1/19
Expediente N.º: EXP202308186
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Como consecuencia de reclamación presentada ante la Agencia Española
de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en
adelante, la parte reclamada), apreciándose indicios de un posible incumplimiento de
las normas en el ámbito de las competencias de la Agencia Española de Protección de
Datos, se iniciaron actuaciones con número de expediente EXP202210932.
De acuerdo con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(LOPDGDD en lo sucesivo), se trasladó la reclamación al responsable o al Delegado
de Protección de Datos que en su caso hubiere designado, solicitándole que remitiera
a esta Agencia la información y documentación que se indicaba.
SEGUNDO: En fecha 28 de noviembre de 2022 se recibe contestación de la entidad
reclamada, registrada de entrada con los números REGAGE22e00054090973 y
REGAGE22e00054091729, en la que indica lo siguiente:
“La reclamación ha tenido lugar porque parece ser que la Sra. A.A.A., en distintas
fechas, ha recibido llamadas comerciales a nombre de Vodafone, procedentes de los
números llamantes (…) ***TELÉFONO.1 (…). Según la información disponible en el
Registro de Numeraciones y Operadores de Telecomunicaciones de la Comisión
Nacional de los Mercados y la Competencia (CNMC), las numeraciones indicadas
previamente pertenecen a los siguientes operadores; (…) ***TELÉFONO.1 a
Vodafone ONO; (…).
Tras realizar las comprobaciones oportunas, hemos verificado que las líneas
telefónicas de la reclamante, ***TELÉFONO.2, ***TELÉFONO.3 y ***TELÉFONO.4,
constan en la lista Robinson oficial de ADigital y en la lista Robinson interna de
Vodafone. Estas numeraciones, según el registro de la CNMC y a fecha 28 de
noviembre de 2022, pertenecen a VODAFONE ENABLER.
(…)
Hemos comprobado si los números llamantes indicados en el requerimiento de
información figuran en nuestra base de datos con los números telefónicos que usan
nuestros colaboradores para realizar llamadas de captación. A tal efecto, hemos
verificado que no consta en nuestra base de datos de números asociados a nuestros
colaboradores que realizan llamadas de captación en nombre de Vodafone. Por ello,
no parece posible relacionar la recepción de las llamadas que pone de manifiesto la
Sra. A.A.A. en su reclamación con mi representada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/19
(…)
Por otro lado, se ha creado una única base de datos con el listado de números de
teléfono que cada colaborador, distribuidor o proveedor dedicado a labores de
captación utiliza en el desempeño de estos servicios, con el fin de poder identificar
quien es el responsable de dichas llamadas. Es interés de Vodafone asegurar que
estas empresas no usan otros números que no sean de Vodafone y que todos se
encuentren claramente identificados y vinculados a la entidad que lo usa.
(…)
Asimismo, actualmente Vodafone ha dejado de trabajar con aquellas entidades que
han incumplido reiteradamente las obligaciones contractuales establecidas por
Vodafone, así como las disposiciones legales en materia de protección de datos y se
encuentra en medio de una selección de aquellos colaboradores que garanticen el
pleno cumplimiento de la normativa vigente.
TERCERA.- La Agencia solicita cierta información para los casos en los que la
llamada ha sido realizada por un tercero.
Al no constar los números llamantes indicados por la Sra. A.A.A. en su denuncia en
nuestra base de datos de números telefónicos que usan nuestros colaboradores para
realizar llamadas de captación, no se considera pertinente la aportación de
información.
CUARTA.- La Agencia solicita información acerca de la “DECISIÓN ADOPTADA A
PROPÓSITO DE LA RECLAMACIÓN”.
Se aporta, como Documento número 5, copia de la carta preparada a la Sra. A.A.A. en
la que se le informa de las gestiones realizadas por mi representada para solucionar
su reclamación. En este sentido, en la carta se informa a la reclamante de que
actualmente no constan datos vinculados con su DNI en los sistemas de Vodafone. No
obstante, sí que figuran datos vinculados con su DNI en los sistemas de Vodafone
Enabler (Lowi), al tener servicios activos con esta marca.
Asimismo, se adjunta como Documento número 6 informe interno en el que se
confirma la supresión de los datos de la reclamante en los sistemas de Vodafone.”
Se admitió a trámite la reclamación con fecha 2 de diciembre 2022.
TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de los poderes de investigación otorgados a las autoridades de
control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de
Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el
Título VII, Capítulo I, Sección segunda, de la citada LOPDGDD.
En el marco de las actuaciones de investigación, se remitieron a la parte reclamada
tres requerimientos de información, relativos a la reclamación reseñada en el apartado
primero, para que, en el plazo de diez días hábiles, presentase ante esta Agencia la
información y documentación que en ellos se señalaba. Los requerimientos fueron
registrados de salida en fechas 13 de febrero de 2023, 24 de marzo de 2023 y 12 de
mayo de 2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/19
En concreto, se requirió información hasta en tres ocasiones de lo siguiente:
- Confirmación del envío al número ***TELÉFONO.2 de la llamada realizada por la
línea ***TELÉFONO.1 el día 16 de junio de 2022 entre las horas 12:00 y 14:00.
- Confirmación del envío al número ***TELÉFONO.3 de la llamada realizada por la
línea ***TELÉFONO.1 el día 16 de junio de 2022 entre las horas 12:00 y 14:00.
- Confirmación del envío al número ***TELÉFONO.4 de la llamada realizada por la
línea ***TELÉFONO.1 el día 16 de junio de 2022 entre las horas 12:00 y 14:00.
CUARTO: Los requerimientos de información, que se notificaron conforme a las
normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron
recogidos por la parte reclamada con fechas 22 de febrero de 2023, 29 de marzo de
2023 y 16 de mayo de 2023, como consta en los acuses de recibo que obran en el
expediente.
QUINTO: A los requerimientos de información enviados a la parte reclamada
solicitándole confirmación de la recepción en los números de la reclamante de las
llamadas realizadas por la línea ***TELÉFONO.1, ésta se limitó a contestar, con
escritos registrados de entrada con fecha 08 de marzo de 2023 y número de registro
REGAGE23e00014439154 y con fecha 22 de mayo de 2023 y número de registro
REGAGE23e00032372663, que el número llamante pertenece a otra operadora desde
mayo de 2021.
La parte reclamada no ha dado a esta Agencia Española de Protección de Datos la
información requerida.
SEXTO: VODAFONE ESPAÑA, S.A.U. forma parte del grupo empresarial VODAFONE
GROUP PLC, que cuenta con un volumen de negocio anual de 45.706 millones de
euros, de acuerdo con los resultados financieros publicados por la propia entidad en
su memoria anual del año fiscal 2023.
SÉPTIMO: Con fecha 19 de septiembre de 2023, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 58.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD Reglamento (UE) 2016/679 (Reglamento General de
Protección de Datos, en adelante RGPD).
OCTAVO: El citado acuerdo de inicio fue recogido por la parte reclamada con fecha
27de septiembre de 2023, como consta en el acuse de recibo que obra en el
expediente.
NOVENO: Con fecha 27 de septiembre de 2023 se presentan escritos, registrados de
entrada con números REGAGE23e00064771967 y REGAGE23e00065138852, en los
que la parte reclamada solicita la ampliación del plazo inicialmente concedido para la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/19
formulación de alegaciones y el acceso al expediente completo del presente
procedimiento.
Esta Agencia facilitó el acceso al expediente y acordó ampliar el plazo para formular
alegaciones hasta un máximo de cinco días, computados a partir del día siguiente a
aquel en el que finalizara el primer plazo de alegaciones.
DÉCIMO: Con fecha 5 de octubre de 2023 se presenta escrito registrado de entrada
con número REGAGE23e00067574223, en el que la parte reclamada afirma que no se
facilitaron los escritos y demás investigaciones realizadas por esta Agencia respecto
de los terceros involucrados en esta investigación y solicita de nuevo acceso completo
al expediente.
Esta Agencia respondió que el expediente EXP202210932 es independiente del
presente procedimiento sancionador y que las actuaciones de investigación de dicho
expediente con respecto a terceras partes son ajenas al fundamento del presente
procedimiento sancionador, por lo que no han sido incorporadas al mismo, no
existiendo documentación adicional a la incluida en el expediente anteriormente
remitido.
UNDÉCIMO: Con fecha 19 de octubre de 2023 se presentan alegaciones al acuerdo
de inicio en escrito registrado de entrada con número REGAGE23e00070808627 en el
que la parte reclamada señala que esta Agencia le denegó el acceso a copia del
presente expediente completo.
Además, en primer lugar, la parte reclamada manifiesta que ha colaborado en todo
momento con esta Agencia y que en ningún punto ha tenido la intención de entorpecer
la investigación, dice, sino de cumplir todos los requisitos legales que, como operadora
de telecomunicaciones, le son exigibles.
Así, la parte reclamada dice que la línea llamante ***TELÉFONO.1 y las llamadas
***TELÉFONO.2, ***TELÉFONO.3 y ***TELÉFONO.4 son de su titularidad, según la
información disponible en el Registro de Numeraciones y Operadores de
Telecomunicaciones de la Comisión Nacional de los Mercados y la Competencia.
Sobre la numeración llamante ***TELÉFONO.1, la parte reclamada dice que informó a
esta Agencia de que “pertenecía a la revendedora Akra Leuka Consulting, S.L., con
CIF B54498688 (en adelante, “Akra Leuka Consulting”). Con esta información
suponemos que la Agencia remitió un requerimiento de información a Akra Leuka
Consulting, que debió de indicar que el titular final de la línea era la sociedad JESCOM
SARL AU. Esta información es inferida de la Resolución de Archivo de 20 de junio de
2023 (en adelante, la “Resolución de Archivo”), ya que la Agencia no ha aportado
estas investigaciones como parte del expediente de este procedimiento, a pesar de las
solicitudes remitidas por mi representada, limitando el acceso a la información y por
ende la capacidad de defensa de Vodafone”.
Por tanto, dice la parte reclamada, dicha línea, no era de Vodafone desde el 25 de
mayo de 2021, cuando se portó al citado revendedor. Como prueba, la parte
reclamada aporta pantallazo de esa entidad revendedora para la portabilidad fija.
También aporta captura de la página web del Registro de Operadores de la Comisión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/19
Nacional de los Mercados y la Competencia donde se observa que Akra Leuka
Consulting, S.L. está dado de alta como revendedor.
La parte reclamada continúa diciendo que, en la medida en que la numeración era del
revendedor Akra Leuka Consulting, S.L., no podía obtener la información sobre las
llamadas enviadas por la línea ***TELÉFONO.1 que esta Agencia le requería. En el
caso de que el sentido del requerimiento de esta Agencia fuese solicitarle la
confirmación de la recepción en la línea de la reclamante la llamada realizada por la
línea ***TELÉFONO.1, añade, esa información se referiría a datos de tráfico entrante,
información que está protegida especialmente, puntualiza, por la Ley de conservación
de datos.
En relación con la información de tráfico, la parte reclamada comenta que “para poder
acceder al sistema en el que se archiva esta información se necesita de una
autorización judicial en virtud de lo establecido en la Ley 25/2007, de 18 de octubre,
de conservación de datos relativos a las comunicaciones electrónicas y a las redes
públicas de comunicaciones (en adelante, “Ley de Conservación”), en concreto su
artículo 1, el deber de cesión de dichos datos de tráfico, así como de localización
sobre personas físicas y jurídicas, opera únicamente en caso de realizarse por
agentes facultados, y siempre que sean requeridos a través de la correspondiente
autorización judicial. Asimismo, el artículo 6.2 de la Ley de Conservación, enumera
cuáles son los agentes facultados, en concreto:
a) “Los miembros de las Fuerzas y Cuerpos de Seguridad, cuando desempeñen
funciones de policía judicial, de acuerdo con lo previsto en el artículo 547 de la Ley
Orgánica 6/1985, de 1 de julio, del Poder Judicial.
b) Los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, en el desarrollo de
sus competencias como policía judicial, de acuerdo con el apartado 1 del artículo 283
de la Ley de Enjuiciamiento Criminal.
c) El personal del Centro Nacional de Inteligencia en el curso de las investigaciones de
seguridad sobre personas o entidades, de acuerdo con lo previsto en la Ley 11/2002,
de 6 de mayo, reguladora del Centro Nacional de Inteligencia, y en la Ley Orgánica
2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de
Inteligencia.”
En este sentido, este razonamiento jurídico ha sido defendido por mi representada en
otras ocasiones en lo que respecta a los datos de tráfico, como, por ejemplo, en el
requerimiento con número de referencia EXP202211234, en el que se alegaba ante la
Agencia lo siguiente:
Vodafone cuenta con una herramienta para gestionar, única y exclusivamente, las
solicitudes de información recibidas mediante requerimientos judiciales o policiales
que impliquen la información de tráfico. Solamente a través de estos mecanismos
Vodafone está autorizado para poder acceder a esta información. Se debe de tener en
cuenta que el uso de este tipo de herramientas es sumamente sensible, y únicamente
se puede emplear en casos muy excepcionales, siempre y cuando venga
acompañado de un requerimiento de información judicial o policial previo al acceso a
la información solicitada.
[…]
Por todo ello, y como se manifestó en las anteriores alegaciones por mi representada,
sería de aplicación la exclusión del deber de colaboración por parte de Vodafone,
recogida en el artículo 52.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/19
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), que reserva la cesión de los datos únicamente para el cumplimiento de
las obligaciones previstas en la Ley 25/2007, de 18 de octubre, de conservación de
datos relativos a las comunicaciones electrónicas y a las redes públicas de
comunicaciones, y con previa autorización judicial solicitada por alguno de los agentes
facultados.
[…]
En este sentido, mi representada solicita a esta Agencia que, en la medida de lo
posible, justifique la razón por la cual considera que no aplica la excepción alegada.
Esta justificación será necesaria en la medida en que la herramienta empleada para
obtener la información de tráfico tiene, debido a la tipología de información que
almacena, una serie de medidas de seguridad, control y monitorización sumamente
elevadas. Tanto el sistema como las medidas implementadas son auditadas con
frecuencia y durante dichas auditorías se puede solicitar la razón de determinadas
consultas, cuyos motivos están tasados. Por lo tanto, en términos de estricta defensa,
mi representada tendría la necesidad de aportar una justificación legal de la entidad
solicitante para haber accedido al sistema, tratado datos de tráfico y comunicado dicha
información.”
En definitiva, la parte reclamada concluye que no podía facilitar los datos de tráfico
solicitados sin contar con la debida autorización judicial. Asimismo, añade, la
responsabilidad sobre las llamadas que realicen los clientes del revendedor es en todo
caso de Akra Leuka Consulting, S.L.
La parte reclamada reitera que siempre ha buscado la colaboración con esta Agencia y
que en las ocasiones en las que se le ha solicitado información de llamadas realizadas
por sus líneas, cuya información se puede confirmar revisando la facturación y sin
acceder a datos de tráfico, ha remitido dicha información a la Agencia, como, por
ejemplo, dice, en el requerimiento con número de referencia EXP202102025, cuyas
alegaciones tienen como número de registro de entrada el REGAGE22e00016210068.
En segundo lugar, la parte reclamada argumenta que en el caso de que hubiese
aportado la información requerida, contraviniendo las obligaciones de la normativa de
conservación de datos, el resultado de la investigación de la Agencia no hubiese
variado, pues, dice, los titulares de las numeraciones que ejecutaron las llamadas
objeto de la investigación no han contestado los requerimientos de esta Agencia.
En tercer lugar, la parte reclamada señala, subsidiariamente, y para el caso de que
esta Agencia entendiera que ha infringido el artículo 58.1 del RGPD, que no puede
apreciarse la existencia de culpabilidad en las infracciones imputadas y, en
consecuencia, dice, no puede imponérsele sanción alguna, según el artículo 28.1 de la
Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
Además, continúa, siguiendo con la interpretación realizada por el Tribunal Supremo,
para la exculpación no bastará la invocación de la ausencia de culpa, sino que será
preciso que se haya empleado la diligencia que era exigible por quien aduce su
inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998
[RJ 1998\601]). En este sentido, la parte reclamada afirma haber actuado en todo
momento en colaboración con esta Agencia cumpliendo con la diligencia debida que le
es exigible, no pudiendo imputársele, dice, culpabilidad alguna.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/19
En cuarto lugar, la parte reclamada indica, subsidiariamente, y para el caso de que
esta Agencia entienda que ha existido infracción y deba imponérsele una sanción, que
la misma deberá modularse a la baja atendiendo a circunstancias atenuantes. Así,
reitera, actuó en cumplimiento de la Ley de Conservación. Además, agrega, su grado
de cooperación durante las actuaciones previas de inspección fue alto, como prueban
todas las contestaciones realizadas a los requerimientos de información y la
información proporcionada que llevó, añade, a que esta Agencia haya podido llegar a
identificar a los responsables de la llamadas, habiendo finalizado la investigación,
asevera, por motivos ajenos a su participación de en la investigación. Finalmente, la
parte reclamada dice que no ha obtenido ningún tipo de beneficio o evitado pérdidas a
raíz de la supuesta falta de colaboración.
En virtud de todo lo anterior, la parte reclamada solicita el archivo de las presentes
actuaciones por no haberse cometido, dice, ninguna de las infracciones imputadas y,
subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía
mínima.
DUODÉCIMO: Con fecha 11 de enero de 2024 se formuló propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
sancione a la parte reclamada, por una infracción del Artículo 58.1 del RGPD, tipificada
en el Artículo 83.5 del RGPD, con una multa de 200.000,00 €. Esta propuesta de
resolución fue notificada fehacientemente a la parte reclamada con fecha 17 de enero
de 2024, como consta en el acuse de recibo que obra en el expediente.
DECIMOTERCERO: Con fechas 18, 23 y 26 de enero de 2024, se registran de
entrada, con números REGAGE24e00004378839, REGAGE24e00005285077 y
REGAGE24e00006323677, escritos en los que la parte reclamada solicita la
ampliación del plazo inicialmente concedido en el tiempo máximo permitido por la
legislación vigente, al amparo del artículo 32 de la LPACAP.
Esta Agencia acordó ampliar el plazo para formular alegaciones hasta un máximo de
cinco días, computados a partir del día siguiente a aquel en el que finalizara el primer
plazo de alegaciones.
DECIMOCUARTO: Con fecha 7 de febrero de 2024 y número de registro de entrada
REGAGE24e00009843778, la parte reclamada presenta escrito de alegaciones a la
Propuesta de resolución, en el que manifiesta, “sin perjuicio de que nos remitamos a lo
expuesto en las alegaciones presentadas ante el Acuerdo de Inicio”, lo siguiente.
En la Alegación Primera, la parte reclamada vuelve a exponer que no ha infringido el
artículo 58.1 del RGPD, que ha colaborado en todo momento con la Agencia y que en
ningún punto, dice, ha tenido la intención de entorpecer la investigación, sino de
cumplir todos los requisitos legales que, como operadora de telecomunicaciones, le
son exigibles.
En lo que respecta al deber de colaboración, la parte reclamada no está de acuerdo
con la afirmación de esta Agencia de que en el presente caso no resulta de aplicación
la exclusión al deber de colaboración impuesto por el artículo 52 de la LOPDGDD,
puesto que no puede aceptarse que la mera confirmación de que se ha realizado una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/19
llamada específica entre dos números pueda considerarse como datos de tráfico
tratados “exclusivamente” para dar cumplimiento a las obligaciones previstas en la ley
25/2007. Al contrario, la parte reclamada entiende que “esta información se encuentra
protegida para ofrecérsela única y exclusivamente a los agentes facultados mediante
las solicitudes de información recibidas a través de requerimientos judiciales o
policiales que impliquen la información de tráfico.
En consecuencia, Vodafone no podría facilitar los datos solicitados por la Agencia sin,
como resultado, acceder a dichos datos de tráfico. Asimismo, y dicho sea en términos
de estricta defensa, la responsabilidad sobre las llamadas que realicen los clientes del
revendedor es en todo caso de Akra Leuka Consulting, pudiendo este confirmar dicha
información, no de Vodafone.
Por otro lado, la Agencia, en la Propuesta de Resolución, indica que “[…] el artículo 52
de la LOPDGDD dispone expresamente dentro del deber de colaboración que, en el
supuesto de que la conducta se hubiera realizado mediante la utilización de un
servicio de telefonía fija o móvil, debe suministrarse información sobre “3.º La mera
confirmación de que se ha realizado una llamada específica entre dos números en una
determinada fecha y hora”. […] no se le estaba pidiendo la cesión de datos concretos,
sino la mera confirmación”.
En este sentido, mi representada no niega la validez de este artículo, sino que lo
analiza de la mano de la Ley 25/2007, de 18 de octubre, de conservación de datos (en
adelante, la “Ley de Conservación de Datos”). Como resultado, en ciertos casos, en
los que no implique el acceso a datos de tráfico, se ha facilitado a la Agencia
confirmación de realización de llamadas, como, por ejemplo, y tal y como se indicó en
las alegaciones al Acuerdo de Inicio, en el requerimiento con número de referencia
EXP202102025, cuyas alegaciones tienen como número de registro de entrada el
REGAGE22e00016210068.
En definitiva, Vodafone no ha infringido el artículo 58.1 del RGPD y ha ofrecido a la
Agencia la información disponible en sus sistemas y que está habilitada a comunicar
en cumplimiento de las múltiples obligaciones legales que le son exigibles como
operador de comunicaciones.”
En la Alegación Segunda, la parte reclamada vuelve a argumentar que, en el caso de
que hubiese aportado la información requerida, contraviniendo, dice, las obligaciones
de la normativa de conservación de datos, el resultado de la investigación de no
hubiese variado, pues los titulares de las numeraciones que ejecutaron las llamadas
objeto de la investigación no han contestado los requerimientos de esta Agencia.
En este sentido, la parte reclamada apunta que “no se ha querido cuestionar la
capacidad de la Agencia de determinar la necesidad de la información requerida, sino
poner en valor que la gravedad de la potencial infracción, en el caso de que se
considere como tal, se tendría que ver reducida, pues la Agencia, incluso aportando mi
representada la información requerida, no hubiese podido confirmar el motivo de las
mismas, no pudiendo concluir el motivo original de este proceso, que es la realización
de comunicaciones comerciales a la línea de la Sra. A.A.A., ni sancionar o apercibir a
los responsables de las mismas al encontrarse fuera del ámbito de competencia
territorial de la AEPD”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/19
En la Alegación Tercera, la parte reclamada afirma que ha implementado sistemas de
monitorización y auditoría para controlar la actividad no autorizada, ilegal o fraudulenta
en lo que respecta a llamadas comerciales.
Según la parte reclamada, “este procedimiento trae causa en una serie de llamadas
comerciales que reclama la Sra. A.A.A., llamadas que no estaban autorizadas por
parte de Vodafone y que se ejecutan de forma ilegitima o fraudulenta.
En este sentido, mi representada ha implementado numerosos controles para la
monitorización y auditoría de estas prácticas. Entre otras medidas, Vodafone ha
implementado el sistema de enrutamiento, las auditorías sobre las ventas, etc.,
medidas que han sido puestas en conocimiento de esta Agencia en el transcurso de
otros procedimientos. No obstante, en este caso se quiere destacar lo relativo al
“Código Deontológico en las Operaciones de Contacto Comercial” (en adelante, el
“Código de Conducta”), firmado por las principales operadoras del mercado español el
19 de julio de 2021. En este Código de Conducta se establece que los firmantes
acuerdan la colaboración mutua para la investigación y adoptación de medidas
correspondientes en los casos en los que se identifique una práctica irregular, como es
el caso analizado en este procedimiento. Esta medida demuestra la diligencia
implementada por mi representada para controlar, monitorizar e implementar las
medidas que sean necesarias para minimizar estas prácticas.”
En la Alegación Cuarta, la parte reclamada manifiesta nuevamente que,
“Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha
infringido el artículo 58.1 del RGPD, no puede apreciarse la existencia de culpabilidad
en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a
la misma sanción alguna.”
Contra la desestimación por parte de esta Agencia de la falta de culpabilidad al
considerar que la parte reclamada no contestó de forma adecuada a los
requerimientos efectuados, quedando de esta forma en entredicho la diligencia
empleada, la parte reclamada alega que “sí que contestó de forma adecuada a los
requerimientos de información, cumpliendo la normativa que considera aplicable, en
concreto, la Ley de Conservación de Datos. Asimismo, ha actuado con la diligencia
debida, no sólo cumpliendo con la normativa aplicable, pero también ha implementado
medidas para controlar las llamadas no autorizadas ejecutadas por terceros ajenos a
mi representada, como, por ejemplo, a través de los procesos de colaboración del
Código de Conducta.
En consecuencia, Vodafone ha actuado en todo momento cumpliendo con la diligencia
debida que le es exigible, no pudiendo imputársele culpabilidad alguna.”
En la Alegación Quinta, la parte reclamada apunta que, “Subsidiariamente, y para el
caso de que la Agencia entienda que ha existido infracción y deba imponerse una
sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias
agravantes y atenuantes.”
Sobre la agravante aplicada de negligencia en la infracción, la parte reclamada se
reitera en que actuó en cumplimiento de la Ley de Conservación. Así, dice que “no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/19
podría facilitar los datos de tráfico solicitados, sin contar con la debida autorización
judicial o policial. No debe entenderse que la motivación de Vodafone en la
denegación de dicha información responde a un ánimo doloso e intencionado con el
fin de dificultar la investigación de la Agencia pues Vodafone ha colaborado en todo
momento en esta investigación contestando a toda la información posible y, además,
se debe tener en cuenta que la información que se reclama a mi representada no
cambiaría los resultados de la investigación, pues, tal y como indica la AEPD en su
resolución de archivo, no clarificaría si el motivo de las llamadas fue comercial para
poder concluir infracción de la LGTel o RGPD.”
La parte reclamada también insiste en que esta Agencia no aplicó a la hora de evaluar
la sanción “El grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. En
este sentido, reitera que su grado de cooperación durante las actuaciones previas de
inspección fue alto, como prueban todas las contestaciones realizadas a los
requerimientos de información y la información proporcionada que llevó, dice, a que
esta Agencia haya podido llegar a identificar a los responsables de la llamadas,
habiendo finalizado la investigación, afirma, por motivos ajenos a su participación de
en la investigación. Además, la parte reclamada dice que, “con el fin de poner remedio
a este tipo de infracciones mi representada ha aplicado medidas de monitorización y
auditoría para controlar la actividad no autorizada, ilegal o fraudulenta en lo que
respecta a llamadas comerciales.”
En virtud de todo lo anterior, la parte reclamada solicita que se acuerde el
sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no
haberse cometido ninguna de las infracciones imputadas y que, subsidiariamente, en
caso de imponerse alguna sanción, se imponga en cuantía mínima, a la luz de las
circunstancias atenuantes indicadas y la adecuada delimitación sobre la
responsabilidad en el tratamiento de datos personales de los afectados intervinientes.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Los requerimientos de información indicados en los antecedentes tercero y
cuarto fueron notificados a la parte reclamada con arreglo a lo dispuesto en la LPACAP
y recogidos según consta acreditado en los acuses de recibo que obran en el
expediente.
SEGUNDO: A los requerimientos solicitándole confirmación de la recepción en los
números de la reclamante de las llamadas realizadas por la línea ***TELÉFONO.1, la
parte reclamada se limitó a contestar que el número llamante pertenecía a otra
operadora desde mayo de 2021, a pesar de tener la información solicitada al ser
VODAFONE ESPAÑA, S.A.U. la entidad que opera los números de la reclamante a
través de una de sus marcas (LOWI).
TERCERO: La notificación del acuerdo de inicio del presente procedimiento
sancionador fue recogida por la parte reclamada con fecha 27 de septiembre de 2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/19
CUARTO: La parte reclamada ha presentado alegaciones al acuerdo de inicio de este
procedimiento sancionador descritas en el antecedente undécimo.
QUINTO: La notificación de la propuesta de resolución del presente procedimiento
sancionador fue recogida por la parte reclamada con fecha 17 de enero de 2024.
SEXTO: La parte reclamada ha presentado alegaciones a la propuesta de resolución
de este procedimiento sancionador recogidas en el antecedente decimocuarto.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la
Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Alegaciones al acuerdo de inicio
En respuesta a las alegaciones presentadas por la parte reclamada se debe señalar lo
siguiente.
En cuanto a la afirmación de que esta Agencia denegó a la parte reclamada el acceso
al presente expediente completo y ello limitó su capacidad de defensa, como ya se
indicó, el expediente del presente procedimiento fue remitido completo y en forma. Los
escritos y demás investigaciones realizadas respecto de los terceros involucrados en
la investigación que la parte reclamada solicitaba son ajenos al fundamento del
presente procedimiento sancionador y forman parte de otro expediente, el número
EXP202210932, independiente de éste. Como se desprende de las alegaciones
presentadas, la parte reclamada era conocedora de la información que se le requirió y
cuya falta de aportación es el origen del presente procedimiento sancionador, y ha
tenido ocasión de presentar cuantas alegaciones y pruebas ha considerado
convenientes para su defensa, no produciéndose por tanto la referida indefensión.
Sobre la afirmación de la parte reclamada de que, en el caso de que hubiese aportado
la información requerida, el resultado de la investigación de la Agencia no hubiese
variado, cabe señalar que el tipo infractor se completa con la falta de respuesta a la
información requerida y no se condiciona a las eventuales consecuencias de su falta
de observación, y que corresponde a esta Agencia valorar la necesidad para la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/19
investigación de la información requerida en el momento en que se realiza. Lo
contrario supondría aceptar que no es posible exigir el cumplimiento de la obligación
legal de atender los requerimientos de información de esta Agencia en tanto no se
finalicen las actuaciones y se determine cuál es su resultado.
Respecto a la argumentación de la parte reclamada de que, en aplicación de la Ley
25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones
electrónicas y a las redes públicas de comunicaciones, no podía facilitar a esta
Agencia los datos solicitados sin contar con la debida autorización judicial, se señala
que en el presente caso no resulta de aplicación la referida exclusión al deber de
colaboración impuesto por el artículo 52 de la LOPDGDD, puesto que no puede
aceptarse que la mera confirmación de que se ha realizado una llamada específica
entre dos números pueda considerarse como datos de tráfico tratados
“exclusivamente” para dar cumplimiento a las obligaciones previstas en la ley 25/2007.
En este sentido, el artículo 52 de la LOPDGDD dispone expresamente dentro del
deber de colaboración que, en el supuesto de que la conducta se hubiera realizado
mediante la utilización de un servicio de telefonía fija o móvil, debe suministrarse
información sobre “3.º La mera confirmación de que se ha realizado una llamada
específica entre dos números en una determinada fecha y hora”.
En el supuesto ahora controvertido no se le estaba pidiendo la cesión de datos
concretos, sino la mera confirmación de una información que ya tenía la AEPD y que
transmitió a VDF a los efectos de su confirmación, pues la AEPD era conocedora del
número llamante, así como de la hora y fecha concreta en que dicha llamada se
produjo al número del reclamante.
Y todo ello amén de que esta confirmación de información se encuentra expresamente
prevista y determinada por el legislador dentro del deber de colaboración del
mencionado artículo 52 de la LOPDGDD.
En cuanto a que no puede apreciarse la existencia de culpabilidad, se recuerda que,
ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo
podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”
No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011,
Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal
Constitucional viene declarando que no cabe en el ámbito sancionador administrativo
la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia
164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer
sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título
de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las
personas jurídicas no se corresponde con las formas de culpabilidad dolosas o
imprudentes que son imputables a la conducta humana.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/19
Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque
haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del
Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley
48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de
las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.”
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005,
y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la
culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en
orden a la asunción de la correspondiente carga, que ordinariamente los elementos
volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta
típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era
exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente
a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".
Por consiguiente, se desestima la falta de culpabilidad ya que la parte reclamada no
contestó de forma adecuada a los requerimientos efectuados por esta Agencia,
quedando de esta forma en entredicho la diligencia empleada.
Finalmente, la ausencia de beneficios no puede considerarse un atenuante de acuerdo
con la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por
otro lado, que debe apreciarse como atenuante la no comisión de una infracción
anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta
para la imposición de la multa administrativa, entre otras, la circunstancia "e) toda
infracción anterior cometida por el responsable o el encargado del tratamiento". Se
trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para
su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni
permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto
enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.c) de la
LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su
aplicación como atenuante.”
Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto
en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se impondrán
teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.
Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas,
proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/19
admitir la ausencia de beneficios como una atenuante, no solo es contrario a los
presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a
lo establecido en el artículo 83.2.k) del RGPD y a los principios señalados.
Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que
inciden efectivamente en su cuantificación, reportando al responsable un beneficio al
que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede
llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo
que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho
infractor.
En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo
establecido en su artículo 83.2, se imponen en función de las circunstancias de cada
caso individual y no se estima que la ausencia de beneficios sea un factor de
graduación adecuado y determinante para valorar la gravedad de la conducta
infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para
determinar el grado de antijuricidad y de culpabilidad presentes en la concreta
actuación infractora podrá considerarse como una atenuante, en aplicación del artículo
83.2.k) del RGPD, que se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso”.
Por todo ello, no cabe acceder a la solicitud de la parte reclamada respecto al archivo
del presente expediente sancionador, así como tampoco a la minoración de la sanción
inicialmente propuesta en virtud de las atenuantes señaladas.
III
Alegaciones a la Propuesta de resolución
En respuesta a las alegaciones a la Propuesta de resolución del presente expediente
presentadas por la parte reclamada se debe señalar lo siguiente.
Las alegaciones presentadas contra la Propuesta de resolución de este expediente
reproducen en buena parte los mismos argumentos esgrimidos contra el Acuerdo de
inicio y que, por tanto, ya han sido contestados por esta Agencia en el anterior
fundamento de derecho, por lo que, en su caso, se harán las correspondientes
remisiones al mismo.
Respecto a la Alegación Primera, en cuanto al desacuerdo mostrado por la parte
reclamada respecto a la afirmación de esta Agencia de que en el presente caso no
resulta de aplicación la exclusión al deber de colaboración impuesto por el artículo 52
de la LOPDGDD, se remite a lo señalado en el fundamento de derecho anterior, a lo
que es pertinente añadir lo siguiente.
Cuando se le formuló el requerimiento en el marco de la investigación, la parte
reclamada motivó su falta de respuesta a la información solicitada en que dicha línea
pertenecía desde mayo de 2021 a otra operadora.
Así, en aquel momento, la parte reclamada no argumentó de contrario, ni dijo en su
respuesta que no podía dar la información en atención a la Ley 25/2007,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/19
argumentación que realiza en el presente procedimiento sancionador. Es decir, cuando
la vinculación a sus propios actos le es desfavorable, al abrirse un procedimiento
sancionador. Si realmente el motivo por el que según la parte reclamada no podía dar
la información se debe a lo referente a la Ley 25/2007, no resulta congruente que diera
otra respuesta distinta, que no respondía a lo preguntado en el requerimiento. Todo
ello pone de manifiesto falta de voluntad de colaboración para proporcionar la mera
confirmación de la existencia de la llamada.
Con relación a la Alegación Segunda, en respuesta a la argumentación de la parte
reclamada de que, en el caso de que hubiese aportado la información requerida, el
resultado de la investigación de no hubiese variado, por lo que la gravedad de la
potencial infracción, dice, en el caso de que se considere como tal, se tendría que ver
reducida, con respecto a lo ya explicado en el fundamento de derecho anterior, cabe
incidir en que el motivo de este procedimiento sancionador no es la realización de
comunicaciones comerciales a la línea de la Sra. A.A.A.. En concreto, este
procedimiento se inicia por la presunta infracción del artículo 58.1 del RGPD, tipificada
en el artículo 83.5 del RGPD, por no proporcionarse la información requerida para el
ejercicio de las funciones de esta Agencia. Por tanto, como ya se indicó, el tipo
infractor se completa con la falta de respuesta a la información requerida y no se
condiciona a las eventuales consecuencias de su falta de observación.
Por lo que se refiere a la Alegación Tercera, el hecho de que la parte reclamada
hubiera implementado sistemas de monitorización y auditoría para controlar la
actividad no autorizada, ilegal o fraudulenta en lo que respecta a llamadas
comerciales, así como el que haya suscrito el Código Deontológico en las Operaciones
de Contacto Comercial, no tiene relación con la infracción que en este procedimiento
se está sustanciando, que no es la realización de llamadas comerciales, sino el no
facilitar acceso a la información requerida en incumplimiento del artículo 58.1 del
RGPD, por lo que no puede ser tenido en cuenta como atenuante.
Sobre la Alegación Cuarta, en cuanto a la opinión de la parte reclamada de que no
puede apreciarse la existencia de culpabilidad puesto que sí que contestó, dice, de
forma adecuada a los requerimientos de información, cumpliendo la normativa que
considera aplicable, en concreto, la Ley de Conservación de Datos, cabe la remisión a
lo ya expuesto en el fundamento de derecho anterior.
En cuanto a la Alegación Quinta, sobre las circunstancias agravantes y atenuantes
referidas por la parte reclamada, se indica lo siguiente.
Respecto a la agravante aplicada de negligencia en la infracción, se remite a lo
señalado en el fundamento de derecho anterior.
En relación a que esta Agencia no aplicara a la hora de evaluar la sanción “El grado
de cooperación con la autoridad de control con el fin de poner remedio a la infracción y
mitigar los posibles efectos adversos de la infracción”, a lo alegado al Acuerdo de
inicio, la parte reclamada añade que, “con el fin de poner remedio a este tipo de
infracciones mi representada ha aplicado medidas de monitorización y auditoría para
controlar la actividad no autorizada, ilegal o fraudulenta en lo que respecta a llamadas
comerciales.” Al respecto, se reitera que la infracción por la que se instruye este
procedimiento, como se señala claramente en los fundamentos dedicados a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/19
obligación incumplida, tipificación y sanción, es la de no proporcionar el acceso a la
información requerida y no la realización de llamadas comerciales. Por tanto, las
citadas medidas no guardan relación con la posible mitigación de los efectos de la
infracción. A ello se debe añadir que no puede valorarse como posible atenuante una
cooperación consistente en aplicar las medidas necesarias para controlar una
actividad ilícita, puesto que esto es un deber impuesto al responsable del tratamiento,
si cabe más acentuado aún en el marco del principio de responsabilidad proactiva que
ha desarrollado el RGPD.
Por todo lo expuesto, no cabe acceder a la solicitud de la parte reclamada respecto al
archivo del presente expediente sancionador, así como tampoco a la minoración de la
sanción inicialmente propuesta en virtud de las atenuantes señaladas.
IV
Obligación incumplida
A tenor de los hechos expuestos, se considera que la parte reclamada no ha
procurado a la Agencia Española de Protección de Datos la información que le
requirió.
La entidad reclamada no contestó a los requerimientos efectuados por esta Agencia
con el fin de que confirmara la recepción en los números de la reclamante de las
llamadas realizadas, limitándose a contestar que el número llamante pertenecía a otra
operadora, en vez de responder a lo cuestionado que era si se habían recibido las
llamadas o no, información que debe ser conocida al ser VODAFONE ESPAÑA,
S.A.U. la entidad que opera los números de la reclamante a través de una de sus
marcas (LOWI).
Con la señalada conducta de la parte reclamada, la potestad de investigación que el
artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD,
se ha visto obstaculizada.
Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman
constitutivos de una infracción, imputable a la parte reclamada, por vulneración del
artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre
sus poderes de investigación:
“a) ordenar al responsable y al encargado del tratamiento y, en su caso, al
representante del responsable o del encargado, que faciliten cualquier información
que requiera para el desempeño de sus funciones; b) llevar a cabo investigaciones en
forma de auditorías de protección de datos; c) llevar a cabo una revisión de las
certificaciones expedidas en virtud del artículo 42, apartado 7; d) notificar al
responsable o al encargado del tratamiento las presuntas infracciones del presente
Reglamento; e) obtener del responsable y del encargado del tratamiento el acceso a
todos los datos personales y a toda la información necesaria para el ejercicio de sus
funciones; f) obtener el acceso a todos los locales del responsable y del encargado del
tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de
conformidad con el Derecho procesal de la Unión o de los Estados miembros.”
V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/19
Tipificación y calificación de la infracción
Los hechos expuestos se estiman constitutivos de una infracción, imputable a la parte
reclamada.
Esta infracción se tipifica en el artículo 83.5.e) del RGPD, que considera como tal: “no
facilitar acceso en incumplimiento del artículo 58, apartado 1.”
En el mismo artículo se establece que esta infracción puede ser sancionada con multa
de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una
empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía.
A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de
muy grave la siguiente conducta:
“ñ) No facilitar el acceso del personal de la autoridad de protección de datos
competente a los datos personales, información, locales, equipos y medios de
tratamiento que sean requeridos por la autoridad de protección de datos para el
ejercicio de sus poderes de investigación.”
VI
Sanción imputada
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En
consecuencia, se deberá graduar la sanción a imponer de acuerdo con los criterios
que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la
LOPDGDD, respecto al apartado k) del citado artículo 83.2 RGPD.
A tenor de los hechos expuestos, la sanción que correspondería imponer es de multa
administrativa por un importe de 200.000,00 euros, por la supuesta infracción del
artículo 58.1 del RGPD, tipificada en el artículo 83.5 de dicha norma.
Se aprecia que no resulta de aplicación ningún atenuante y se han considerado como
agravantes los siguientes hechos:
- Art. 83.2 b) RGPD: la intencionalidad o negligencia en la infracción.
La entidad reclamada no proporcionó la información requerida en los requerimientos
de esta Agencia, aduciendo una causa que no justifica la negativa a proporcionarla. La
confirmación de la recepción de las llamadas es un hecho que debe ser conocido por
la reclamada al ser VODAFONE ENABLER (LOWI) operadora de los números de la
reclamante. La orden para proporcionar la información fue reiterada sin que se
respondiera en ninguna de las dos ocasiones a la cuestión planteada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/19
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una
infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una
multa de 200.000,00 euros (DOSCIENTOS MIL euros).
SEGUNDO: ORDENAR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, que, de
acuerdo con el poder de investigación dispuesto en el artículo 58.1.a) del RGPD, se
facilite, en el plazo de diez días hábiles desde que la presente resolución sea firme y
ejecutiva, la información requerida en los requerimientos realizados en el marco de las
actuaciones con número de expediente EXP202210932 y a los que se ha hecho
referencia en los antecedentes de esta resolución.
Se advierte que no atender los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U..
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento
General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en
relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso,
indicando el NIF del sancionado y el número de procedimiento que figura en el
encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-
0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/19
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es