Integrado,
el OPERADOR LOGISTICO deberá cancelar la entrega y el pedido será transportado
de nuevo a la Plataforma, donde se almacenara en una ubicación habilitada al efecto.
EL OPERADOR LOGISTICO deberá proceder al registro informático de esta
circunstancia en el plazo máximo de 24 horas desde que se produzca la cancelación
de una entrega por la causa prevista en este apartado, de que esa información esté
disponible en el Sistema Integrado.
EL OPERADOR LOGISTICO asume ante YOIGO la plena disponibilidad sobre la
comprobación de la identidad de los clientes en el momento de la entrega de los
pedidos. La carga de la prueba acerca del cumplimento de esta obligación por parte
del OPERADOR LOGISTICO correrá siempre a cargo del OPERADOR LOGISTICO,
que deberá mantener indemne a YOIGO, frente a cualquier reclamación daño o
perjuicio relacionado con la entrega de un pedido sin comprobación de la identidad del
destinatario
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de LOPDGDD, es
competente para resolver este procedimiento la Presidencia de la Agencia Española
de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/38
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos
de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;
Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o
«responsable» es: la persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si
el Derecho de la Unión o de los Estados miembros determina los fines y medios del
tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.
Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena
el número de línea telefónica móvil del cliente, así como el número de identificación
personal, pero que también puede proporcionar otro tipo de datos como la información
sobre el listado telefónico o el de llamadas y mensajes. Además, a los efectos de los
artículos 4.1 y 4.2 del RGPD la formalización de nuevas altas de clientes mediante la
portabilidad de sus líneas de telefonía supone un tratamiento de datos personales.
XFERA realiza esta actividad en su condición de responsable del tratamiento dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
III
Contestación a las alegaciones al Acuerdo de Inicio
1. En primer lugar, alega la reclamada la caducidad del recurso de reposición
interpuesto por FACUA contra la resolución dictada acordando inadmitir la reclamación
presentada por la parte reclamante.
La Sección 3, Recurso potestativo de reposición, del Capítulo II, Recursos
administrativos, de la de la LPACAP establece en los artículos 124, Plazos, que:
“1. El plazo para la interposición del recurso de reposición será de un mes, si el
acto fuera expreso. Transcurrido dicho plazo, únicamente podrá interponerse recurso
contencioso-administrativo, sin perjuicio, en su caso, de la procedencia del recurso
extraordinario de revisión.
Si el acto no fuera expreso, el solicitante y otros posibles interesados podrán
interponer recurso de reposición en cualquier momento a partir del día siguiente a
aquel en que, de acuerdo con su normativa específica, se produzca el acto presunto.
2. El plazo máximo para dictar y notificar la resolución del recurso será de un
mes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/38
3. Contra la resolución de un recurso de reposición no podrá interponerse de
nuevo dicho recurso”.
Pues bien, la Resolución de la no admisión a trámite de la reclamación fue
dictada el 15/03/2023, siendo notificada en fecha 16/03/2023, según acuse que consta
en el expediente.
Posteriormente, en fecha 14/04/2023, es decir, antes del transcurso del plazo
de un mes a partir del día siguiente a la notificación de Resolución de no admisión de
la reclamación presentada, la parte reclamante interpuso recurso potestativo de
reposición correspondiente contra la Resolución dictada, habiendo sido estimado
mediante Resolución de la Directora de la Agencia el 15/09/2023 y habiendo sido
notificado en la misma fecha según consta en acuse de recibo.
Por tanto, no puede acordarse la caducidad, como indica la parte reclamada,
del recurso puesto que fue interpuesto en plazo por la representación de la parte
reclamante; cuestión distinta es que la AEPD resolviera el mismo de manera
extemporánea, si bien ya se señalaba en la Resolución del mismo que venía motivado
“a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la
parte recurrente, …”
Por consiguiente, la alegación formulada no puede ser aceptada.
2. En segundo lugar, alega la parte reclamada que le resulta llamativo que la
AEPD le abra procedimiento sancionador por ausencia de base de legitimación,
cuando el propio reclamante reconoce que no se produjo una suplantación de
identidad y que fue él quien rellenó sus datos en el sitio web de MásMóvil.
Y ciertamente sorprende la citada afirmación puesto que no es cierto que la
parte reclamante en los escritos remitidos a lo largo del procedimiento a la AEPD hay
realizado tales manifestaciones; así, en el escrito de recurso señala “que los datos y el
teléfono de contacto proporcionados en la solicitud eran los correctos y que coincidían
con los del reclamante. Sin embargo, en la presente denuncia no se ha denunciado
eso, sino que lo que se ha denunciado es que el proceso de contratación de la
empresa Masmovil a través de la página web de la empresa:
https://www.masmovil.es/tarifas-moviles, se ha podido verificar que cuando un usuario
elige la tarifa y rellena sus datos, aparece un mensaje en que se anuncia ”AHORA TE
FALTA FIRMAR CONTRATO” y que sin embargo, la realidad es que, a lo largo del
proceso de contratación, nunca hay que llegar a firmar ningún contrato”.
Por lo tanto, que los datos proporcionados en la solicitud fueran los correctos y
coincidieran con los suyos, los del reclamante, media un abismo con lo afirmado de
que el propio reclamante reconoce que fue el quien relleno los datos en el formulario
de la web.
Por el contrario, si es cierto que la parte reclamada en su escrito de 07/03/2023
manifiesta que no existió fraude, incurriendo en una suerte de voluntarismo,
manifestando que no hubo fraude: “De los primeros análisis realizados por el
departamento de fraude, consistentes en comprobar la exactitud de los datos
proporcionados, no se detectan indicios de fraude en relación con esta contratación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/38
Puede por tanto concluirse en primera instancia que los datos identificativos,
dirección y teléfono de contacto son realmente los del interesado, no apreciándose
elementos de suplantación de identidad”.
3. Alega la parte reclamada la existencia de un contrato entre las partes, por lo
que sorprende que se inicie un procedimiento sancionador existiendo una base de
legitimación de las contempladas en el artículo 6.1 del RGPD.
Sin embargo, tal alegato al igual que los anteriores debe decaer; en el caso
analizado, la infracción que se le imputa a la parte reclamada es la recogida en el
artículo 6 del RGPD, " Licitud del tratamiento", que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito, entre
los que se encuentra: " b) el tratamiento es necesario para la ejecución de un contrato
en el que el interesado es parte o para la aplicación a petición de este de medidas
precontractuales...".
En el presente caso, consta acreditado que la contratación de la portabilidad de
la línea de telefonía móvil titularidad de la parte reclamante no contaba con su
autorización ni consentimiento y así lo manifiesta en su escrito de reclamación cuando
se indica: “PRIMERO: Que siendo el Sr. A.A.A. cliente de la empresa O2, el mismo
recibió en su terminal el día 14/09/22 un mensaje SMS procedente de la empresa
MAsmovil con el siguiente texto: “MASMOVIL: Tu línea móvil ***TELÉFONO.1 será
portada el 15/09/2022 entre las 2am y 6am. A partir de entonces ya puedes cambiar tu
tarjeta SIM"
Ese mismo día, se personó sin consentimiento de nuestro socio un mensajero en su
domicilio, (donde sólo estaba su mujer) quien le solicitó a la misma el número de DNI
del Sr. A.A.A., sin ni siquiera aclarar de qué tipo de gestión se trataba ni qué tipo de
paquete iba a entregar, la cual se lo facilitó (sin ni quiera enseñárselo), pensando que
se trataba de algún otro tipo de pedido realizado a otra empresa”.
La parte reclamada, no ha aportado ningún tipo de documento, protocolo o
procedimiento que evidencie haber efectuado la verificación de la identidad del
contratante cuando fue solicitada la portabilidad de la línea de telefonía móvil
***TELÉFONO.1, ni constan evidencias de controles realizados con la finalidad de
comprobar la identidad de la persona que solicitaba la portabilidad y que quien
contrataba era quien decía ser.
Así, ante la pregunta formulada por el inspector actuante en el requerimiento de
información de fecha 05/02/2024: ¿Acreditación de que se remitió al interesado un
código de validación por SMS al teléfono que se iba a portar y que fue incluida en el
formulario de contratación web?
La parte reclamada respondía en fecha 19/02/2024:
“(…)
En lo referente al sistema de códigos de validación por SMS con el que
contamos actualmente, se encontraba en fase de desarrollo y pruebas en el momento
de la portabilidad del interesado, implementándose poco después, siendo los
formularios los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/38
mismos en el momento de la contratación del interesado, a falta solo de esa
funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento,
lo
cual, como indicábamos, no es un requisito conforme la legislación vigente, sino
confirmar la posesión de la numeración que se pretende portar.
(…)”
Por tanto, en la fecha de contratación de la portabilidad de la línea móvil
titularidad de la parte reclamante no existía método, formula o procedimiento de
validación de la identidad del contratante mediante SMS, sino que se encontraba en
fase de desarrollo e implantándose con posterioridad.
Por otra parte, el Acta notarial aportada en la que se da fe de la realización del
proceso seguido para la portabilidad de una línea de telefonía móvil, siguiendo los
pasos señalados o indicados en la página web de la compañía, acredita que la
portabilidad llevada a cabo a través de los formularios recogidos en la web de la
compañía provoca la realización de la contratación, pero no prueba la identidad de
quien lo realiza y que quien la realiza es quien dice ser.
4. La parte reclamada ha alegado una evidente vulneración del principio de
presunción de inocencia.
Artículo 53, Derechos del interesado en el procedimiento administrativo, de la
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas, establece en su apartado 2, letra b):
“(…)
2. Además de los derechos previstos en el apartado anterior, en el caso de
procedimientos administrativos de naturaleza sancionadora, los presuntos
responsables tendrán los siguientes derechos:
a) A ser notificado de los hechos que se le imputen, de las infracciones que
tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran
imponer, así como de la identidad del instructor, de la autoridad competente para
imponer la sanción y de la norma que atribuya tal competencia.
b) A la presunción de no existencia de responsabilidad administrativa mientras
no se demuestre lo contrario”.
El derecho a la presunción de inocencia rige sin excepciones en el
procedimiento administrativo sancionador –si bien con ciertas matizaciones- por
cuanto es una manifestación de la potestad punitiva del Estado y comporta, (STC
76/1990) “que la sanción esté basada en actos o medios probatorios de cargo o
incriminadores de la conducta reprochada; que la carga de la prueba corresponda a
quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier
insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el
órgano sancionador, debe traducirse en un pronunciamiento absolutorio”.
El Tribunal Supremo (STS de 26/10/1998) ha indicado que la vigencia del
principio de presunción de inocencia “no se opone a que la convicción judicial en un
proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta
prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/38
constitucionales: los indicios han de estar plenamente probados – no puede tratarse
de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual,
partiendo de los indicios probados, ha llegado a la conclusión de que el imputado
realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en
Derecho ni habría manera de determinar si el proceso deductivo es arbitrario,
irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de
inocencia al estimar que la actividad probatoria pueda entenderse de cargo.”
La prueba de cargo de la infracción del artículo 6.1 de la LOPD que se atribuye
a la parte reclamada es que no contaba con base de legitimación alguna para la
contratación de la portabilidad de la línea de telefonía móvil titularidad de la parte
reclamada, cuestión que no ha sido desvirtuada en las alegaciones formuladas al
acuerdo de inicio.
En contraste con las evidencias que acreditan la infracción la parte reclamada
no ha aportado prueba alguna que sustente la versión ofrecida en el curso del
procedimiento sancionador de que existía un contrato entre las partes.
Ni el SMS enviado por la parte reclamada conteniendo el texto: “MASMOVIL:
Tu línea móvil ***TELÉFONO.1 será portada el 15/09/2022 entre las 2 am y 6 am. A
partir de entonces ya puedes cambiar tu tarjeta SIM”, ni por supuesto el Acta notarial
aportada acreditan la identidad de la parte reclamante y que esta fuera quien llevo a
cabo la portabilidad.
Señalar en todo caso que está acreditado en la documentación que sirvió de
base a la apertura del expediente sancionador que había existido un tratamiento de
datos por la parte reclamada para el que carecía de legitimación, por lo que era a ella
a quien incumbía la carga de acreditar que exista una base legal que legitimaba el
tratamiento efectuado.
Nos remitimos a la SAN de 11/05/2001 en la que se indica que “...quien
gestiona la base, debe estar en condiciones de acreditar el consentimiento del
afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente
en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del
consentimiento de las personas en las que se basa la sanción”.
La conducta analizada, de la que es responsable la parte reclamada constituye
una infracción del artículo 6.1 del RGPD, tipificada como infracción muy grave en el
artículo 85.3.a) del RGPD.
5. Alega la parte reclamada ausencia de culpabilidad en el tratamiento llevado a
cabo.
Sin embargo, dicho argumento debe ser rechazado; habiéndose acreditado la
conducta típica, el tratamiento de los datos personales del reclamante sin acreditar
ninguna de las bases de legitimación que se establecen en el artículo 6.1 del RGPD, la
cuestión por tanto se centra en determinar si de tal conducta puede nacer
responsabilidad administrativa sancionadora.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/38
La reclamada solicita que se acuerde el archivo del procedimiento por ausencia
de culpabilidad al faltar los requisitos esenciales para imponer una sanción
administrativa.
En el ámbito del Derecho Administrativo sancionador rige el principio de
culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición
indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley
40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de
culpabilidad y dispone:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”
De conformidad con este precepto, la responsabilidad sancionadora puede
exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera
inobservancia del deber de cuidado.
El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que
las sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.
A propósito de la culpabilidad de la persona jurídica cabe citar la STC
246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las
personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente
de forma distinta a como se hace respecto de las personas físicas y añade que “Esta
construcción distinta de la imputabilidad de la autoría de la infracción a la persona
jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos
sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de
infringir las normas a las que están sometidos. Capacidad de infracción y, por ende,
reprochabilidad directa que deriva del bien jurídico protegido por la norma que se
infringe y la necesidad de que dicha protección sea realmente eficaz (…)”
La decisión de archivar un expediente sancionador podrá fundarse en la
ausencia del elemento de la culpabilidad cuando el responsable de la conducta
antijurídica hubiera obrado con toda la diligencia que le resulta exigible.
Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la
culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las
normas a las que están sometidos”. “Capacidad de infracción (…) que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz (…)”
En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD
(principio de responsabilidad proactiva), según el cual el responsable del tratamiento
será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/38
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa en materia de protección
de datos, sino también la de poder demostrar dicho cumplimiento.
El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173-
emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas
reflexiones son aplicables en la actualidad, afirma que la “esencia” de la
responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar
medidas que, en circunstancias normales, garanticen que en el contexto de las
operaciones de tratamiento se cumplen las normas en materia de protección de datos
y en tener disponibles documentos que demuestren a los interesados y a las
Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento
de las normas en materia de protección de datos.
Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre
la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la
naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de
diversa probabilidad y gravedad para los derechos y libertades de las personas físicas,
el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a
fin de garantizar y poder demostrar que el tratamiento es conforme con el presente
Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario."
Cabría señalar cual fue la diligencia observada por la parte reclamada en
relación con la conducta que debía haber observado en relación con la conducta
examinada. La respuesta es que la diligencia que debió observar era la precisa para
cumplir las obligaciones que le imponía el artículo 6.1 del RGPD y que motivó la
apertura del procedimiento sancionador.
Por tanto, de conformidad con el principio de proactividad la parte reclamada
no adoptó una actitud consciente y diligente, sin haber aportado ningún tipo de
evidencia, documento, testimonio o justificante acreditativo de haber efectuado la
verificación de la identidad del contratante cuando fue solicitada la portabilidad de la
línea de telefonía móvil ***TELÉFONO.1, sin que consten controles realizados para
verificar la identidad del contratante y que quien contrataba era quien decía ser,
evitando incidencias como las que dio lugar a la reclamación y la apertura del
procedimiento, infracción del artículo 6.1 del RGPD, actitud y comportamiento que no
ha existido en el presente caso, evidenciando ausencia de diligencia.
6. La parte reclamada ha alegado la vulneración del principio de tipicidad y la
nulidad del acto administrativo.
.
No obstante, la citada argumentación se considera irrelevante y no puede ser
aceptada; en el presente caso se atribuye a la reclamada en el procedimiento
sancionador incoado la infracción del principio de legitimación en el tratamiento de los
datos de carácter personal previsto en el artículo 6.1 del RGPD que dispone:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/38
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre
dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”
Los principios que presiden el tratamiento, establecidos en el artículo 5 del
RGPD, son de obligado cumplimiento para el responsable de un tratamiento. Es más,
el artículo 5.2. del RGPD introduce el principio de responsabilidad proactiva en virtud
del cual el responsable del tratamiento queda obligado a cumplir los principios
descritos en el artículo 5.1, y a estar en condiciones de demostrar su cumplimiento, lo
que conlleva trasladar al responsable la carga de la prueba del cumplimiento de esa
obligación.
Como ha manifestado el Gabinete Jurídico de la AEPD el RGPD ha supuesto
un cambio de paradigma al abordar la regulación del derecho a la protección de datos
personales, que pasa a fundamentarse en el principio de “responsabilidad proactiva”
(“accountability”) La exposición de motivos de la LOPDGDD dice que “la mayor
novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo
basado, fundamentalmente, en el control del cumplimiento otro que descansa en el
principio de responsabilidad activa”.
En relación con el principio de legitimación de los datos los Considerandos 39 y
40 disponen que:
(39) Todo tratamiento de datos personales debe ser lícito y leal. Para las
personas físicas debe quedar totalmente claro que se están recogiendo, utilizando,
consultando o tratando de otra manera datos personales que les conciernen, así como
la medida en que dichos datos son o serán tratados. El principio de transparencia
exige que toda información y comunicación relativa al tratamiento de dichos datos sea
fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro.
Dicho principio se refiere en particular a la información de los interesados sobre la
identidad del responsable del tratamiento y los fines del mismo y a la información
añadida para garantizar un tratamiento leal y transparente con respecto a las personas
físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos
personales que les conciernan que sean objeto de tratamiento. Las personas físicas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/38
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales, así como del modo de hacer valer sus
derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben
determinarse en el momento de su recogida. Los datos personales deben ser
adecuados, pertinentes y limitados a lo necesario para los fines para los que sean
tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su
plazo de conservación. Los datos personales solo deben tratarse si la finalidad del
tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que
los datos personales no se conservan más tiempo del necesario, el responsable del
tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben
tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman
los datos personales que sean inexactos. Los datos personales deben tratarse de un
modo que garantice una seguridad y confidencialidad adecuadas de los datos
personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y
del equipo utilizado en el tratamiento.
(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados
con el consentimiento del interesado o sobre alguna otra base legítima establecida
conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho
de la Unión o de los Estados miembros a que se refiera el presente Reglamento,
incluida la necesidad de cumplir la obligación legal aplicable al responsable del
tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o
con objeto de tomar medidas a instancia del interesado con anterioridad a la
conclusión de un contrato.
Por otra parte, hay que señalar que, en materia sancionadora, el Tribunal
Constitucional ha establecido como uno de los pilares básicos para la interpretación
del derecho Administrativo sancionador que los principios y garantías básicas
presentes en el ámbito del derecho penal son aplicables, con ciertos matices, en el
ejercicio de cualquier potestad sancionadora de la Administración.
El artículo 25.1 de la CE se refiere al principio de legalidad en materia penal.
En una interpretación amplia este precepto implicaría no solo la exigencia de ley
habilitante o de reserva de ley, sino también la traslación a la actividad administrativa
sancionadora del principio de tipicidad.
En la Ley 40/2015 recoge en los artículos 25 y 27, al tiempo que permite la
regulación.
Por su parte, el Tribunal Constitucional, ha sostenido que el principio de
tipicidad consiste en la necesidad de predeterminación normativa de las conductas
infractoras y de las sanciones correspondientes.
Por tanto, la exigencia de taxatividad en la predeterminación comporta que el
legislador conforme los preceptos legales que de ellos se desprenda con la máxima
claridad posible cuál es la conducta prohibida para garantizar la seguridad jurídica, es
decir, para que los ciudadanos puedan conocer de antemano el ámbito de lo prohibido
y prever así las consecuencias de sus acciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/38
En consecuencia, la aplicación de la doctrina del Tribunal Constitucional
expuesta sobre las exigencias del principio de tipicidad al caso examinado, permite
concluir que los hechos declarados probados son subsumibles en la infracción
apreciada en la presente Propuesta sancionadora: infracción del artículo 6.1 del
RGPD.
7. La parte reclamada ha alegado que no se han tenido en cuenta la existencia
de circunstancias que pueden constituir eximentes o atenuantes de la culpabilidad
como que la infracción hubiese sido provocada por los técnicos de Facua; que la
conducta del afectado (secretario general de la citada asociación de consumidores)
indujo a la comisión de la infracción y que se había procedido a actualizar sus
procedimientos de contratación, como demuestra el acta notarial aportada, donde se
refleja que, a 15/02/2023 (antes del inicio de cualquier investigación por esta Agencia),
dicho procedimiento ya estaba implementado.
Sin embargo, lo que parece evidente y, no desvirtuado por la parte reclamada,
es que la parte reclamante no fue quien recibió del mensajero el paquete en su
domicilio, por lo que en ningún caso pudo firmar el recibí que figura en el albarán junto
al nº de su DNI, es decir, la firma que figura no puede ser la suya salvo que la parte
reclamante tuviera el don de la ubicuidad. Por tanto, ¿A quién pertenece la firma?
En cuanto a que la infracción fuera provocada por los técnicos de Facua;
sorprende nuevamente tal afirmación ya que tal afirmación carece de elemento
probatorio alguno, además de no contemplarse dicha circunstancia en el artículo 83.2
del RGPD; la reclamada no acredita prueba alguna que lo justifique, por lo que la
misma es inconsistente y no puede aceptarse.
Como tampoco puede aceptarse que la conducta del afectado indujera a la
reclamada a la comisión de la infracción insistiendo en que fue quien incorporo los
datos en la web de la operadora sin que existan elementos de juicio que lo acrediten;
todo lo contrario, ya que no justifica que exista base legal para el tratamiento de sus
datos y, a mayor abundamiento, el contrato aportado no figura firmado como tampoco
lo está el adeudo por domiciliación.
IV
Contestación a las alegaciones a la Propuesta de Resolución
A continuación, se procede a dar respuesta a las alegaciones presentadas por XFERA,
que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y
contestadas en la propuesta de resolución, según consta reproducido en el
Fundamento de Derecho anterior.
ALEGACIONES JURÍDICO-FORMALES ÚNICA.
Caducidad del recurso de reposición.
Insiste XFERA en el plazo de caducidad del recurso de reposición. A lo expresado en
el Fundamento de Derecho anterior, respecto a esta cuestión debe añadirse que aun
cuando haya vencido el plazo para dictar la resolución de un recurso potestativo de
reposición, la AEPD siempre mantiene su obligación legal de resolver, en los términos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/38
establecidos en el artículo 21 de la LPACAP “La Administración está obligada a dictar
resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su
forma de iniciación”.
En virtud de lo anterior, en el presente caso la AEPD dictó la resolución de un recurso
potestativo de reposición una vez vencido el plazo de un mes que tenía para resolver y
notificar su decisión expresa. En este caso, por disposición del artículo 24.3. b) de la
LPACAP, la resolución expresa posterior al vencimiento del plazo se adoptará por la
Administración sin vinculación alguna al sentido negativo del silencio administrativo, lo
que quiere decir, que puede dictar una decisión estimatoria del recurso, tal como ha
ocurrido en el presente caso.
Por consiguiente, la alegación formulada no puede ser aceptada
ALEGACIONES JURÍDICO-MATERIALES
PRIMERA. Del supuesto de hecho: de la existencia de un tratamiento con
legitimación.
La parte reclamada, manifiesta que todos los datos coinciden con los del reclamante, y
que el proceso de entrega de la nueva tarjeta SIM se realizó sin ninguna incidencia en
el domicilio del reclamante y afirma XFERA que no cabe considerar concurrente la
existencia de un tratamiento de datos sin legitimación, en la medida en la que consta
acreditada la solicitud realizada por el reclamante, titular de la línea que se quiere
portar, al cumplimentar el procedimiento designado por XFERA al efecto.
A este respecto, sirve igualmente lo argumentado por esta AEPD en el punto 3 del
Fundamento de Derecho anterior, que se estima suficiente para dar respuesta a este
alegato.
Resulta oportuno, no obstante, precisar nuevamente que no es cierto lo indicado por la
reclamada en esta alegación, por cuanto no existe prueba fehaciente sobre la
identidad de la persona que realizó la petición de portabilidad, cuestión esta que no
era verificada en forma alguna por dicha entidad en el momento de la formalización de
la solicitud; y que tampoco es cierto que consta debidamente acreditada la recepción
por el reclamante de la tarjeta SIM que fue remitida a su domicilio.
Menos aún puede aceptarse la existencia de un contrato entre el reclamante y Xfera.
Según ha quedado expuesto, ningún contrato suscrito por el reclamante ha sido
aportado por la entidad reclamada, como tampoco consta firmada la orden de
domiciliación de cargos en cuenta bancaria.
En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.
SEGUNDA. De la existencia de un contrato válido y la prestación del
consentimiento por el Reclamante.
XFERA se reitera en que el reclamante aduce que no prestó válidamente el
consentimiento contractual, debido a que no llegó a firmar, en términos estrictos, un
contrato, indicando que constituye una cuestión relativa a la prestación del
consentimiento contractual, que excede al ámbito competencial de la AEPD y a la
propia normativa de protección de datos, y que en el presente caso, tienen lugar los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/38
requisitos que nuestro ordenamiento jurídico establece para entender válidamente
prestado el consentimiento en los contratos electrónicos.
XFERA vuelve a señalar el procedimiento llevado a cabo para la contratación y repite
lo ya manifestado en las alegaciones al acuerdo de inicio del presente procedimiento
sancionador, señalando en resumen que el video aportado por el propio reclamante
acredita que todos los requisitos necesarios para que tenga lugar una contratación se
cumplieron (oferta, documento contractual que rellenó el reclamante, aceptación
expresa, confirmación compra) y señala que las actuaciones posteriores del
Reclamante reafirman la prestación de su consentimiento y su voluntad de contratar
con XFERA: en el momento de la entrega, el reclamante aceptó la misma y recibió el
paquete en su domicilio.
Señala XFERA que las actuaciones del Reclamante a posteriori evidencian que sí
conocía la contratación, que deseaba ejecutar la misma y que no negaba la validez de
ésta.
Derivado de lo anterior, resulta evidente que XFERA cuenta con una base de
legitimación que justifica el tratamiento de los datos del Reclamante y que permite su
tratamiento en base a la relación contractual formalizada, no resultando posible
identificar, en la conducta de esta parte, una infracción del artículo 6.1 del RGPD.
XFERA, se reitera en las mismas alegaciones ya expuestas por lo que reiteramos lo ya
expuesto en la contestación dada a la alegación primera.
TERCERA. Vulneración de las normas generales que rigen los procedimientos
administrativos.
XFERA, señala que el principio de seguridad jurídica determina el necesario carácter
objetivo de la decisión administrativa, sin que quepa regular la decisión a una
interpretación subjetiva no tipificada, ni motivada de la Autoridad Administrativa.
Indica la parte reclamada, que la Agencia considera como hecho probado las
manifestaciones del reclamante, que aluden a que éste no prestó su consentimiento a
XFERA, pese a haber aceptado de forma expresa la oferta propuesta por ésta y
completar con sus datos personales y de su línea telefónica el formulario y contrato
relativo al servicio de telefonía de XFERA, así como efectivamente activar y hacer uso
del servicio que afirma no haber contratado durante una semana.
Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación.
Cuestión distinta es que XFERA discrepe legítimamente de dicha argumentación, pero
ello no implica la inexistencia de motivación suficiente, por lo que no cabe apreciar ni
indefensión ni falta de seguridad jurídica por la infracción señalada en la propuesta de
resolución.
Así ocurre, por ejemplo, con los aspectos antes reseñados, sobre la aceptación de la
oferta y prestación del consentimiento prestado por el reclamante, que esta AEPD no
considera acreditado, en la medida en que la reclamada no disponía de ningún
proceso de verificación de identidad que la haya permitido asegurar que la persona
que formalizó la solicitud era quien decía ser.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/38
Respecto de lo indicado anteriormente, debe señalarse que no es cierto que el
reclamante hiciera uso de la línea de telefonía móvil en cuestión. Así consta en la
información facilitada por la propia reclamada mediante su escrito de 21/11/2023, de
respuesta al requerimiento de información que le fue realizado por los servicios de
inspección de la AEPD, según la cual la citada línea estuvo activa del 15 al
23/09/2022, sin consumo (“Consumo mínimo 0,00”).
Por todo ello, no cabe acceder a la solicitud de XFERA respecto a la inexistencia de
responsabilidad.
A este respecto, interesa reiterar aquí lo expuesto en el punto 4 del Fundamento de
Derecho anterior sobre la existencia de prueba de cargo suficiente para levantar la
presunción de inocencia.
En el presente caso, resulta notoria la existencia de tipicidad, antijuridicidad y
culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los
datos personales, XFERA, quien como responsable del tratamiento de datos de la
portabilidad, que decide sobre la finalidad, contenido y uso de los datos personales
incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora
de tramitar la portabilidad, asegurándose de contar con el consentimiento de su titular,
a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha
condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o
tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes
que la legislación sobre protección de datos establece para garantizar los derechos
fundamentales y las libertades públicas de las personas físicas, cuya intensidad se
encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas
normas y la profesionalidad de los responsables o encargados, máxime cuando
operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado
también la SAN 392/2015, de 17 de noviembre.
Al respecto, resulta significativo que la operadora responsable del tratamiento no
justifique debidamente la concurrencia en su conducta de la diligencia que le era
exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no
consentido del dato de carácter personal que nos ocupa (la portabilidad no
consentida), que debe atribuirse a la conducta negligente de XFERA, utilizándose por
un tercero los datos personales del reclamante pasando las medidas de seguridad
para realizar la portabilidad.
El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos
encontramos ante un derecho fundamental a la protección de datos por el que se
garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y
sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la
dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de
datos se configura como una facultad del ciudadano para oponerse a que
determinados datos personales sean usados para fines distintos a aquel que justificó
su obtención.
Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un
derecho autónomo e independiente que consiste en un poder de disposición y de
control sobre los datos personales que faculta a la persona para decidir cuáles de esos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/38
datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este
tercero recabar, y que también permite al individuo saber quién posee esos datos
personales y para qué, pudiendo oponerse a esa posesión o uso.
En cuanto a la conducta de XFERA se considera que responde al título de culpa.
Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
o dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible ya que, con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.
Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
tratamiento se lleve a cabo por cuenta de un responsable.
Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de XFERA,
cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de
noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal
Constitucional sobre la aplicación al derecho administrativo sancionador de los
principios del orden penal, en los siguientes términos:
El Tribunal Constitucional ha declarado reiteradamente que los principios del orden
penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos
matices, al derecho administrativo sancionador, al ser ambos manifestaciones del
ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el
ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya
virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin
acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y
164/2005).
El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el
ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional
en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente
en la exigencia del elemento subjetivo de culpa, para garantizar el principio de
responsabilidad y el derecho a un procedimiento sancionador con todas las garantías
(STS de 1 de marzo de 2012, Rec 1298/2009).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/38
Ciertamente, el principio de culpabilidad, previsto en el artículo 28 de la Ley40/2015,
de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que solo pueden ser
sancionados por hechos constitutivos de infracción administrativa los responsables de
los mismos a título dedolo o culpa. Obviamente, ello supone que queda desterrada del
ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva",
comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable.
La jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias
de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional
(después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin
reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y
prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un
Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este
sentido STS de 21 de enero de 2011, Rec 598/2008).
No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de
la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.
Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23
de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".
CUARTA. Circunstancias aplicables al caso individual, conforme al art. 83.2
RGPD.
XFERA solicita que no se aprecien las siguientes circunstancias agravantes:
• La naturaleza y gravedad de la infracción, teniendo en cuenta la naturaleza, alcance
o propósito de la operación de tratamiento de que se trate (Artículo 83.2 a) del RGPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/38
• La vinculación entre la actividad empresarial de la reclamada y el tratamiento de
datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con
el artículo 76.2.b, de la LOPDGDD).
• La intencionalidad o negligencia en la infracción (Artículo 83.2 b) RGPD).
XFERA solicita que se aprecien las siguientes circunstancias atenuantes:
1) En ningún momento se han tratado categorías especiales de datos (Art.83.2 g).
2) El grado de cooperación de XFERA con la AEPD con el fin de poner remedio a una
supuesta infracción y mitigar sus posibles efectos adversos: XFERA, señala que ha
quedado acreditado que se ha contestado en tiempo y forma a todos los
requerimientos de información solicitados por esta Agencia, en línea con la práctica
habitual de esta mercantil de total colaboración con la autoridad de protección de
datos (Art. 83.2 f).
3) La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42 (Art. 83.2 j).
4) El inexistente beneficio obtenido por parte de XFERA en el supuesto de hecho que
ocupa este procedimiento (Art. 83.2 k).
Estas alegaciones se contestan en el apartado VII (Sanción de multa: determinación
del importe).
V
Obligación incumplida: infracción del artículo 6.1 del RGPD
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/38
Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que el
tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento
del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya
sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los
Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de
cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de
ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas
a instancia del interesado con anterioridad a la conclusión de un contrato.»
Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala
que:
“1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;
“11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen”.
El tratamiento de datos de carácter personal requiere la existencia de una base legal
que lo legitime.
De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen
otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con
la autorización de su titular. en particular, cuando sea necesario para la ejecución de
un contrato en el que el afectado es parte o para la aplicación, a petición de este, de
medidas precontractuales, o cuando sea necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos. El tratamiento
también se considera lícito cuando sea necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/38
En el presente caso, resulta acreditado la contratación de la portabilidad de una línea
de telefonía móvil titularidad de la parte reclamante no autorizada ni consentida. La
parte reclamante manifiesta ser cliente O2 y que el 14/09/22 recibió un mensaje SMS
en su terminal en el que figuraba el siguiente texto: “MASMOVIL: Tu línea móvil
***TELÉFONO.1 será portada el 15/09/2022 entre las 2am y 6am. A partir de entonces
ya puedes cambiar tu tarjeta SIM"; y ese mismo día, se personó un mensajero en su
domicilio, donde se encontraba su mujer, solicitándole el número del DNI de la parte
reclamante sin aclarar de qué tipo de gestión se trataba facilitándole el paquete.
La parte reclamante manifiesta que intentó paralizar la portabilidad no solicitada,
siendo informado por la parte reclamada de que ya no era posible detener la misma.
La parte reclamada en escrito de 08/03/2023 manifestaba que “De los primeros
análisis realizados por el departamento de fraude, consistentes en comprobar la
exactitud de los datos proporcionados, no se detectan indicios de fraude en relación
con esta contratación”
Sin embargo, no ha aportado ningún tipo de documentación acreditativa de haber
efectuado la verificación de la identidad del contratante cuando fue solicitada la
portabilidad de la línea de telefonía móvil ***TELÉFONO.1, sin que consten evidencias
de controles realizados para verificar la identidad del contratante y que quien
contrataba era quien decía ser.
De esta forma, ante la pregunta formulada por el inspector actuante en el
requerimiento de información de fecha 05/02/2024: ¿… en qué momento del proceso
de contratación se considera acreditada la identidad del cliente, así como qué
documentación debe aportar en su caso? La parte reclamada respondía en fecha
20/02/2024 que:
“En los procesos de contratación a distancia la acreditación de la identidad se lleva a
cabo en el momento de la entrega de la tarjeta SIM, ya que es el único momento
previo a la activación, en el que el titular de la numeración está presente, junto con su
DNI, a fin de acreditar su identidad.
Es el mensajero quien debe cotejar que la tarjeta SIM es entregada al destinatario del
paquete mediante la exhibición de su DNI, instrucción que aparece en el propio
albarán de la tarjeta SIM, el cual hemos aportado varias veces ya a lo largo del
procedimiento”.
Sin embargo, la identidad de la parte reclamante no fue verificada en el momento de la
entrega de la tarjeta SIM ya que fue entregada a otra persona que no era el
destinatario de la misma al no encontrarse presente y que de conformidad la cláusula
1.6.4, Comprobación de la identidad del cliente y cancelación entregas, del Contrato
de Prestación de servicios, suscrito con Interbox Technology, S.L. debió producirse la a
cancelación de la entrega por dicha causa
Asimismo, a la pregunta formulada por el inspector actuante en el requerimiento de
información de fecha 05/02/2024: ¿Acreditación de que se remitió al interesado un
código de validación por SMS al teléfono que se iba a portar y que fue incluida en el
formulario de contratación web?
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/38
La parte reclamada respondía en fecha 20/02/2024:
“(…)
En lo referente al sistema de códigos de validación por SMS con el que contamos
actualmente, se encontraba en fase de desarrollo y pruebas en el momento de la
portabilidad del interesado, implementándose poco después, siendo los formularios los
mismos en el momento de la contratación del interesado, a falta solo de esa
funcionalidad. La finalidad de este sistema de OTP no es revalidar el consentimiento,
lo cual, como indicábamos, no es un requisito conforme la legislación vigente, sino
confirmar la posesión de la numeración que se pretende portar.
(…)”
Por tanto, se desprende que en la fecha de contratación de la portabilidad de la línea
móvil titularidad de la parte reclamante no existía método de validación de la identidad
del contratante mediante SMS, sino que se encontraba en fase de desarrollo e
implantándose con posterioridad.
Y, a mayor abundamiento, ante la pregunta formulada por el inspector actuante en el
requerimiento de información de fecha 05/02/2024 ¿Acreditación de que se remitió al
interesado un código de validación por SMS al teléfono que se iba a portar y que fue
incluida en el formulario de contratación web?
La parte reclamada respondía en fecha 20/02/2024:
“En los procesos de contratación a distancia la acreditación de la identidad se lleva a
cabo en el momento de la entrega de la tarjeta SIM, ya que es el único momento
previo a la activación, en el que el titular de la numeración está presente, junto con su
DNI, a fin de acreditar su identidad.
Es el mensajero quien debe cotejar que la tarjeta SIM es entregada al destinatario del
paquete mediante la exhibición de su DNI, instrucción que aparece en el propio
albarán de la tarjeta SIM, el cual hemos aportado varias veces ya a lo largo del
procedimiento”.
Sin embargo, en el caso examinado la acreditación de la identidad de la parte
reclamante no se llevó en el momento de la entrega de la tarjeta SIM, puesto que, en
ese momento previo a la activación de la tarjeta, el titular de la numeración no estaba
presente, sino su mujer, por lo que no pudo acreditar su identidad.
En consecuencia, de conformidad con las evidencias de las que se dispone, se estima
que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo
constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento
2016/679.
2. Señalábamos con anterioridad que el artículo 4 del RGPD, Definiciones, en su
aparado 1, define «datos personales» como “toda información sobre una persona
física identificada o identificable («el interesado»); se considerará persona física
identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/38
A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta
SIM. Es esta una tarjeta inteligente, en formato físico y de reducidas dimensiones, que
contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado
usada para identificarse ante la red, esto es, el número de línea telefónica móvil del
cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de
la Red Digital de Servicios Integrados-), así como el número de identificación personal
del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.
La emisión de una tarjeta SIM supone el tratamiento de los datos personales de su
titular ya que se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador
(artículo 4.1) del RGPD).
Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez,
identifica a su titular.
En definitiva, tanto los datos que se tratan para emitir una tarjeta SIM como un
duplicado de la tarjeta SIM (Subscriber Identity Module) identifica de forma inequívoca
y unívoca al abonado en la red, son datos de carácter personal, debiendo su
tratamiento estar sujeto a la normativa de protección de datos.
Con relación a la entrega de la tarjeta SIM la parte reclamada señala que “es en este
momento donde debió producirse la identificación mediante DNI del interesado. A título
informativo, los dispositivos que portan los mensajeros no permiten la visualización del
DNI del receptor debiendo comprobar físicamente la correspondencia entre el número
documento proporcionado en la contratación y el exhibido, e introducir el número del
mismo en dicho dispositivo para validar la entrega. Si no se correspondiera el número
de DNI exhibido con el que se ha contratado o no se proporcionara, no se procedería
a la entrega, no se generaría albarán y la portabilidad sería cancelada”.
Además, también ha indicado la descripción del procedimiento a seguir según el
contrato, Comprobación de la identidad del cliente y cancelación de entregas,
estableciéndose que:
EL OPERADOR LOGISTICO deberá proceder a la comprobación la identidad del
cliente en el momento de la entrega del pedido. A tal fin, la persona designada por el
OPERADOR LOGISTICO para realizar la entrega del pedido deberá solicitar al cliente,
que previamente habrá sido informado de ello, la exhibición de un documento
acreditativo de su identidad (Documento Nacional de Identidad, Tarjeta de Extranjero o
Pasaporte).
En caso de que el destinatario del pedido no fuera capaz de exhibir un documento
acreditativo de su identidad o si el documento exhibido correspondiera a una persona
distinta de la que realizó el pedido, según los datos obrantes en el Sistema Integrado,
el OPERADOR LOGISTICO deberá cancelar la entrega y el pedido será transportado
de nuevo a la Plataforma, donde se almacenara en una ubicación habilitada al
efecto…” (el subrayado corresponde a la AEPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/38
La parte reclamada tiene implantado un sistema de entrega a domicilio a través de
empresa de mensajería contratada al efecto por el que se exige la acreditación de la
identidad del destinatario y en caso contrario cancelar la entrega; sin embargo, el
mensajero entregó el pedido en el que figuraba la tarjeta SIM no al solicitante sino a
persona distinta que se encontraba en el domicilio, requiriéndole para su entrega que
indicase nombre y DNI del solicitante.
Debe señalarse que la entrega de la tarjeta SIM en el domicilio del destinatario supone
una garantía de que esa posibilidad fraudulenta no se produzca, pero esa seguridad
debe ser atendida de manera fiable y previsible; de hecho, en escrito 19/02/2024 se
pudo comprobar la debilidad en el proceso de contratación puesto que no se
encontraba implantada la clave OTP para identificar al solicitante lo que no acreditaba
la identificación. Señala la parte reclamada que “En lo referente al sistema de códigos
de validación por SMS con el que contamos actualmente, se encontraba en fase de
desarrollo y pruebas en el momento de la portabilidad del interesado,
implementándose poco después, siendo los formularios los mismos en el momento de
la contratación del interesado, a falta solo de esa funcionalidad”.
En la web se debían cumplimentar los datos de contacto, e-mail, domicilio y nº de
cuenta; sin embargo, la SIM fue entregada en el domicilio del destinatario a un tercero
(su mujer) que no mostro el DNI de su marido.
En todo caso, no cabe admitir que la verificación de la identidad de la persona se
retrase al momento de entrega física de la tarjeta, cuando los datos personales ya han
sido sometidos a tratamiento.
Por lo tanto, de conformidad con las evidencias de las que se dispone, se considera
que la parte reclamada ha tratado los datos personales de la parte reclamante sin
contar con base legal alguna que lo justifique, ni que permita su tratamiento, lo cual
supone una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 a) del
RGPD.
VI
Tipificación y calificación de la infracción del artículo 6.1 del RGPD
La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/38
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.
(…)”
VII
Sanción por infracción del artículo 6.1 del RGPD
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/38
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
XFERA solicita que se aprecien las siguientes circunstancias atenuantes:
1) En ningún momento se han tratado categorías especiales de datos (Art.83.2 g).
2) El grado de cooperación de XFERA con la AEPD (Art. 83.2 f).
3) La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42 (Art. 83.2 j).
4) El inexistente beneficio obtenido por parte de XFERA en el supuesto de hecho que
ocupa este procedimiento (Art. 83.2 k).
No se admiten ninguna de las atenuantes invocadas.
. El artículo 83.2 g) del RGPD se refiere “En ningún momento se han tratado
categorías especiales de datos”.
Sobre la aplicación del artículo 83.2 g) del RGPD, cabe señalar que las Directrices
04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas
administrativas con arreglo al RGPD, en su versión 2.1, adoptadas el 24 de mayo de
2023, señalan que: “En cuanto al requisito de tener en cuenta las categorías de datos
personales afectadas (artículo 83, apartado 2, letra g) del RGPD), el RGPD destaca
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/38
claramente los tipos de datos que merecen una protección especial y, por lo tanto, una
respuesta más estricta en términos de multas.”
De lo expuesto podemos concluir que no tratar categorías especiales de datos no
supone una circunstancia atenuante, en todo caso se trataría de una circunstancia
neutra.
El artículo 83.2.f) del RGPD se refiere al “grado de cooperación con la autoridad de
control con el fin de poner remedio a la infracción y mitigar los posibles efectos
adversos de la infracción;”.
La respuesta de la reclamada al requerimiento informativo de la Subdirección de
Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa
circunstancia atenuante.
A tal efecto hay que tener en consideración las Directrices 04/2022 del Comité
Europeo de Protección de Datos sobre el cálculo de las multas administrativas con
arreglo al RGPD, en su versión 2.1, adoptadas el 24 de mayo de 2023, las cuales
señalan que “debe considerarse que el deber ordinario de cooperación es obligatorio
y, por tanto, debe considerarse neutro (y no un factor atenuante).”
Así queda confirmado en la mismas Directrices del CEPD sobre la aplicación y la
fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas el 3
de octubre de 2017, en las que se asevera que “Dicho esto, no sería apropiado tener
en cuenta por añadidura la cooperación que la ley exige; por ejemplo, en todo caso se
exige a la entidad permitir a la autoridad de control acceso a las instalaciones para
realizar auditorías o inspecciones”.
Por ello, no puede entenderse como “cooperación” aquello que es exigido o de
obligado cumplimiento por mor de la Ley para el responsable del tratamiento, como
sucedió en este caso.
XFERA alega que debe ser considerada como atenuante la adhesión por parte de la
misma al sometimiento a mecanismos de resolución de conflictos y cita,
concretamente, (i) el Código de Conducta de tratamiento de datos en la actividad
publicitaria, que no puede tomarse en consideración a los efectos pretendidos por
XFERA por cuanto su objeto no guarda relación con la infracción que se analiza; (ii) el
Código de Conducta para la resolución de controversias de protección de datos en el
sector de las comunicaciones electrónicas, de 9 de diciembre de 2024, cuya
consideración en el presente caso debe ser igualmente rechazada, dado que su
entrada en vigor tuvo lugar al pasado 17/12/2024; y (iii) Certificado de XFERA emitido
por AENOR del Sistema de Gestión de Seguridad de la Información ISO/IEC
27701:2021, de 24 de junio de 2024, que no constituye un mecanismo de certificación
aprobado con arreglo al artículo 42 del RGPD.
En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.
. Sobre la aplicación del artículo 76.2.c) de la LOPDGDD, inexistencia de beneficios
obtenidos, cabe señalar que este precepto únicamente se refiere a la obtención de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/38
beneficios como circunstancia que solo puede operar como agravante y en ningún
caso como circunstancia atenuante.
El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que la reclamada
alega.
Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de la reclamada en un supuesto
como el que nos ocupa supondría introducir una rebaja artificial en la sanción que
verdaderamente procede imponerse; la que resulta de considerar las circunstancias
del artículo 83.2 RGPD que sí deben de ser valoradas.
La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”.
En aras a graduar el importe de la sanción de multa que procede imponer a XFERA
por la infracción del artículo 6.1 del RGPD, se tiene en cuenta con carácter previo que
la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD; así como el
volumen de negocio de la parte reclamada, que en el ejercicio 2022 ascendió a 1.996
millones de euros.
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a
imponer en el presente caso por la infracción del artículo 6.1 del RGPD, tipificada en el
artículo 83.5.a) del RGPD de la que se responsabiliza a la parte reclamada, se estiman
concurrentes los siguientes factores:
- La naturaleza y gravedad de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate; los hechos puestos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/38
de manifiesto afectan a un principio básico relativo al tratamiento de los datos de
carácter personal, como es el de legitimidad, que la norma sanciona con la mayor
gravedad al tratar datos de la parte reclamante sin haya acreditado base legal alguna
que lo legitime con los perjuicios que ello puede conllevar. Hay que referirse a los
daños y perjuicios sufridos por la parte reclamante puesto que se le privó del servicio
que tenía contratado con la operadora de telefonía móvil O2, sin que hubiera
formulado deseo alguno de cambiar de operadora de telefonía ni que se le privara de
tal servicio (artículo 83.2, a) del RGPD).
- La actividad de la entidad presuntamente infractora está vinculada con el
tratamiento de datos de carácter personal tanto de clientes como de terceros. En la
actividad que desarrolla la parte reclamada es imprescindible el tratamiento de datos
de carácter personal consecuencia de su objeto, por lo que la transcendencia de la
conducta objeto de la presente reclamación es innegable. Además, el tratamiento de
datos por el que se sanciona se lleva a cabo en el desarrollo de la actividad principal
de la parte reclamada. (artículo 76.2.b) de la LOPDGDD en relación con el artículo
83.2.k).
- La intencionalidad o negligencia en la infracción; se observa una grave falta
de diligencia en la actuación de la reclamada puesto que la tarjeta SIM fue entregada
por el mensajero a un tercero, a sabiendas de que quien exhibía el DNI no era el titular
del producto. Conectado también con el grado de diligencia que el responsable del
tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le
impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si
bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente
extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las
entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de
datos de clientes y terceros han de observar un adecuado nivel de diligencia,
precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
b) del RGPD).
Con arreglo a lo que antecede se estima adecuado establecer una sanción de
200.000 euros por vulneración del artículo 6.1 del RGPD.
VIII
Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de
control se relacionan en su artículo 58.2, apartados a) a j).
Al haberse confirmado la infracción, procede acordar imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/38
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Por tanto, se consideraría procedente que la parte reclamada en el plazo de seis
meses a partir de la firmeza de la resolución sancionadora que, en todo caso, se dicte
adecuar los tratamientos objeto del presente procedimiento a la normativa aplicable.
En el texto de este acuerdo se establecen cuáles son los hechos que supuestamente
han dado lugar a la vulneración de la normativa de protección de datos, de lo que se
infiere con claridad cuáles serían las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte reclamada, pues es quien conoce plenamente su organización
y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo
cumplir con el RGPD y la LOPDGDD. No obstante, en el presente caso se señala
entre como medidas a adoptar la mejora de las ya implantadas para evitar incidentes
como el producido que garanticen el principio de legitimidad en el tratamiento de los
datos de conformidad con lo señalado en el artículo 6.1 del RGPD.
Se advierte que no atender la orden impuesta por este organismo podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a XFERA MÓVILES, S.A.U., con NIF A82528548, por una
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, una
multa de doscientos mil euros (200.000 euros).
SEGUNDO: ORDENAR a XFERA MÓVILES, S.A.U., con NIF A82528548, que en
virtud del artículo 58.2.d) del RGPD, en el plazo de seis meses desde que la presente
resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la
adopción de medidas para evitar incidentes como el producido que garanticen el
principio de legitimidad en el tratamiento de los datos.
TERCERO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.U.
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento
General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en
relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso,
indicando el NIF del sancionado y el número de procedimiento que figura en el
encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-
0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/38
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-100325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es