1/8
Procedimiento Nº: PS/00014/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 14 de octubre de 2019
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra TELEFONICA MOVILES ESPAÑA, S.A.U.
Los motivos en que basa la reclamación son la portabilidad, de la línea de teléfono
***TELÉFONO.1 de la que es titular, a la empresa TELEFÓNICA MÓVILES ESPAÑA,
S.A.U. sin su consentimiento.
El servicio de telefonía hasta ese día era prestado por YOIGO que es quien según la
reclamante cede sus datos personales sin su autorización a la empresa TELEFÓNICA
MÓVILES ESPAÑA, S.A.U. y esta ejecuta la acción cambiando la titularidad de la
línea produciéndose la pérdida de dicha línea.
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por el reclamante / de los hechos y documentos de los que ha
tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos
procedió a la realización de actuaciones previas de investigación para el
esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación
otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
Como resultado de las actuaciones de investigación practicadas, se constatan
los siguientes hechos:
En el seno del expediente E/10113/2018, se da traslado de la reclamación a
TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y XFERA MÓVILES, S.A. (YOIGO) con
fecha de notificación de 17 de diciembre de 2018 y 27 de diciembre de 2018
respectivamente, solicitando remita un informe sobre las causas que han motivado la
incidencia que ha originado la reclamación, y sobre las medidas adoptadas para evitar
que se produzcan incidencias similares.
TELEFÓNICA MÓVILES ESPAÑA, S.A.U. (en adelante la reclamada) presenta
escrito de alegaciones manifestando que el número ***TELÉFONO.1 fue importado a
la reclamada desde YOIGO el 05/11/2018 a las 02:00h.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
Señala que en los casos de portabilidad de líneas, el agente debe transferir la
llamada a la entidad verificadora de la portabilidad móvil con carácter previo a la
inserción de la solicitud de portabilidad que desencadena la Especificación Técnica
aprobada por la Comisión Nacional de los Mercados y la Competencia (en adelante
CNMC) para el cambio de operador, pero debido a un fallo puntual del agente que
tramitó el alta en el servicio, se realizó la inserción de la portabilidad con anterioridad a
la verificación por parte de tercero de forma contraria a lo dictado en la norma.
La reclamada aporta las grabaciones de solicitud de alta por portabilidad y la
llamada de verificación de consentimiento verbal por tercero.
La reclamada añade que el solicitante del alta solicitó que se realizara la
llamada de verificación con posterioridad a la solicitud y que una vez realizada la
verificación, se enviaron tres SMS al titular de la línea con objeto de informar y ofrecer
la posibilidad de cancelar dicha operación.
La operativa de portabilidad móvil implementada en dicha operadora contempla
en el procedimiento general de portabilidad el envío de una serie de SMS informativos
al número de teléfono que va a ser portado en los que se informa de los distintos
pasos por los que pasa la solicitud realizada, pero no aporta acreditación de los envíos
realizados a esta línea.
La reclamada alega también que no tenía constancia de ninguna reclamación
hasta el 18 de septiembre de 2019; fecha en la que la Junta Arbitral de
***LOCALIDAD.1 hace llegar a esta Compañía una reclamación presentada en
relación con este proceso a finales de noviembre de 2018, prácticamente un año
después de que tuvieran lugar los hechos reclamados. La vista arbitral se ha
celebrado el pasado día 10 de octubre de 2019 y la reclamada está pendiente de
recibir la notificación del laudo arbitral que se dicte al objeto de dar cumplimiento a su
contenido.
La operadora reclamada concluye sus alegaciones manifestando que en la
actualidad la titularidad de la línea es del solicitante de la portabilidad, no de la
reclamante.
Y, entre otros, adjuntan los siguientes documentos.
- Grabación de la conversación telefónica del alta de fecha 31 de octubre de
2018
- Grabación de llamada verificación de consentimiento verbal de la
portabilidad de fecha 1 de noviembre de 2018.
- Copia de la citación a la vista arbitral
- Traslado de la reclamación
TERCERO: Con fecha 4 de febrero de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo
83.5 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones el 24 de febrero de 2020, en el que, en síntesis, manifestaba que pese a
haber realizado la inserción de solicitud de portabilidad el día 31 de octubre de 2018,
ésta no se produce de forma efectiva hasta el día 5 de noviembre de 2019, habiendo
tenido la reclamante un plazo de seis (6) días para ponerse en contacto con el
reclamado.
Sin embargo, la reclamante no presenta ninguna reclamación, ni solicitud de
cancelación del proceso de portabilidad, no constando ninguna incidencia reportada
por la reclamante ante dicha operadora en relación con esta solicitud hasta el 18 de
septiembre de 2019, esto es, casi un año después de que tuviesen lugar los hechos
denunciados, objeto de la presente reclamación y en el transcurso de ese tiempo la
línea estuvo funcionando en todo momento de forma correcta y sin ningún tipo de
incidencia. adicionalmente, la reclamada cuenta con la grabación del consentimiento
de la reclamante para portar su línea de fecha 2 de noviembre de 2018.
QUINTO: Con fecha 3 de marzo de 2020 el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas de investigación, E/02655/2019.
SEXTO: Con fecha 4 de marzo de 2020 se formuló propuesta de resolución,
proponiendo que se sancione a TELEFONICA MOVILES ESPAÑA, S.A.U. con NIF
A78923125, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5
del RGPD, una multa de 75.000€ (setenta y cinco mil euros)
SEPTIMO: Con fecha 8 de junio de 2020, el reclamado remite escrito expresando las
siguientes manifestaciones
“Reiteramos que nos encontramos ante un error humano puntual que no
afectaría al procedimiento general establecido por TME para estos casos.
Asimismo, ponemos en conocimiento de la AEPD que a pesar de que el
proceso de portabilidad se había iniciado, posteriormente se contactó con la
RECLAMANTE para solicitar su consentimiento.
Por lo que se refiere a la presunta ausencia del consentimiento para la
contratación, regulado en el artículo 6.1 del Reglamento (UE) 2016/679 General de
Protección de Datos (en adelante, “RGPD”), debemos decir que el citado precepto de
la RGPD no requiere que el consentimiento se presente por escrito o con formalidades
determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”,
correspondiendo en este caso a mi representada acreditar que se cuenta con el
consentimiento de la RECLAMANTE. A tales efectos, nos remitimos a la grabación de
fecha 2 de noviembre de 2018 que ya obra en poder de la AEPD como prueba
concluyente de la otorgación de dicho consentimiento.
Por todo lo anterior y teniendo en cuenta que nuestro agente hubiese cometido
el error humano puntual de comenzar el proceso de portabilidad de forma previa a la
verificación, desde TME consideramos que la RECLAMANTE habría prestado su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
consentimiento para realizar la portabilidad de su línea de forma inequívoca días antes
de la portabilidad efectiva de la línea.
Por lo expuesto, insistimos que no se ha producido una infracción del artículo
6.1 de la RGPD para el tratamiento de los datos en materia de protección de datos.”
HECHOS PROBADOS
PRIMERO: Se ha llevado a cabo la portabilidad, de la línea de teléfono
***TELÉFONO.1 de la que es titular el reclamante, sin su consentimiento.
El servicio de telefonía hasta ese día era prestado por YOIGO que es quien
según la reclamante cede sus datos personales sin su autorización a la empresa
reclamada y esta ejecuta la acción cambiando la titularidad de la línea produciéndose
la pérdida de dicha línea.
SEGUNDO: La entidad reclamada alega que aunque la solicitud de portabilidad se
realiza el día 31 de octubre de 2018, ésta no se produce de forma efectiva hasta el día
5 de noviembre de 2019, por lo que la reclamante ha tenido seis (6) días para ponerse
en contacto con el reclamado.
Sin embargo, la reclamante no presenta ninguna reclamación, ni solicitud de
cancelación del proceso de portabilidad, hasta el 18 de septiembre de 2019, casi un
año después, y durante todo este tiempo la línea estuvo funcionando en todo momento
de forma correcta y sin ningún tipo de incidencia.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
El artículo 4.11 del RGPD define el «consentimiento del interesado» como toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen.
Por su parte el artículo 6.1 del RGPD establece que “El tratamiento solo será
lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable
al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.”
III
En el presente caso se denuncia la portabilidad de la línea de teléfono
***TELÉFONO.1 de la que es titular la reclamante, a la operadora reclamada porque
esta se produce sin su consentimiento.
Dicha operadora reconoce un error humano en el protocolo seguido para llevar a
cabo la portabilidad de la línea objeto de esta reclamación, ya que el agente debe
transferir la llamada a la entidad verificadora de la portabilidad móvil con carácter
previo a la inserción de la solicitud de portabilidad que desencadena la Especificación
Técnica aprobada por la Comisión Nacional de los Mercados y la Competencia (en
adelante CNMC) para el cambio de operador, pero debido a un fallo puntual del agente
que tramitó el alta en el servicio, se realizó la inserción de la portabilidad con
anterioridad a la verificación por parte de tercero de forma contraria a lo dictado en la
norma.
De las locuciones aportadas a esta Agencia por la reclamada, se desprende
que en la grabación de alta de la portabilidad mantenida entre el titular de la llamada y
el agente de la reclamada, se comprueba que los datos de identificación del
interlocutor con el agente de la operadora no coinciden con los de la reclamante y
titular de la línea.
Destacar en este punto que aunque la reclamada es conocedora de que los
datos del solicitante del alta-portabilidad, son diferentes a los de la titular de la línea y
reclamante, se escucha en la grabación de la verificación por tercero que este
verificador pregunta al agente de la operadora reclamada, si el solicitante corresponde
con el nombre y apellidos de la reclamante que el verificador le proporciona y a lo que
dicho agente responde “SI”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
De este hecho se desprende que la reclamada permite que la verificación
continúe pese a conocer que los datos del solicitante de portabilidad no coinciden con
los datos del titular de la línea aportados por el verificador.
Así las cosas, de conformidad con las evidencias de las que se dispone, se
considera que la operadora reclamada ha utilizado los datos de la reclamante, para llevar a
cabo la portabilidad, de la línea de teléfono ***TELÉFONO.1 de la que es titular, sin su
consentimiento para la contratación, ni ninguna otra causa que legitimase el
tratamiento de sus datos.
La reclamada en respuesta al traslado de la presente reclamación aporta
grabaciones de las que se desprende que se realizó la portabilidad de una línea con el
conocimiento de que los intervinientes, es decir solicitante de la portabilidad y titular de
la línea, tenían nombre y apellidos diferentes, lo que desencadenó una portabilidad no
solicitada por el titular de la línea, es decir la reclamante, y la perdida de la
correspondiente línea telefónica, contraviniendo con ello lo establecido en la Circular
1/2009 de la Comisión Nacional para los Mercados y la Competencia en su Anexo I,
apartado “Tramitación de solicitudes de portabilidad móvil” punto 4, que indica que el
verificador solicitará al cliente que aporte o confirme los datos personales del titular y
los datos relativos a la línea y operadores.
Por lo tanto, se considera que los hechos conocidos son constitutivos de una
infracción, imputable al reclamado, por una presunta vulneración del artículo 6 del
RGPD, indicado en el fundamento II.
IV
El artículo 72.1.b) de la LOPDGDD señala que “en función de lo que establece
el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y
prescribirán a los tres años las infracciones que supongan una vulneración sustancial
de los artículos mencionados en aquel y, en particular, las siguientes:
c) El tratamiento de datos personales sin que concurra alguna de las condiciones
de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.”
V
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación:
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
VI
Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen
de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente no intencional, pero significati-
vos identificados (artículo 83.2 b)
Se encuentran afectados identificadores personales básicos (nombre, un número
de identificación, el identificador de línea), según el artículo 83.2 g)
Por lo tanto, a tenor de lo anteriormente expuesto,
Por la Directora de la Agencia Española de Protección de Datos,
SE ACUERDA:
PRIMERO: IMPONER a TELEFONICA MOVILES ESPAÑA, S.A.U. con NIF
A78923125, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5
del RGPD, una multa de 75.000 € (Setenta y cinco mil euros).
SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA MOVILES ESPAÑA,
S.A.U.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es