1/23
Expediente N.º: EXP202409001
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 17/06/2024 se interpuso reclamación ante la Agencia Española
de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U.
con NIF A80907397 (en adelante, VF). Los motivos en que basa la reclamación son
los siguientes:
La parte reclamante manifiesta la recepción de comunicaciones electrónicas
comerciales de VF de la que es cliente, por correo electrónico y por SMS, a pesar de
que hizo constar su deseo de no recibirlas.
Junto con el escrito de reclamación aporta copia de dos comunicaciones recibidas por
correo electrónico, de fechas 22/05/2024 y 17/06/2024 respectivamente, acompañadas
de sus cabeceras, añadiendo que, en ninguna de ellas figura procedimiento para que
los destinatarios puedan oponerse o revocar el consentimiento prestado para el
tratamiento de sus datos con fines comerciales.
Asimismo, adjunta correo electrónico dirigido a la dirección del DPD de la parte
reclamada, de fecha 22/05/2024, comunicando las dos circunstancias anteriores.
Con fecha 19/06/2024 la parte reclamante remite como documentación adicional
relativa a su reclamación un correo electrónico de VF, de 16/06/2024, con una nueva
comunicación comercial con las mismas características de los anteriores.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a VF, para que procediese
a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones
llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), a través del servicio de Dirección Electrónica Habilitada Única
(DEHÚ). La notificación fue puesta a disposición con fecha 19/06/2024 y la fecha de
acceso a su contenido fue el 25/06/2024, como consta en el certificado que obra en el
expediente.
TERCERO: Con fecha 23/07/2024 se recibió respuesta al traslado de A.A.A.,
Delegado/a de Protección de Datos (en adelante DPD) de VF, en la que consta lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/23
- Comunica que los datos de la parte reclamante se encuentran correctamente
incluidos en la lista Robinson interna de VF y adjunta pantallazo de la ficha de
cliente de la parte reclamante con esa información. Indica no obstante que
“debido a un error puntual y aislado en el momento del filtrado de la campaña
publicitaria saliente no se excluyeron los datos (…) lo que dio lugar a que
recibiese dichas comunicaciones”.
- Afirma que a VF no le consta haber recibido en la dirección de su DPO el
correo electrónico de 22/05/2024 mencionado por la parte reclamante y que ha
procedido a emitir una carta al reclamante (que se adjunta) donde se le informa
de las gestiones llevadas a cabo.
- Señala que “todas las comunicaciones comerciales enviadas por parte de
Vodafone incorporan un enlace con el fin de que los interesados tramiten su
derecho de oposición a la recepción de las mismas” y adjunta captura de
pantalla de algunos ejemplos de comunicaciones comerciales (si bien no de las
fechas que refiere el reclamante).
CUARTO: Con fecha 17/09/2024, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
QUINTO: Con posterioridad, la parte reclamante presentó la siguiente documentación
adicional en relación con su reclamación:
- Con fecha 23/07/2024, comunica haber recibido la carta mencionada en la
respuesta al traslado de VF, pero cuestiona que se deba a un error puntual,
puesto que ha recibido un nuevo correo electrónico con fecha 16/07/2024, que
adjunta.
- Con fecha 20/08/2024 remite pantallazo de dos nuevos envíos de información
comercial de VF, en ese caso por SMS, en los que no consta fecha de
recepción.
- Con fecha 03/09/2024 remite pantallazo de dos nuevas comunicaciones
comerciales de VF por SMS, en los que no consta fecha de recepción.
- Con fecha 19/10/2024 envía pantallazo de un nuevo SMS de información
comercial, de fecha 08/09/2024.
SEXTO: Con fecha 03/12/2024, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta
infracción del artículo 21.1 de la LSSI y del artículo 21.2 de la LSSI, ambas tipificadas
en el artículo 38.4.d) de la LSSI.
SÉPTIMO: Con fecha 17/12/2024, VF solicitó una ampliación del plazo de alegaciones,
que fue concedido el 23/12/2024. El 10/01/2025, VF presentó escrito de alegaciones
en el que, en síntesis, manifestaba lo siguiente:
En relación con los envíos de correos electrónicos, reitera que se debieron a un error
puntual, por estar incorrectamente introducidas en la base de datos de la empresa las
preferencias del reclamante en relación con la recepción de publicidad, lo que se
corrigió tras el traslado del expediente. Asimismo, reitera no haber recibido el escrito
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/23
del reclamante, de fecha 22/05/2024, hasta el traslado de la reclamación, aportando al
respecto una captura de pantalla del correspondiente buzón de correo donde no figura
el mensaje del reclamante.
Por último, reitera VF que sus comunicaciones comerciales incorporan una cláusula
informativa sobre el tratamiento de datos en la que se incluye información específica
sobre los derechos, así como un enlace con el fin de que los interesados tramiten su
derecho de oposición a la recepción. Aporta el texto de dicha cláusula, así como varias
capturas de pantalla de la misma en diferentes comunicaciones comerciales enviadas
por VF.
En cuanto a los mensajes SMS, indica que varios de ellos no tienen fecha y aporta una
captura de pantalla de sus bases de datos donde figura que los SMS aportados por el
reclamante y de los que no consta fecha fueron recibidos por el reclamante entre el
16/08/2024 y el 08/09/2024.
A este respecto, alega que el reclamante habría cambiado sus preferencias el
16/08/2024, dejando de estar en la “lista Robinson” interna de la empresa y las volvió a
modificar el 08/09/2024, para volver a estar incluido en ella. Aporta al respecto una
captura de pantalla de una aplicación de la empresa en la que figura un listado de
acciones en la ficha del cliente, en dos de las cuales, con las fechas citadas, figuran
las indicaciones “SÍ A NO” y “NO A SÍ” respectivamente, en referencia a dicha lista.
Por este motivo, según la alegación de VF, no se habría producido un incumplimiento
del artículo 21 de la LSSI, por cuanto en las fechas en las que el reclamante recibió los
citados mensajes SMS, había consentido la recepción de publicidad.
Por último, alega VF que, en caso de imponerse una sanción en el presente
procedimiento, deberían tenerse en cuenta, como circunstancias atenuantes, la
adhesión de VF al “Código de conducta para el tratamiento de datos en la actividad
publicitaria” desarrollado por Autocontrol en colaboración con la AEPD, y que la
presente reclamación podría haberse tramitado en el marco de dicho código.
Asimismo, alega que deberían considerarse como circunstancias atenuantes la falta
de intencionalidad o negligencia, así como el plazo de tiempo en que se cometió la
infracción, en la medida en que la incidencia relativa a la recepción de correos
electrónicos fue subsanada con celeridad cuando VF tuvo constancia de ella, esto es,
cuando recibió el traslado de la reclamación.
OCTAVO: Con fecha 27/01/2025, el instructor formuló como propuesta de resolución
que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
VODAFONE ESPAÑA, S.A.U., por la infracción del artículo 21.1 de la LSSI, con multa
de QUINCE MIL euros (15.000,00 euros) y por infracción del artículo 21.2 de la LSSI,
con multa de CINCO MIL euros (5.000,00 euros).
NOVENO: Notificada la propuesta de resolución, con fecha 07/02/2025, VF solicitó una
ampliación del plazo de alegaciones, que fue concedida con fecha 12/02/2025. Con
fecha 25/02/2025, VF presentó alegaciones a la propuesta de resolución, que se
resumen a continuación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/23
La primera alegación se refiere a los tres correos electrónicos recibidos por el
reclamante, sobre los que VF afirma que, si bien en las alegaciones al acuerdo de
inicio se atribuyeron a un error técnico puntual a la hora de aplicar el filtro Robinson,
tras volver a realizar una revisión se ha constatado que la cuenta de correo electrónico
del reclamante constaba también como cuenta de contacto de otro cliente que sí tenía
autorizado el envío de comunicaciones comerciales.
En relación con esta misma alegación, para evidenciar la no recepción de la solicitud
del reclamante en el buzón de su DPO, informa de que se ha solicitado al equipo
forense de VF que consulte el servidor de la cuenta de correo y aporta los resultados
de esa consulta, realizada en base a varios parámetros (nombre y correo electrónico
del reclamante, asunto del correo, fechas y destinatario) de acuerdo con los cuales,
afirma que VF no habría recibido el correo indicado por el reclamante
La segunda alegación se refiere al envío de mensajes SMS y al hecho de que no se
hayan tenido en cuenta las pruebas aportadas, en concreto las capturas de pantalla
del sistema de la empresa, que presentó como acreditación de que contaba con el
consentimiento del reclamante para el envío de comunicaciones comerciales.
La tercera alegación se refiere a la presunta infracción del artículo 21.2 de la LSSI.
Manifiesta VF que cuenta con un proceso interno en virtud del cual todas y cada una
de las comunicaciones comerciales de Vodafone deben incorporar un mecanismo
válido de oposición.
En cuarto lugar, alega VF que, en caso de que se entendiera que ha habido infracción,
no existiría culpa en los términos del artículo 28.1 de la Ley 40/2015, de 1 de octubre,
de Régimen Jurídico del Sector Público (en adelante LRJSP), en la medida en que
tendría que acreditarse una falta de diligencia por parte de VF y entiende que no
habría negligencia en la medida en que VF contaba con procedimientos internos para
incorporar mecanismos de oposición en sus comunicaciones comerciales.
En quinto lugar, alega VF que, en el caso de que se entendiera que sí puede
imponerse una sanción, deberán tenerse en cuenta las siguientes circunstancias
atenuantes:
- La adhesión al “Código para el tratamiento de datos en la actividad publicitaria” de
Autocontrol.
- La falta de intencionalidad o negligencia grave, dado que no se había conocido la
raíz del problema y actualmente se ha dado solución al mismo.
- Plazo de tiempo durante el que se ha venido cometiendo la infracción, reiterando
que el envío de SMS entre el 19/08/2024 y el 08/09/2024 era legítimo.
Finalmente, alega VF no estar de acuerdo con las circunstancias mencionadas por
esta Agencia para graduar las sanciones de los artículos 21.1 y 21.2 de la LSSI:
- En cuanto a la afirmación de esta Agencia en el acuerdo de inicio de que el envío
de spam se ha repetido en varias ocasiones incluso con posterioridad al traslado
de la reclamación por parte de la Agencia, VF insiste en los argumentos de la
primera y segunda alegación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/23
- En relación con la mención por parte de esta Agencia del expediente
EXP202211263, alega VF que no se fundamenta en el acuerdo de inicio la
analogía entre ese procedimiento y el presente y que dicho procedimiento finalizó
por pago voluntario sin asunción de culpa por parte de VF, por lo que no debería
ser tenido en cuenta.
- Por último, alega que en el acuerdo de inicio se afirma que existen cuatro correos
electrónicos en los que no consta la posibilidad de oponerse al tratamiento, cuando
en realidad serían únicamente tres.
HECHOS PROBADOS
PRIMERO: Se ha acreditado, a partir de las capturas de pantalla aportadas junto con
la reclamación, que el reclamante recibió las siguientes comunicaciones de carácter
comercial de VF con las siguientes fechas y contenido:
- 22/05/24, correo electrónico, con el título “¿Buscas un regalo…”
- 17/06/24, correo electrónico, con el título “¡Vodafone TV te trae Netflix!”
- 19/06/24, correo electrónico, con el título “Promo verano”
- 16/07/24, correo electrónico, con el título “Nuevos plegables de Samsung”
SEGUNDO: Que en los correos electrónicos de fecha 22/05/24, 17/06/24 y 19/06/24,
anteriormente citados, no se hace referencia a la posibilidad de oponerse al
tratamiento de sus datos con fines promocionales ni una dirección de correo
electrónico u otra dirección electrónica válida para ejercitar este derecho.
TERCERO: Que el 23/07/2024 VF remite carta al reclamante, en relación con los
mensajes enviados por correo electrónico, informándole de un error puntual de
inclusión en su base de datos.
CUARTO: Se ha acreditado, a partir de las capturas de pantalla aportadas junto a la
reclamación y de la información adicional sobre las fechas que aporta VF, que el
reclamante recibió las siguientes comunicaciones de carácter comercial de VF con las
siguientes fechas y contenido:
- 19/08/24, SMS, con el título “Publi: Remate final Xiaomi redmi A midnight black”
- 29/08/24, SMS, con el título “Publi: REMATE FINAL Xiaomi Redmi 13 C navy
blue”
- 01/09/24, SMS, con el título “Publi: tenemos nuevos planes para ti”
- 08/09/24, SMS, con el título “Publi: Protege tus líneas de ciberamenazas”
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/23
servicios de la sociedad de la información y de comercio electrónico (en adelante
LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (en adelante, LOPDGDD), es competente para resolver este
procedimiento la Presidencia de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
Por último, la Disposición adicional cuarta "Procedimiento en relación con las
competencias atribuidas a la Agencia Española de Protección de Datos por otras
leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo
será de aplicación a los procedimientos que la Agencia Española de Protección de
Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por
otras leyes."
II
Alegaciones
En respuesta a las alegaciones formuladas al acuerdo de inicio cabe señalar lo
siguiente:
En cuanto al envío de los cuatro correos electrónicos mencionados, VF reconoce que
efectivamente se remitieron aun habiendo ejercido el reclamante su derecho de
oposición, si bien alega que se debe a un error puntual y que fue solventado con
celeridad al tener constancia de él por el traslado de la reclamación.
No cabe aceptar, sin embargo, como prueba de no haber recibido la comunicación del
interesado en la que ejerce su derecho de oposición, la captura de pantalla del buzón
de correo del DPO de la compañía, que reflejaría los mensajes que figuran en la
bandeja de entrada del mismo en un momento dado, no un registro de mensajes
recibidos.
En todo caso, aunque así fuera, es decir, aunque VF no hubiese recibido ese correo
de la parte reclamante avisando sobre el envío indebido de mensajes comerciales por
correo electrónico y mediante SMS, nada cambiaría respecto de la infracción
cometida. Por un lado, debe señalarse que VF, en su primera versión de los hechos de
las tres manifestadas a esta AEPD, declaró que aquellas comunicaciones se enviaron
por un error puntual, admitiendo con ello que la parte reclamante figuraba en su lista
de exclusión interna; y por otro lado, que en su segunda versión de los hechos VF
declaró que los correos electrónicos se remitieron por estar incorrectamente
introducidas en la base de datos las preferencias de la parte reclamante, lo que viene
a significar que habiéndose ésta opuesto no figuraba así registrado en sus base de
datos.
Además, la propia entidad VF ha reconocido que tuvo conocimiento de esa
comunicación con el traslado de la reclamación que le fue efectuado por esta AEPD y,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/23
aún así, con posterioridad remitió el correo electrónico de fecha 19/07/2024 y los
mensajes que constan reseñados en el Hecho Probado Cuarto.
Sobra decir que ese correo de 22/05/2024, su recepción o no por VF, en nada afecta a
la infracción resultante de remitir comunicaciones electrónicas sin incluir un
mecanismo de baja.
En relación con la inclusión en las comunicaciones de una cláusula informativa sobre
el ejercicio de derechos y un enlace para solicitar la baja, VF aporta el texto de dicha
cláusula, así como capturas de pantalla de diferentes campañas publicitarias, pero
ninguna de ellas se corresponde con las recibidas por el reclamante. Por su lado, la
reclamación incluía capturas de pantallas de los correos electrónicos efectivamente
recibidos por el reclamante con fechas 22/05/2024, 17/06/2024 y 19/06/2024 y en
estos no figura dicha cláusula. Por ello, no procede aceptar la alegación ni la
documentación que la acompaña como prueba.
En cuanto a los mensajes SMS recibidos, VF alega que en el periodo en que fueron
enviados (entre el 16/08/2024 y el 08/09/2024), contaba con el consentimiento de
reclamante. Para acreditarlo, como se ha dicho, aporta una captura de pantalla de la
aplicación de una aplicación de la empresa en la que figura un listado de acciones en
la ficha del cliente, en dos de las cuales, con las fechas citadas, figuran las
indicaciones “SÍ A NO” y “NO A SÍ” respectivamente, en referencia a dicha lista.
Sin embargo, este documento resulta insuficiente para probar que el consentimiento
para enviarle comunicaciones comerciales fuera otorgado de forma válida, pues no
constituyen ninguna evidencia de que el reclamante otorgó su consentimiento para el
tratamiento de sus datos personales con fines de envío de comunicaciones
comerciales, sino, en todo caso, de que VF registró ese dato en su sistema. No hay en
dicho sistema constancia de la manifestación de la voluntad del interesado, ni
evidencia de que VF tenga algún sistema que impida la introducción de datos erróneos
en la aplicación.
En cualquier caso, aunque se admitiera esa alegación respecto de los mensajes
enviados en agosto y septiembre de 2024, cosa que no procede de acuerdo con lo
indicado anteriormente, la infracción resultaría igualmente cometida en base a los
correos electrónicos reseñados en el Hecho Probado Primero.
En todo caso, quedaría un correo electrónico, el remitido a la parte reclamante el
19/07/2024, sin respuesta de VF. Esta entidad ha reconocido que recibió el correo de
la parte reclamante manifestando su oposición con ocasión del trámite de traslado,
que le fue notificado el 25/06/2024, y que subsanó la incidencia inmediatamente. A
pesar de ello, remitió el indicado correo de 19/07/2024. Esta fecha, por otra parte, es
anterior al supuesto cambio de las preferencias de la parte reclamante que ha sido
alegado por VF, el cual según esta entidad tuvo lugar 16/08/2024. Así, resulta que VF
no ofrece explicación alguna que justifique este correo de 19/07/2024.
En relación con este punto, el artículo 19.1 de la LSSI remite expresamente a la
normativa de protección de datos “en lo que se refiere a la obtención de datos
personales, la información a los interesados y la creación y mantenimiento de ficheros
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/23
de datos personales”, por lo que cabe citar como referencia lo dispuesto en el artículo
7.1 del RGPD en relación con las condiciones para el consentimiento:
“Cuando el tratamiento se base en el consentimiento del interesado, el
responsable deberá ser capaz de demostrar que aquel consintió el tratamiento
de sus datos personales.”
En desarrollo de este, las Directrices 5/2020 del Comité Europeo de Protección de
Datos sobre el consentimiento, señalan en relación con la obligación de ser capaz de
demostrar el consentimiento (punto 105), que el responsable del tratamiento debe
conservar un registro (log) suficiente, que permita probar que el consentimiento fue
otorgado de manera clara y expresamente para recibir comunicaciones comerciales.
Es necesario aportar documentación concreta que refleje el momento, el contexto y los
términos en los que se obtuvo el consentimiento.
En relación con el procedimiento alega VF que, en caso de imponerse una sanción en
el presente procedimiento, deberían tenerse en cuenta, como circunstancias
atenuantes, la adhesión de VF al “Código de conducta para el tratamiento de datos en
la actividad publicitaria” desarrollado por Autocontrol en colaboración con la AEPD, y
que la presente reclamación podría haber sido “tramitada por el sistema de resolución
extrajudicial implementado por Autocontrol para resolver controversias de este tipo,
tratándose el caso concreto de un tratamiento de datos relacionado con la actividad
publicitaria de Vodafone, debido a un error puntual y aislado en sus sistemas. De
haberse tramitado por esta vía, Vodafone hubiese dado solución al reclamante de una
forma ágil y efectiva, pues se hubiera regularizado inmediatamente el error que originó
la reclamación, alcanzando la misma finalidad y evitando la sanción para Vodafone
quien como entidad adherida asume los costes que supone acogerse del Código”.
Al respecto cabe señalar que VF alega estar adherida el Código de Conducta para el
tratamiento de Datos en la actividad Publicitaria, de Autocontrol, pero éste no se
corresponde con uno de los previstos en el artículo 18 de la LSSI, que son los que
permiten considerar lo dispuesto en el artículo 40.g) para graduar la sanción.
Por último, alega VF que deberían contemplarse como circunstancias atenuantes la
falta de intencionalidad o negligencia, así como el plazo de tiempo en que se cometió
la infracción.
Respecto de la falta de intencionalidad o negligencia, el artículo 40 de la LSSI,
establece en su letra a) lo siguiente:
“Artículo 40. Graduación de la cuantía de las sanciones.
La cuantía de las multas que se impongan se graduará atendiendo a los
siguientes criterios:
a) La existencia de intencionalidad.”
Dicho precepto alude a la “existencia” de intencionalidad, por lo que cabe interpretarse
como la posibilidad de elevar la cuantía de la sanción en caso de que existiera
intencionalidad, de modo que la inexistencia de intencionalidad no supondría un
atenuante y no correspondería disminuir la cuantía por no existir intencionalidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/23
En el mismo sentido, el ordenamiento español exige siempre, para la imputabilidad, la
concurrencia de dolo o negligencia. Por tanto, su ausencia o que su ausencia tendría
el efecto de eximir de responsabilidad, no atenuar como pretende el reclamado.
En todo caso, en el presente caso concurre como mínimo negligencia grave al haber
enviado los correos tras la recepción de la oposición del reclamado (de hecho, VF
reconoce tenerlo en su “lista Robinson” interna) y, en varios casos, sin incorporar un
mecanismo de oposición en las comunicaciones.
Por estos motivos no se acepta la alegación.
En cuanto al periodo de plazo en que se cometió la infracción, se entiende que VF lo
alega en relación con los correos electrónicos recibidos entre el mes de mayo y julio,
asumiendo (de acuerdo con sus alegaciones), que el envío de SMS no implica una
infracción. Dado que, como se ha expuesto anteriormente, se considera que el envío
de SMS también constituye parte de la infracción, no cabría tener en cuenta esta
circunstancia como atenuante.
Por otra parte, VF formula cinco alegaciones a la propuesta de resolución, que se
analizan a continuación.
1. La primera alegación se refiere a los tres correos electrónicos recibidos por el
reclamante, sobre los que VF afirma lo siguiente:
“Si bien en las alegaciones al acuerdo de inicio de procedimiento sancionador
Vodafone indicó que el envío de los correos electrónicos de fechas 22/05/24,
17/06/24, 19/06/24, 16/07/24 (en adelante, “correos electrónicos enviados”)
eran fruto de un error técnico puntual a la hora de aplicar el filtro Robinson
implementado por defecto en todas las comunicaciones comerciales, tras
volver a realizar una revisión exhaustiva del motivo por el que el reclamante
volvió a recibir comunicaciones comerciales, se ha podido constatar que el filtro
Robinson se aplicó correctamente en todo momento. El motivo por el que
Vodafone procedió al envío de los correos electrónicos citados es que la
cuenta de correo electrónico del reclamante (***EMAIL.1) constaba en las
fechas de envío como cuenta de correo electrónico de contacto de otro cliente
que sí tenía autorizado el envío de comunicaciones comerciales. Por este
motivo, B.B.B. comenzó a recibir comunicaciones comerciales a pesar de
constar en la Robinson de Vodafone.”
Aporta como prueba una captura de pantalla del sistema de VF donde se ven dos
líneas de registro con la misma dirección de correo electrónico asignadas a diferentes
clientes.
Señala además VF que el 29/12/2024 se modificó el contacto del segundo cliente,
aportando captura de pantalla de una aplicación de la empresa, por lo que afirma que
la situación estaría completamente resuelta.
De acuerdo con lo anterior, VF añade lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/23
“Estas nuevas pruebas deberán ser valoradas a los efectos de no entender
vulnerado el artículo 21.1 de la LSSI, dado que se ha podido evidenciar que mi
representada tuvo en cuenta y aplicó correctamente la oposición del
reclamante a recibir comunicaciones comerciales previamente a ejecutar los
envíos de las comunicaciones comerciales y así se lleva realizando desde su
alta como cliente, y que el Reclamante ha manifestado.”
En relación con este punto, VF ha aportado tres versiones distintas sobre los hechos,
una en cada escrito que ha dirigido a la AEPD; todas ellas sin soporte documental que
acredite sus manifestaciones:
a) Que se trataba de un error puntual y aislado en el momento del filtrado.
b) Que habían sido incorrectamente introducidas en la base de datos de la
empresa las preferencias de la parte reclamante en relación con la publicidad.
c) Que la cuenta de correo estaba asociada a otro cliente que sí tenía
autorizado el envío de comunicaciones comerciales
En relación con esta última versión, por un lado, la prueba aportada consiste, de
nuevo, en una captura de pantalla del sistema interno de VF. En primer lugar, no
puede considerarse acreditación suficiente de que el interesado ha dado su
consentimiento, como ya se argumentó en la propuesta de resolución y como se
analiza más adelante en esta resolución.
Al margen de esa falta de acreditación, aun asumiendo que la causa que hubiera
originado el envío de los correos electrónicos hubiera sido la introducción de la misma
dirección de correo electrónico para dos clientes diferentes, ello no implica que no
haya habido una infracción del artículo 21.1 de la LSSI: dicho artículo prohíbe el envío
de comunicaciones publicitarias por correo electrónico que previamente no hubieran
sido solicitadas o expresamente autorizadas por los destinatarios. En el presente caso,
lo que ha quedado acreditado es que las comunicaciones no fueron autorizadas y que,
a pesar de ello, se enviaron.
Por otro lado, no se aporta información sobre los motivos por los que, según VF,
constaban dos direcciones diferentes. Se desconoce por tanto si pudiera deberse a un
error del cliente al facilitar sus datos, a un error de la propia empresa en el registro de
los datos o a alguna otra causa. No obstante, cualquiera que sea el motivo (que no
afecta a este procedimiento), el hecho de que en el sistema interno de VF constara
una misma dirección para dos clientes, no evidencia ni que se haya cumplido con las
obligaciones del artículo 21.1, ni que se haya respetado el derecho de oposición, como
pretende VF. Al contrario, en todo caso mostraría que el sistema que aplica VF para
registrar y gestionar los consentimientos no garantiza que se no se envíen
comunicaciones comerciales a clientes que expresamente se han opuesto a ello, que
es la obligación que impone el artículo 21.1 de la LSSI y de cuyo cumplimiento VF es
responsable. Por ello, no se acepta la alegación.
Por otro lado, en relación con esta misma alegación, para evidenciar la no recepción
de la solicitud del reclamante en el buzón de su DPO, VF insiste en que no se recibió
dicha comunicación aportando captura de pantalla del buzón de correo (prueba que no
se aceptó en la fase de instrucción) y, adicionalmente, informa de que se ha solicitado
al equipo forense de VF que consulte el servidor de la cuenta de correo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/23
La búsqueda se habría efectuado, de acuerdo con VF, teniendo en cuenta como
parámetros el nombre del reclamante, su dirección de correo electrónico, el título del
asunto y la fecha de envío. Aporta pantallazo del resultado de la búsqueda, que habría
concluido que no se recibió dicho correo. Por otro lado, alega que el correo remitido
por el reclamante es una captura de pantalla en la que solo constan las cabeceras de
las comunicaciones, por lo que no debería aceptarse como prueba.
Al respecto cabe contestar que esta circunstancia no altera los hechos objeto de la
infracción: que el reclamante recibió comunicaciones comerciales no consentidas,
habiendo reconocido además VF que constaba en su sistema la oposición del
reclamante. Tampoco altera la argumentación expuesta en la propuesta de resolución
en relación con las circunstancias agravantes y atenuantes y, por tanto, no afecta a la
cuantía de la sanción propuesta.
2. La segunda alegación se refiere al envío de mensajes SMS. VF señala que no se
han tenido en cuenta las pruebas aportadas, en concreto las capturas de pantalla del
sistema de la empresa. En relación con esta documentación, añade aclaraciones
sobre la información que aparece en la misma. Afirma que las preferencias sobre
recepción de comunicaciones comerciales las indican los clientes a través de una APP,
identificándose con usuario y contraseña (la referencia “ENCARE” que aparece en el
registro se referiría a la procedencia del permiso), y de esa acción queda registro en el
sistema de VF, que genera trazabilidad, y del que se han aportado capturas de
pantalla.
Al respecto cabe reiterar lo manifestado anteriormente sobre la alegación realizada al
acuerdo de inicio, que también es aplicable a la primera alegación (sobre el envío de
correos electrónicos), en el sentido de que este documento (la captura de pantalla del
sistema interno de VF) resulta insuficiente pues no constituye una evidencia de que el
reclamante otorgó su consentimiento para el tratamiento de sus datos personales con
fines de envío de comunicaciones comerciales, sino, en todo caso, de que VF registró
ese dato en su sistema.
No obstante, cabe mencionar la información adicional que aporta VF en sus
alegaciones a la propuesta de resolución, que consisten en una aclaración de los
conceptos que aparecen en la captura de pantalla, en los siguientes términos:
“En la misma se constata el momento, el contexto (con la descripción de la
acción y el canal) y los términos del consentimiento (siendo esta la codificación
que se vincula a los permisos de la App de cliente, en este caso “Si Robinson”
o “No Robinson”). Debe entenderse que todas las acciones que se realizan
sobre los datos del cliente vuelcan en la ficha del cliente, generándose
trazabilidad de todas las acciones. Lo que se está mostrando, son los logs que
vuelcan en la ficha de cliente de los permisos dados a través de la App para lo
cual el cliente tiene que logarse con usuario y contraseña, acceder
específicamente a la sección de gestión de permisos y preferencias y modificar
expresamente sus permisos. Como se puede observar del pantallazo, con
fecha 16 de agosto de 2024 se habilitan los permisos en Mi Vodafone (el
sistema lo refleja como “SI Robinson” a “NO Robinson”) y en fecha 8 de
septiembre de 2024 se vuelven a deshabilitar, también a través de Mi Vodafone
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/23
(reflejándose en sistemas como “NO Robinson” a “SI Robinson”). Por tanto, las
comunicaciones comerciales enviadas por SMS contaban con una base de
legitimación válida. El Reclamante otorgó su autorización a dichos envíos. La
referencia ECARE se refiere a la procedencia del permiso marcado en el
apartado de autogestión, siendo esta la App de cliente Mi Vodafone. El permiso
habilitado en Mi Vodafone vía autogestión fue el siguiente (el subrayado en
amarillo es nuestro a los efectos de identificar con mayor claridad el permiso
habilitado)
(…)
La consideración de que las presentes pruebas no constituyen un registro de
logs debería volver a valorarse, siendo que estamos ante un registro que se
lleva a cabo en los sistemas, figuran las fechas de habilitación (16/08/2024) y
deshabilitación del permiso (08/09/2024) y figurando el lugar desde el cual se
ha concedido el permiso, ECARE, que se refiere a la sección de autogestión de
Mi Vodafone.”
Esta información, sin embargo, no invalida el argumento que ya se puso de manifiesto
en la propuesta de resolución. En este procedimiento no se está cuestionando ni el
funcionamiento de la aplicación interna de VF ni que ésta sea adecuada para que la
empresa lleve a cabo, entre otras cosas, el registro y gestión interna de los
consentimientos otorgados por sus clientes. Lo que se pone en cuestión es si una
captura de pantalla de ese sistema es una acreditación suficiente a efectos de este
procedimiento.
En ese sentido, hay que tener en cuenta que la exigencia de la normativa es que VF
debe ser capaz de demostrar que su cliente consintió el envío de comunicaciones
comerciales. Si contra la afirmación de su cliente de que no había otorgado su
consentimiento se aceptara como prueba una captura de una aplicación interna que
administra la propia empresa, se estaría vaciando de contenido esa obligación de VF
de acreditar el consentimiento. Por estos motivos, no se acepta la alegación.
3. La tercera alegación de VF se refiere a la presunta infracción del artículo 21.2 de la
LSSI. Manifiesta VF que cuenta con un proceso interno en virtud del cual todas y cada
una de las comunicaciones comerciales de Vodafone deben incorporar un mecanismo
válido de oposición.
Al respecto cabe aclarar que no se están analizando en el presente procedimiento los
procesos internos con los que cuenta VF en relación con la incorporación del
mecanismo de oposición. Lo que se analiza son tres comunicaciones en concreto,
remitidas por correo electrónico, que han sido objeto de una reclamación.
En relación con esas tres comunicaciones, por un lado, en la documentación aportada
por el reclamante no se aprecia que esos tres correos cuenten con dicho mecanismo.
Por otro lado, ni en la respuesta al traslado, ni en las alegaciones al acuerdo de inicio,
ni en las alegaciones a la propuesta de resolución, aporta VF documentación relativa a
dichas comunicaciones. Lo que aporta son otras comunicaciones enviadas por VF, a
modo de ejemplo, referentes además a campañas publicitarias distintas a aquellas a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/23
las que refiere la reclamación. Por este motivo, se considera que se ha producido una
infracción del artículo 21.2 de la LSSI en relación con esas tres comunicaciones.
4. En cuarto lugar, alega VF que, en caso de que se entendiera que ha habido
infracción, no existiría culpa en los términos del artículo 28.1 de la LRJSP. Afirma VF
que ha no ha habido negligencia en la medida en que hay procesos internos en la
compañía que establecen que toda comunicación comercial debe incorporar un
mecanismo de oposición válido. Añade además que
“Teniendo en cuenta lo anterior, deberá determinarse si Vodafone ha empleado
la diligencia que le era exigible en el envío de comunicaciones comerciales a
B.B.B., de acuerdo con lo establecido en los artículos 21.1 y 21.2 de la LSSI.
(…)
Teniendo en cuenta la especial naturaleza del Derecho administrativo
sancionador que determina la imposibilidad de imponer sanciones sin tener en
cuenta la culpabilidad y la diligencia, o los errores que hayan podido determinar
el incumplimiento de una obligación legal, esta parte mantiene la
improcedencia de la imposición de las sanciones establecidas en la Propuesta
de Resolución.”
El llamado “principio de culpabilidad” en el procedimiento sancionador, al que VF hace
referencia, está incorporado en el artículo 28.1 de la LRJSP, que establece lo
siguiente:
“Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y
entidades sin personalidad jurídica y los patrimonios independientes o
autónomos, que resulten responsables de los mismos a título de dolo o culpa.”
En el presente caso existen dos obligaciones legales de las que VF es responsable: la
de no enviar comunicaciones comerciales sin consentimiento previo expreso y la de
incorporar el citado mecanismo de oposición en dichas comunicaciones. De ambas
obligaciones es responsable la empresa que envía las comunicaciones, que tiene un
deber de diligencia y cuidado. El hecho de que se hayan enviado comunicaciones
incumpliendo lo establecido en el artículo 21.1 y 2 de la LSSI implicaría en sí mismo
una falta de diligencia atribuible a VF. Por otro lado, el que ese incumplimiento se
debiera a un error (lo cual tampoco queda acreditado en el presente procedimiento),
no invalidaría la atribución de culpa de acuerdo con el artículo 28.1 de la LRJSP.
5. En quinto lugar, alega VF que, en el caso de que se entendiera que sí puede
imponerse una sanción, deberán tenerse en cuenta las siguientes circunstancias
atenuantes:
- La adhesión al “Código para el tratamiento de datos en la actividad publicitaria” de
Autocontrol, con el argumento de que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/23
“La adhesión al “Código de conducta para el tratamiento de datos en la
actividad publicitaria” de Autocontrol, refuerza el compromiso de Vodafone en
el cumplimiento de la normativa aplicable, así como facilita y pone a
disposición de los interesados una vía de resolución de controversias ágil,
efectiva y sencilla. Con ello, Vodafone se exige y se compromete a un alto
estándar de cumplimiento, por lo que no es baladí considerar este criterio a la
hora de graduar las sanciones de la AEPD a la baja tal y como esta misma
Agencia ha llevado a cabo en otras ocasiones sin cuestionar el grado de
beneficio. Cabe recordar que la casuística objeto del presente sancionador al
que dan respuesta las presentes alegaciones, es una de las recogidas en el
ámbito de aplicación del mencionado Código, pudiendo haber sido tramitada
por el sistema de resolución extrajudicial implementado por Autocontrol para
resolver controversias de este tipo, tratándose el caso concreto de un
tratamiento de datos relacionado con la actividad publicitaria de Vodafone. De
haberse tramitado por esta vía, Vodafone hubiese dado solución al Reclamante
de una forma ágil y efectiva, pues se hubiera regularizado inmediatamente el
error que originó la reclamación, alcanzando la misma finalidad y evitando la
sanción para Vodafone quien como entidad adherida asume los costes que
supone acogerse al Código.”
Al respecto cabe señalar que VF alega estar adherida el Código de Conducta para
el tratamiento de Datos en la actividad Publicitaria, de Autocontrol, pero éste no se
corresponde con uno de los previstos en el artículo 18 de la LSSI, que son los que
permiten considerar lo dispuesto en el artículo 40.g) para graduar la sanción.
- La falta de intencionalidad o negligencia grave, dado que no se había conocido la
raíz del problema y actualmente se ha dado solución al mismo. Por parte de esta
Agencia se reitera el argumento manifestado en el acuerdo de inicio, en el sentido
de que el artículo 40 a) de la LSSI alude a la “existencia” de intencionalidad, por lo
que se interpreta como la posibilidad de elevar la cuantía de la sanción en caso de
que existiera intencionalidad, de modo que la inexistencia de intencionalidad no
supondría un atenuante y no correspondería disminuir la cuantía por no existir
intencionalidad. Por este motivo no se acepta la alegación.
- El plazo de tiempo durante el que se ha venido cometiendo la infracción, reiterando
que el envío de SMS entre el 19/08/2024 y el 08/09/2024 era legítimo. Dado que,
como se ha expuesto, no se considera acreditado que dicho envío fuera legítimo,
no se tiene en cuenta esta circunstancia como atenuante.
Finalmente, alega VF no estar de acuerdo con las circunstancias mencionadas por
esta Agencia para graduar las sanciones de los artículos 21.1 y 21.2 de la LSSI:
- En cuanto a la afirmación de esta Agencia en el acuerdo de inicio de que el envío
de spam se ha repetido en varias ocasiones incluso con posterioridad al traslado
de la reclamación por parte de la Agencia, VF insiste en los argumentos de la
primera y segunda alegación (el error en relación con los correos electrónicos y la
constancia de un consentimiento en su aplicación en el caso de los mensajes
SMS). Dichas alegaciones ya han sido analizadas anteriormente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/23
- En relación con la mención por parte de esta Agencia del expediente
EXP202211263 a efectos de tomar en consideración la agravante de reincidencia,
alega VF que no se fundamenta en el acuerdo de inicio la analogía entre ese
procedimiento y el presente y que dicho procedimiento finalizó por pago voluntario
sin asunción de culpa por parte de VF, por lo que no debería ser tenido en cuenta.
En cuanto a la analogía entre los procedimientos, ambos se refieren a infracciones
del artículo 21 de la LSSI. En cuanto al hecho de que el procedimiento terminara
por pago voluntario, no cabe entender que en ese caso no hubiera infracción, al
margen de que VF asumiera o no la culpa. El artículo 85.2 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, al prever la posibilidad de la reducción de la sanción cuando hay pago
voluntario, establece que
“Cuando la sanción tenga únicamente carácter pecuniario (…) el pago
voluntario por el presunto responsable, en cualquier momento anterior a la
resolución, implicará la terminación del procedimiento, salvo en lo relativo a la
reposición de la situación alterada o a la determinación de la indemnización por
los daños y perjuicios causados por la comisión de la infracción.”
En el expediente de referencia, dado que hubo un pago voluntario anterior a la
resolución, éste implicó la terminación del procedimiento, en cumplimiento del
citado artículo 85.2, que se formaliza en una resolución de terminación por pago
voluntario.
Esa forma de terminación responde al hecho de que VF se acogiera a una
modalidad de pago reducido y con una reducción sobre el importe de la sanción.
Sin embargo, de ello no cabe deducir que no existiera una infracción, ya que ello
sería contradictorio con la existencia de una sanción (multa). Solo cabe imponer
una sanción (en este caso de multa) porque existe una infracción que se está
sancionando. Por consiguiente, la resolución por la que se ponía fin a aquel
procedimiento implicaba necesariamente la imputación de una infracción.
- Por último, alega VF que en el acuerdo de inicio se afirma que “en el presente
caso existen cuatro correos electrónicos en los que, de acuerdo con las evidencias
que obran en el expediente, no consta la posibilidad de oponerse al tratamiento de
los datos con fines promocionales”, cuando en realidad serían únicamente tres, de
fechas 22/05/2024, 17/06/2024 y 19/06/2024.
Efectivamente, se trata de un error. En el fundamento de derecho VIII de la
propuesta de resolución se mencionaba la existencia de cuatro correos sin el
citado mecanismo, cuando en realidad son tres, como constaba correctamente en
el hecho probado segundo y en el fundamento de derecho VI de la propuesta de
resolución.
III
Obligación incumplida del artículo 21.1 de la LSSI
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/23
El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen
sancionador aplicable en caso de que se produzca alguna de las infracciones
contenidas en el cuadro de infracciones que en el mismo se recoge.
En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad
de la información están sujetos al régimen sancionador establecido en este Título
cuando la presente Ley les sea de aplicación.”
La definición de prestador del servicio se contiene en el apartado c) del Anexo de la
citada norma que considera como tal la “persona física o jurídica que proporciona un
servicio de la sociedad de la información”.
Por su parte, el artículo 21.1 de la LSSI, prohíbe de forma expresa “el envío de
comunicaciones publicitarias o promocionales por correo electrónico u otro medio de
comunicación electrónica equivalente que previamente no hubieran sido solicitadas o
expresamente autorizadas por los destinatarios de las mismas”.
Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción
directa o indirecta de los bienes o servicios de una empresa, organización o persona
que realice una actividad comercial, industrial, artesanal o profesional, sin
consentimiento expreso del destinatario, si bien esta prohibición encuentra su
excepción en el primer párrafo del apartado 2 del citado artículo 21, que autoriza el
envío de comunicaciones comerciales cuando “exista una relación contractual previa,
siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del
destinatario y los empleara para el envío de comunicaciones comerciales referentes a
productos o servicios de su propia empresa que sean similares a los que inicialmente
fueron objeto de contratación con el cliente”.
De este modo, el envío de comunicaciones comerciales no solicitadas o autorizadas,
fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una
infracción leve o grave de la LSSI.
En este caso, se ha producido un incumplimiento de lo dispuesto en el artículo 21.1 de
la LSSI, dado que consta el envío de las comunicaciones comerciales indicadas en el
apartado de hechos probados habiendo sido acreditada la oposición del reclamante y
no habiendo quedado acreditado que éste hubiera modificado sus preferencias al
respecto..
IV
Tipificación y calificación de la infracción del artículo 21.1 de la LSSI
De conformidad con las evidencias de las que se dispone en el presente momento de
acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a VF, por vulneración del artículo 21.1 de la LSSI, que señala lo
siguiente:
“1. Queda prohibido el envío de comunicaciones publicitarias o promocionales
por correo electrónico u otro medio de comunicación electrónica equivalente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/23
que previamente no hubieran sido solicitadas o expresamente autorizadas por
los destinatarios de las mismas.”
De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI,
se consideran infracciones graves y leves las siguientes:
“3. Son infracciones graves:
c) El envío masivo de comunicaciones comerciales por correo electrónico u
otro medio de comunicación electrónica equivalente, a su envío insistente o
sistemático a un mismo destinatario del servicio cuando en dichos envíos no se
cumplan los requisitos establecidos en el artículo 21”.
“4. Son infracciones leves:
d) El envío de comunicaciones comerciales por correo electrónico u otro medio
de comunicación electrónica equivalente cuando en dichos envíos no se
cumplan los requisitos establecidos en el artículo 21 y no constituya infracción
grave”.
En consecuencia, la infracción del artículo 21.1 de la LSSI, en los términos indicados
por el citado artículo 38.4.d), se califica en términos generales como infracción leve,
aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas
a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario,
en los términos que se indican en el también citado artículo 38.3.b), se producirá una
infracción de carácter grave a los efectos de la LSSI.
En el presente caso, los hechos antes indicados, que consistirían en un
incumplimiento de la obligación del artículo 21.1, se corresponderían con una
infracción leve, conforme al artículo 38.4 d) de la LSSI.
V
Sanción por infracción del artículo 21.1 de la LSSI
La infracción indicada puede ser sancionada con multa de hasta 30.000 €, de acuerdo
con el artículo 39.1 c) de la LSSI, que estipula lo siguiente:
“1. Por la comisión de las infracciones recogidas en el artículo anterior, se
impondrán las siguientes sanciones:
(…)
c) Por la comisión de infracciones leves, multa de hasta 30.000 euros.”
Asimismo, de conformidad con las evidencias de las que se dispone en el presente
momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que
resulte de la instrucción se considera que procede graduar la sanción a imponer de
acuerdo con los siguientes criterios que establece el artículo 40 de la LSSI:
“La cuantía de las multas que se impongan se graduará atendiendo a los
siguientes criterios:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/23
a) La existencia de intencionalidad.
b) Plazo de tiempo durante el que se haya venido cometiendo la infracción.
c) La reincidencia por comisión de infracciones de la misma naturaleza, cuando
así haya sido declarado por resolución firme.
d) La naturaleza y cuantía de los perjuicios causados.
e) Los beneficios obtenidos por la infracción.
f) Volumen de facturación a que afecte la infracción cometida.
g) La adhesión a un código de conducta o a un sistema de autorregulación
publicitaria aplicable respecto a la infracción cometida, que cumpla con lo
dispuesto en el artículo 18 o en la disposición final octava y que haya sido
informado favorablemente por el órgano u órganos competentes.”
En el presente caso cabe tener en cuenta que el envío de spam se ha repetido en
varias ocasiones, en concreto cuatro correos electrónicos y cuatro mensajes SMS, en
un periodo que va desde el 22/05/2024 hasta el 08/09/2024.
También cabe tener en cuenta, en cuanto al periodo en que se han recibido, que los
SMS fueron enviados con posterioridad a haber recibido VF el traslado de la
reclamación y, por tanto, teniendo conocimiento de que se había producido, en
relación con el reclamante, una incidencia al respecto.
Por último, se ha producido reincidencia por la comisión de infracciones de la misma
naturaleza por parte de VF, declarada por Resolución de terminación del
procedimiento por pago voluntario firmada por la Directora de la Agencia el
29/03/2023, en relación con el expediente N.º: EXP202211263, por incumplimiento del
artículo 21.1 de la LSSI.
Las circunstancias individuales del presente caso, a efectos de decidir sobre la
imposición de una multa administrativa y su cuantía, de conformidad con las
evidencias de que se dispone en el presente momento de resolución de procedimiento
sancionador y los criterios establecidos en el artículo 40 de la LSSI, permiten fijar una
sanción de multa administrativa por la infracción del artículo 21.1 de la LSSI es de
QUINCE MIL euros (15.000,00 euros).
VI
Obligación incumplida del artículo 21.2 de la LSSI
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/23
El artículo 21 de la LSSI, en los párrafos segundo y tercero de su apartado segundo
establece lo siguiente:
“En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de
oponerse al tratamiento de sus datos con fines promocionales mediante un
procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos
como en cada una de las comunicaciones comerciales que le dirija.
Cuando las comunicaciones hubieran sido remitidas por correo electrónico,
dicho medio deberá consistir necesariamente en la inclusión de una dirección
de correo electrónico u otra dirección electrónica válida donde pueda
ejercitarse este derecho, quedando prohibido el envío de comunicaciones que
no incluyan dicha dirección”.
En el presente caso, el reclamante ha aportado correos electrónicos de carácter
comercial enviados por VF de fecha 22/05/24, 17/06/24 y 19/06/24, en los que no se
hace referencia a la posibilidad de oponerse al tratamiento de sus datos con fines
promocionales ni figura un mecanismo para ejercitar este derecho.
Como se ha dicho anteriormente, la documentación aportada por VF, consistente en
capturas de pantalla de campañas comerciales en las que sí figura esta información,
no se refieren ni a las comunicaciones recibidas por el reclamante ni a las mismas
campañas a las que estas hacen referencia.
Por tanto, de acuerdo con las evidencias contenidas en el expediente, se habría
producido un incumplimiento de la obligación del artículo 21.2.
VII
Tipificación y calificación de la infracción del artículo 21.2 de la LSSI
De conformidad con las evidencias de las que se dispone en el presente momento de
acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a VF, por vulneración del artículo 21.2 de la LSSI, que señala lo
siguiente:
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una
relación contractual previa, siempre que el prestador hubiera obtenido de forma
lícita los datos de contacto del destinatario y los empleara para el envío de
comunicaciones comerciales referentes a productos o servicios de su propia
empresa que sean similares a los que inicialmente fueron objeto de
contratación con el cliente.
En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de
oponerse al tratamiento de sus datos con fines promocionales mediante un
procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos
como en cada una de las comunicaciones comerciales que le dirija.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/23
Cuando las comunicaciones hubieran sido remitidas por correo electrónico,
dicho medio deberá consistir necesariamente en la inclusión de una dirección
de correo electrónico u otra dirección electrónica válida donde pueda
ejercitarse este derecho, quedando prohibido el envío de comunicaciones que
no incluyan dicha dirección.”
De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI,
se consideran infracciones graves y leves las siguientes:
“3. Son infracciones graves:
c) El envío masivo de comunicaciones comerciales por correo electrónico u
otro medio de comunicación electrónica equivalente, a su envío insistente o
sistemático a un mismo destinatario del servicio cuando en dichos envíos no se
cumplan los requisitos establecidos en el artículo 21”.
“4. Son infracciones leves:
d) El envío de comunicaciones comerciales por correo electrónico u otro medio
de comunicación electrónica equivalente cuando en dichos envíos no se
cumplan los requisitos establecidos en el artículo 21 y no constituya infracción
grave”.
En consecuencia, la infracción del artículo 21.2 de la LSSI, en los términos indicados
por el citado artículo 38.4.d), se califica en términos generales como infracción leve,
aunque si se produce un envío masivo de comunicaciones comerciales sin ofrecer al
destinatario un procedimiento sencillo y gratuito para que pueda oponerse al
tratamiento de sus datos con fines promocionales o su envío insistente o sistemático a
un mismo destinatario sin el aludido procedimiento, en los términos que se indican en
el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los
efectos de la LSSI.
En el presente caso, los hechos antes indicados, relativos al incumplimiento de la
obligación del artículo 21.2 se corresponderían con una infracción leve, conforme al
artículo 38.4 d) de la LSSI.
VIII
Sanción por infracción del artículo 21.2 de la LSSI
La infracción indicada puede ser sancionada con multa de hasta 30.000 €, de acuerdo
con el artículo 39.1 c) de la LSSI, que estipula lo siguiente:
“1. Por la comisión de las infracciones recogidas en el artículo anterior, se
impondrán las siguientes sanciones:
(…)
c) Por la comisión de infracciones leves, multa de hasta 30.000 euros.”
Asimismo, de conformidad con las evidencias de las que se dispone en el presente
momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/23
resulte de la instrucción se considera que procede graduar la sanción a imponer de
acuerdo con los siguientes criterios que establece el artículo 40 de la LSSI:
“La cuantía de las multas que se impongan se graduará atendiendo a los
siguientes criterios:
a) La existencia de intencionalidad.
b) Plazo de tiempo durante el que se haya venido cometiendo la infracción.
c) La reincidencia por comisión de infracciones de la misma naturaleza, cuando
así haya sido declarado por resolución firme.
d) La naturaleza y cuantía de los perjuicios causados.
e) Los beneficios obtenidos por la infracción.
f) Volumen de facturación a que afecte la infracción cometida.
g) La adhesión a un código de conducta o a un sistema de autorregulación
publicitaria aplicable respecto a la infracción cometida, que cumpla con lo
dispuesto en el artículo 18 o en la disposición final octava y que haya sido
informado favorablemente por el órgano u órganos competentes.”
En el presente caso existen tres correos electrónicos en los que, de acuerdo con las
evidencias que obran en el expediente, no consta la posibilidad de oponerse al
tratamiento de los datos con fines promocionales, de acuerdo con lo establecido en el
apartado 2 del artículo 21 de la LSSI.
Las circunstancias individuales del presente caso, a efectos de decidir sobre la
imposición de una multa administrativa y su cuantía, de conformidad con las
evidencias de que se dispone en el presente momento de resolución de procedimiento
sancionador y los criterios establecidos en el artículo 40 de la LSSI, permiten fijar una
sanción de multa administrativa por la infracción del artículo 21.2 de la LSSI, de
CINCO MIL euros (5.000,00 euros).
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, una
sanción de multa de VEINTE MIL euros (20.000,00 euros), correspondiente a las
siguientes infracciones:
- Por una infracción del artículo 21.1 de la LSSI, tipificada en el artículo 38.4.d) de la
LSSI, una multa de QUINCE MIL euros (15.000,00 euros).
- Por una infracción del artículo 21.2 de la LSSI, tipificada en el artículo 38.4.d) de la
LSSI, una multa de CINCO MIL euros (5.000,00 euros).
SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/23
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-101224
Lorenzo Cotino Hueso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/23
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es