1/21
Procedimiento Nº: PS/00089/2021
RESOLUCIÓN R/00251/2021 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
En el procedimiento sancionador PS/00089/2021, instruido por la Agencia Española de
Protección de Datos a ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por
A.A.A., B.B.B., C.C.C., D.D.D., E.E.E., F.F.F., G.G.G., H.H.H., I.I.I., J.J.J., K.K.K.,
L.L.L., M.M.M., N.N.N., Ñ.Ñ.Ñ., O.O.O., P.P.P., Q.Q.Q., R.R.R., S.S.S., T.T.T., U.U.U.,
W.W.W., X.X.X., W.W.W., Z.Z.Z. ---, y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 25 de febrero de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a ORANGE ESPAGNE,
S.A.U. (en adelante, el reclamado), mediante el Acuerdo que se transcribe:
<<
Procedimiento Nº: PS/00089/2021
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas de oficio por la Agencia Española de Protección de
Datos y con base en los siguientes
ANTECEDENTES DE HECHO
PRIMERO: Con fecha de 21 de diciembre de 2018 la Directora de la Agencia Española de
Protección de Datos acuerda iniciar actuaciones de investigación tendentes a acreditar, en
su caso, la existencia de una conducta regular y continuada de posible vulneración de
la normativa de protección de datos en el ámbito de las acciones de mercadotecnia
directa por parte de Orange Espagne, S.A.U.
Dicho acuerdo de inicio de actuaciones de investigación tiene su origen en el análisis
realizado sobre 85 procedimientos abiertos por la AEPD contra Orange Espagne,
S.A.U. por realización de comunicaciones comerciales que podrían vulnerar la
normativa de protección de datos. De dicho análisis se concluye que si bien se ha
obtenido una respuesta satisfactoria en la mayoría de las reclamaciones interpuestas
(al haber manifestado la denunciada que los datos del denunciante se incorporaban a
los ficheros de exclusión de acciones publicitarias de su entidad), no dejan de poner
de manifiesto que el procedimiento llevado a cabo no es el adecuado y los protocolos
definidos para el tratamiento de datos para fines publicitarios podrían suponer una
vulneración de la normativa de protección de datos en el ámbito de las acciones de
mercadotecnia directa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/21
SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación con número E/10407/2018, teniendo
conocimiento de lo siguiente:
En escrito de Orange Espagne, S.A.U., de 27 de febrero de 2019, de respuesta a la
información solicitada por la Subdirección General de Inspección de Datos, se expone
que la misma se facilita diferenciado los siguientes tres bloques; Campañas dirigidas a
clientes potenciales, campañas dirigidas a cartera de clientes y depuración de bases
de datos (Robinson).
En lo que respecta a las campañas de SMS dirigidas a clientes potenciales manifiesta
lo siguiente:
-En lo que respecta a la identificación de las campañas:
“Las campañas de SMS tienen como objetivo generar tráfico entrante a las
numeraciones comerciales de Orange y Jazztel. La actividad se centra en los mismos
grupos de marca y tipo de cliente potencial que las llamadas comerciales:
SMS Orange
Nuevo Cliente
Cartera
SMS Jazztel
Nuevo Cliente
Cartera
-En cuanto al Medio o canal a través del cual se realizó la campaña:
“Medio telefónico: Llamadas salientes. Medio telefónico: SMS salientes”
-Respecto a la especificación detallada de los parámetros identificativos de los
destinatarios de la campaña, indicando si los mismos fueron fijados por su entidad o
por la compañía a la que se encargó su realización, el origen de los datos de los
destinatarios de las acciones comerciales y, si los ficheros utilizados hubieran sido
proporcionados por un tercero, información proporcionada sobre el origen de los datos,
expone lo siguiente:
“Para las campañas realizadas a través de SMS, el número total de registros, las
URL,s de donde se extraen los citados registros y el volumen emitido a cada
Proveedor se encuentra en cada una de las Fichas de cada proveedor que se
participan a esta Agencia como Documento Anexo nº 6, (content, digital, datacentric,
viaevolution, Eretail y los ficheros de BBDD Propia Orange y Propia Jazztel). El origen
de los datos para la emisión de dichas campañas consta, como se ha manifestado, en
cada una de las Fichas de Proveedor en las que se puede encontrar la URL a través
de la que cada proveedor realiza la captación de estos leads.”
El aludido anexo 6, contiene un documento denominado “Ficha BBDD propia Jazztel”.
Dicho documento en formato Excel, contiene 3 pestañas.
La primera de ella denominada “BBDDpropiaOrange” contiene el siguiente cuadro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/21
FICHERO BBDD Propias C2C Jazztel contratos
TITULAR / RESPONSABLE Jazztel
DEL TRATAMIENTO
AGENCIA / ENCARGADO Jazztel
DEL TRATAMIENTO
URL donde se recogen los El usuario aterriza en una de las
registros (de todas las landings y o Tienda de Jazztel en
BBDD) donde se le da como opción de
contactacion el servicio de llamada
click to call (C2C). Si el cliente decide
utilizar este servicio, introduce el
teléfono al que le quieren que le
llamen. En el caso de no aceptar las
condiciones te sale un mensaje,
indicando que es necesario el check.
Los datos del cliente no se envían
siempre y cuando no hagan check en
la “política de privacidad”.
URL +info/bajas para SMS XXXXXXXX
de cada base jazztel y
orange
Fecha actualización política 25 de Mayo 2018
de privacidad
La segunda pestaña denominada “operativa C2C”, expone dicha operativa de la
siguiente manera:
Se indica en primer lugar que “El usuario aterriza en una de las landings y o Tienda de
Jazztel en donde se le da como opción de contactacion el servicio de llamada click to call
(C2C)”(sic). Debajo aparece una captura de pantalla en la que en un recuadro puede
leerse lo siguiente:
“¿Quieres saber más? Déjanos tu teléfono y te llamamos gratis” Bajo este texto
aparece un recuadro en el que puede introducirse un número de teléfono y un
botón con la leyenda “Llamadme ahora”. Debajo se encuentra una casilla para
marcar la aceptación de la política de privacidad, junto a un texto en el que se
indica “Acepto la política de privacidad de datos”.
En segundo lugar, se señala que “los datos no se envían siempre y cuando no se haga
check en la política de privacidad.” Y se muestran dos capturas de pantalla. La primera es
idéntica a la descrita con anterioridad con la diferencia de que aparece marcada la casilla
para aceptar la política de privacidad. En la segunda, aparece también el texto “¿Quieres
saber más? Déjanos tu teléfono y te llamamos gratis” y bajo este texto aparece otro con el
siguiente contenido “Por razones de seguridad no pueden ser aceptadas más peticiones
de este origen. Por favor intente más tarde”.
En tercer lugar, se señala que “este es el texto legal que el cliente acepta antes de utilizar
dicho servicio” mostrando una captura de pantalla en la que puede leerse lo siguiente:
“Política de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/21
Tus datos serán tratados por Orange Espagne, S.A.U. (CIF. A-82009812), domicilio social
en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad del envío por cualquier
medio de comunicaciones comerciales sobre todos los productos y servicios desarrollados
por ORANGE. La legitimación para este tratamiento es el consentimiento del interesado.
Puedes revocar tu consentimiento en cualquier momento, así como ejercer los derechos
de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad,
dirigiendo un escrito a ORANGE, ref. “Protección de Datos”, adjuntando fotocopia de
documento válido de identidad, en la dirección indicada anteriormente. Puedes consultar
información adicional y detallada sobre nuestra Política de Protección de Datos aquí.
Jazztel es una marca registrada de Orange Espagne, S.A.U.”
La tercera pestaña denominada “protección de datos” muestra una captura de
pantalla que bajo el logo de Orange reproduce el texto anteriormente transcrito, con la
excepción del último inciso, relativo al carácter de marca registrada de Jazztel.
Entre los documentos aportados en el aludido anexo 6 figura también el documento
denominado “BBDDpropia Orange” Dicho documento, igualmente en formato Excel,
contiene también 3 pestañas:
La primera denominada “BBDDpropiaOrange” contiene un cuadro igual al
que aparece en la primera pestaña del documento BBDDpropia Jazztel, arriba
reproducido, si bien se sustituye “Jazztel” por “Orange” en todos sus apartados.
En la segunda pestaña denominada “operativa C2C”, se expone igualmente
dicha operativa de la siguiente forma:
En primer lugar se señala que “El usuario aterriza en una de las landings y o Tienda de
Orange en donde se le da como opción de contactacion el servicio de llamada click to
call (C2C)” (sic). Figura, a continuación, una captura de pantalla en la que se muestra
un recuadro con los siguientes contenidos:
“En tienda online, Te llamamos GRATIS. L a V de 9-23h/ S y D de 10-22h”.
Debajo aparece una casilla para introducir el número de teléfono y bajo ésta el
texto “Debes indicarnos el número de teléfono donde quieres que te llamemos”
Bajo éste texto, se muestra otra casilla para marcar la aceptación de la política
de privacidad junto al texto “he leído y acepto la política de privacidad”
Debajo aparece un botón con el texto “enviar”.
Se indica, en segundo lugar, en lo que respecta a la operativa “Si el cliente decide
utilizar este servicio, introduce el teléfono al que le quieren que le llamen”. Bajo esta
indicación, se muestra una captura de pantalla igual a la anterior en la que se ha
introducido un número ficticio.
En tercer lugar, se aclara que “En el caso de no aceptar las condiciones te sale un
mensaje, indicando que es necesario el check.” Y se muestra una pantalla en la que
bajo la casilla para aceptar la política de privacidad se lee, destacándose con un fondo
de color amarillo, el siguiente texto “Debes leer y aceptar la política de privacidad”.
A continuación, se muestra una segunda captura de pantalla en la que el recuadro
contiene lo siguiente: “En tienda online. En tienda online, Te llamamos GRATIS. L a V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/21
de 9-23h/ S y D de 10-22h” y a continuación aparece otro texto con el siguiente
contenido “En breve nos pondremos en contacto contigo. Gracias”
Por último, se señala que “este es el texto legal que el cliente acepta antes de utilizar
dicho servicio” mostrando una captura de pantalla en la que puede leerse:
“Política de Protección de Datos.
Tus datos serán tratados por Orange Espagne, S.A.U. (CIF. A-82009812), domicilio
social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad del envío por
cualquier medio de comunicaciones comerciales sobre todos los productos y servicios
desarrollados por ORANGE. La legitimación para este tratamiento es el
consentimiento del interesado. Puedes revocar tu consentimiento en cualquier
momento, así como ejercer los derechos de acceso, rectificación, supresión,
oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE,
ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en
la dirección indicada anteriormente. Puedes consultar información adicional y detallada
sobre nuestra Política de Protección de Datos aquí.”
La tercera pestaña denominada “protección de datos” muestra una captura
de pantalla que bajo el logo de Orange reproduce el texto relativo a la política de
privacidad transcrito en el párrafo anterior.
En documento Anexo 1 aportado junto con el escrito de contestación al requerimiento
de información de la Subdirección de Inspección, se presenta la información relativa a
la identificación de las campañas realizadas a través de SMS. Se trata de un
documento Excel con dos pestañas, denominadas respectivamente “SMS Jazztel” y
“SMS Orange” en las que constan los campos fecha/Volumen y Proveedor/numeración
entrante/ texto del SMS. En lo que respecta a las fechas se observa que todos los
meses se efectúan envíos de SMS en diferentes días, figurando entre los proveedores
de Jazztel “BBDD propias C2C” junto a otros de los proveedores mencionados en el
anexo 6. En cuanto al volumen de envíos desde “BBDD propias C2C” el menor
número de SMS enviados en un día, en el caso de Jazztel es de 27.752, y el mayor de
1.050.000. Igualmente, dentro del contenido relativo a SMS Orange, se observa que
se realizan envíos todos los meses en diferentes días del mes figurando entre los
proveedores “LEADS SMS BBDD Propia Fibra” entre otros. En cuanto al número de
envíos efectuados desde “LEADS SMS BBDD Propia Fibra” en un día, el menor es de
4.029 envíos y el mayor de 67.794.
TERCERO: A fin de completar y comprobar la información proporcionada por la
reclamada, los días 26/06/2019, 18/07/2019 y 25/07/2019, se realizó una inspección
en las oficinas de Orange. Consta en el acta de fecha 25 de julio de 2019 lo siguiente,
respecto de las campañas de publicidad mediante SMS dirigidas a potenciales
clientes:
“En cuanto al envío de SMS publicitarios, son enviados por ORANGE directamente. Su
finalidad es generar tráfico entrante (Inbound). Se envían los SMS desde dos áreas:
Televenta (con la finalidad de generar llamadas de potenciales clientes) y Online (con
finalidad de recibir llamadas teleweb, dentro de la web, y recibir visitas a través de
internet).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/21
Para el envío de SMS se utilizan “leads” propios y “leads” obtenidos a través de
terceros. Se adjunta como documento 17 explicación de las equivalencias de las
denominaciones de los proveedores contratados para el envío de SMS publicitarios
respecto de “NetSales”, “DC-APPS” y “Leads Nurturing”
CUARTO: Con fecha 7 de junio de 2019, tal y como consta en diligencia de dicha
fecha, se accede al servicio “consulta tu cobertura” en la página web de Orange. Se
comprueba que para realizar tal consulta se solicitan, con carácter obligatorio, los
datos relativos a la dirección para la que se hace la consulta de cobertura (tipo de vía,
nombre de la misma, número código postal, localidad y provincia). Se solicita, también
con carácter obligatorio el dato relativo a teléfono fijo. Junto a la casilla para introducir
el teléfono fijo aparece un botón con el Texto “No, no tengo teléfono fijo” y a su lado
otra casilla para incluir el teléfono móvil. A continuación, aparece el texto acepto la
Política de Privacidad para consulta de cobertura junto a una casilla para marcar la
aceptación. Si ésta no se marca no resulta posible continuar. Junto a dicho texto
existe un enlace a más información, pulsando sobre el mismo se muestra el siguiente
texto:
“Tus datos serán tratados por Orange Espagne, S.A.U. (CIF: A-82009812), domicilio
social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad de consultar la
cobertura y del envío por cualquier medio de comunicaciones comerciales sobre todos
los productos y servicios desarrollados por ORANGE. La legitimación para este
tratamiento es el consentimiento del interesado. Puedes revocar tu consentimiento en
cualquier momento, así como ejercer los derechos de acceso, rectificación, supresión,
oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE,
Ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en
la dirección indicada anteriormente. Puedes consultar información adicional y detallada
sobre nuestra Política de Protección de Datos aquí.”
QUINTO: Con fecha 27 de enero de 2020, se procede a declarar el archivo de las
actuaciones previas E/10407/2018, por haber transcurrido el plazo de 12 meses desde
el inicio de las mismas, de acuerdo con lo previsto en el artículo 67 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales. Asimismo, al amparo de lo previsto en el artículo 95.3 de la Ley Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas se ordena la apertura de nuevas actuaciones de
investigación, incorporando a estas nuevas actuaciones la documentación que
integran las actuaciones previas que se declaran caducadas.
SEXTO: En el marco de las nuevas actuaciones de investigación, con número
E/1689/2020, ordenadas por la Directora de la Agencia Española de Protección de
Datos en la resolución a que se hace referencia en el número anterior, se accede,
como consta en diligencia de 24 de noviembre de 2020, al servicio “consulta tu
cobertura” en la página web de Orange.***URL.1. Se comprueba que, al igual que se
describe en el anterior número cuarto del presente acuerdo de inicio de procedimiento
sancionador, se solicitan con carácter obligatorio los datos relativos a la dirección para
la que se hace la consulta de cobertura (tipo de vía, nombre de la misma, número
código postal, localidad y provincia). Se solicita, también con carácter obligatorio el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/21
dato relativo a teléfono fijo. Junto a la casilla para introducir el teléfono fijo aparece un
botón con el Texto “No, no tengo teléfono fijo” y a su lado otra casilla para incluir el
teléfono móvil. A continuación, junto a una casilla para marcar la aceptación aparece el
texto “acepto la Política de Privacidad para consulta de cobertura”. Si no se marca
dicha casilla no resulta posible continuar. Junto a dicho texto existe un enlace a más
información, pulsando sobre el mismo se muestra el siguiente texto:
“Tus datos serán tratados por Orange Espagne, S.A.U. (NIF: A-82009812), domicilio
social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad de consultar la
cobertura y del envío por cualquier medio de comunicaciones comerciales sobre todos
los productos y servicios desarrollados por ORANGE. La legitimación para este
tratamiento es el consentimiento del interesado. Puedes revocar tu consentimiento en
cualquier momento, así como ejercer los derechos de acceso, rectificación, supresión,
oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE,
Ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en
la dirección indicada anteriormente. Puedes consultar información adicional y detallada
sobre nuestra Política de Protección de Datos aquí.”
SEPTIMO: Con fecha 24 de noviembre de 2020 se accede al formulario de recogida
de datos del apartado “¡O te llamamos nosotros!”, alojado en el sitio ***URL.2. Tal y
como consta, en diligencia de dicha fecha, en dicho apartado puede leerse “Llámanos
gratis 900833400 ¡O te llamamos nosotros! A continuación aparece una casilla para
introducir el número de teléfono y bajo esta otra casilla para marcar la aceptación de la
política de privacidad, junto al enlace “acepto la política de privacidad de datos”. Al
pulsar sobre dicho enlace se muestra la siguiente información:
“Tus datos serán tratados por Orange Espagne, S.A.U. (CIF: A-82009812), domicilio
social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad del envío por
cualquier medio de comunicaciones comerciales sobre todos los productos y servicios
desarrollados por ORANGE. La legitimación para este tratamiento es el
consentimiento del interesado. Puedes revocar tu consentimiento en cualquier
momento, así como ejercer los derechos de acceso, rectificación, supresión,
oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE,
Ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en
la dirección indicada anteriormente. Puedes consultar información adicional y detallada
sobre nuestra Política de Protección de Datos aquí. Jazztel es una marca registrada
de Orange Espagne, S.A.U.”
OCTAVO: Se obtiene información sobre el volumen de ventas de la entidad siendo los
resultados de la cifra de negocio durante el año 2019 de 4.779 670.000 €.
FUNDAMENTOS DE DERECHO
I
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/21
De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley
34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio
Electrónico (LSSICE), la Directora de la Agencia Española de Protección de Datos es
competente para iniciar y resolver este procedimiento sancionador.
El artículo 63.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y Garantía de los Derechos Digitales (en lo sucesivo ) LOPDGDD
determina que: “Los procedimientos tramitados por la Agencia Española de Protección
de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente
ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en
cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre
los procedimientos administrativos.”
La disposición adicional cuarta de la LOPDGDD establece respecto del procedimiento
en relación con las competencias atribuidas a la Agencia Española de Protección de
Datos por otras leyes que “Lo dispuesto en el Título VIII y en sus normas de desarrollo
será de aplicación a los procedimientos que la Agencia Española de Protección de
Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por
otras leyes.”
II
El artículo 95 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo,
de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento
General de Protección de Datos, en adelante RGPD) determina su relación con la
Directiva 2002/58/CE del Parlamento Europeo y del Consejo de 12 de julio de 2002
relativa al tratamiento de los datos personales y a la protección de la intimidad en el
sector de las comunicaciones electrónicas (en lo sucesivo Directiva 2002/58/CE), al
establecer que “El presente Reglamento no impondrá obligaciones adicionales a las
personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de
servicios públicos de comunicaciones electrónicas en redes públicas de comunicación
de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el
mismo objetivo establecidas en la Directiva 2002/58/CE del Parlamento Europeo y del
Consejo de 12 de julio de 2002”.
Al respecto, la LSSICE incorpora al ordenamiento jurídico español la citada
Directiva 2002/58/CE.
En relación con los citados artículos del RGPD arriba mencionados y la LSSICE, se
debe señalar lo siguiente: El principio de jerarquía normativa se consagra
constitucionalmente en el artículo 9.3 de la Constitución Española (en lo sucesivo
C.E.). El principio de jerarquía normativa se completa con el principio de especialidad,
en cuanto la Ley especial prevalece sobre la Ley general. Respecto a las relaciones
entre las leyes orgánicas y las ordinarias, el Tribunal Constitucional señala que el
principio de jerarquía no es el adecuado para determinar las relaciones entre ambas,
sino que unas y otras no se sitúan en planos jerárquicos distintos y que esas
relaciones vienen dadas por las materias que se reservan a las primeras en virtud del
art. 81 de la Constitución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/21
En el presente caso, y en relación con la materia específica que regula la LSSICE,
debe prevalecer esta ley por razón de materia frente al RGPD y LOPDGDD, sin
perjuicio de que la primera pueda necesitar de ser complementada -en el caso de que
sea necesario- por las figuras jurídicas que desarrollan las segundas. Sin perjuicio del
desarrollo posterior de los hechos ahora analizados desde la perspectiva de la citada
ley especial LSSICE), debe adelantarse la definición del consentimiento contenida en
el artículo 4 del RGPD según el cual “A efectos del presente Reglamento se entenderá
por:
11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.”
III
Como anteriormente se ha indicado, desde la perspectiva del RGPD figuran diversos
conceptos jurídicos que complementan directamente los incorporados en la LSSICE.
El artículo 21 de la LSSICE recoge de forma específica la necesidad de autorización
expresa por los destinatarios de comunicaciones comerciales por medios electrónicos,
estableciendo lo siguiente:
“1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por co-
rreo electrónico u otro medio de comunicación electrónica equivalente que previamen-
te no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las
mismas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una rela-
ción contractual previa, siempre que el prestador hubiera obtenido de forma lícita los
datos de contacto del destinatario y los empleara para el envío de comunicaciones co-
merciales referentes a productos o servicios de su propia empresa que sean similares
a los que inicialmente fueron objeto de contratación con el cliente.
En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al
tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo
y gratuito, tanto en el momento de recogida de los datos como en cada una de las co-
municaciones comerciales que le dirija.
Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho me-
dio deberá consistir necesariamente en la inclusión de una dirección de correo electró-
nico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedan-
do prohibido el envío de comunicaciones que no incluyan dicha dirección.”
Ello, sin perjuicio de que a los efectos formales de recabar la autorización la norma
aplicable sea lo dispuesto en el art 4.11 del RGPD, en relación con el art 19 de la
LSSICE, que dispone:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/21
“1. Las comunicaciones comerciales y las ofertas promocionales se regirán, además
de por la presente Ley, por su normativa propia y la vigente en materia comercial y de
publicidad.
2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de
Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial,
en lo que se refiere a la obtención de datos personales, la información a los
interesados y la creación y mantenimiento de ficheros de datos personales”
En todo caso, la infracción se regula en el régimen sancionador de la LSSICE.
El número 11 del artículo 4 del RGPD define el consentimiento como “Toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”
Por su parte, los artículos 6 y 7 del RGPD se refieren, respectivamente, a la “Licitud
del tratamiento” y las “Condiciones para el consentimiento”:
Artículo 6 del RGPD.
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
Artículo 7 del RGPD.
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de
tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de
fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte
de la declaración que constituya infracción del presente Reglamento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/21
3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La
retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado
será informado de ello. Será tan fácil retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la
mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato,
incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de
datos personales que no son necesarios para la ejecución de dicho contrato”.
Se tiene en cuenta lo expresado en los considerandos 32, 40 a 44 y 47 del RGPD en
relación con lo establecido en los artículos 6 y 7 antes reseñados. De lo expresado en
estos considerandos, cabe destacar lo siguiente:
(32) El consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen, como una
declaración por escrito, inclusive por medios electrónicos, o una declaración verbal.
Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros
técnicos para la utilización de servicios de la sociedad de la información, o cualquier
otra declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las
casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a
raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no
perturbar innecesariamente el uso del servicio para el que se presta.
(42) Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el
responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su
consentimiento a la operación de tratamiento. En particular en el contexto de una
declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el
interesado es consciente del hecho de que da su consentimiento y de la medida en
que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo, debe proporcionarse
un modelo de declaración de consentimiento elaborado previamente por el
responsable del tratamiento con una formulación inteligible y de fácil acceso que
emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que
el consentimiento sea informado, el interesado debe conocer como mínimo la
identidad del responsable del tratamiento y los fines del tratamiento a los cuales están
destinados los datos personales. El consentimiento no debe considerarse libremente
prestado cuando el interesado no goza de verdadera o libre elección o no puede
denegar o retirar su consentimiento sin sufrir perjuicio alguno.
(43) (…) Se presume que el consentimiento no se ha dado libremente cuando no
permita autorizar por separado las distintas operaciones de tratamiento de datos
personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un
contrato, incluida la prestación de un servicio, sea dependiente del consentimiento,
aún cuando este no sea necesario para dicho cumplimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/21
Procede tener en cuenta, igualmente lo establecido en el artículo 6 de la LOPDGDD:
“Artículo 6. Tratamiento basado en el consentimiento del afectado
1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.
Se tiene en cuenta también lo señado por el Comité Europeo de Protección de Datos
en el documento ““Directrices 05/2020 sobre el consentimiento con arreglo al
Reglamento 2016/679” aprobadas el 4 de mayo de 2020, que actualiza las Directrices
sobre el consentimiento en virtud del Reglamento 2016/679, adoptadas por el Grupo
de Trabajo del artículo 29 y que fueron aprobadas por el Comité Europeo de
Protección de Datos en su primera reunión plenaria. De lo indicado en dicho
documento, interesa aquí destacar algunos de los criterios relacionados con la validez
del consentimiento, en concreto sobre los elementos “libre“, “específico”, “informado”
e “inequívoco”:
“3.1. Manifestación de voluntad libre
El término «libre» implica elección y control reales por parte de los interesados. Como norma
general, el RGPD establece que, si el sujeto no es realmente libre para elegir, se siente
obligado a dar su consentimiento o sufrirá consecuencias negativas si no lo da, entonces el
consentimiento no puede considerarse válido, Si el consentimiento está incluido como una
parte no negociable de las condiciones generales se asume que no se ha dado libremente. En
consecuencia, no se considerará que el consentimiento se ha prestado libremente si el
interesado no puede negar o retirar su consentimiento sin perjuicio. La noción de desequilibrio
entre el responsable del tratamiento y el interesado también se tiene en cuenta en el RGPD.
A la hora de valorar si el consentimiento se ha dado libremente, deben considerarse también
las situaciones concretas en las que el consentimiento se supedita a la ejecución de contratos o
a la prestación de un servicio tal y como se describe en el artículo 7, apartado 4. El artículo 7,
apartado 4, se ha redactado de manera no exhaustiva mediante el uso de la expresión «entre
otras cosas», lo que significa que puede haber otras circunstancias que entren en el ámbito de
aplicación de esta disposición. En términos generales, el consentimiento quedará invalidado
por cualquier influencia o presión inadecuada ejercida sobre el interesado (que puede
manifestarse de formas muy distintas) que impida que este ejerza su libre voluntad. (…)
3.2. Manifestación de voluntad específica
El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el
tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado
puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento
deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el
interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/21
vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse
en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma,
para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
i) la especificación del fin como garantía contra la desviación del uso,
i) la disociación en las solicitudes de consentimiento, y
ii) una clara separación entre la información relacionada con la obtención del
consentimiento para las actividades de tratamiento de datos y la información relativa a
otras cuestiones.
Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del
consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y
legítimo para la actividad de tratamiento prevista. La necesidad del consentimiento específico
en combinación con la noción de limitación de la finalidad que figura en el artículo 5, apartado
1, letra b), funciona como garantía frente a la ampliación o difuminación gradual de los fines
para los que se realiza el tratamiento de los datos una vez que un interesado haya dado su
autorización a la recogida inicial de los datos. Este fenómeno, también conocido como
desviación del uso, supone un riesgo para los interesados ya que puede dar lugar a un uso
imprevisto de los datos personales por parte del responsable del tratamiento o de terceras
partes y a la pérdida de control por parte del interesado.
Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los interesados
deberán siempre dar su consentimiento para un fin específico para el tratamiento de los datos.
En consonancia con el concepto de limitación de la finalidad, con el artículo 5, apartado 1, letra
b), y con el considerando 32, el consentimiento puede abarcar distintas operaciones, siempre
que dichas operaciones tengan un mismo fin. Huelga decir que el consentimiento específico
solo puede obtenerse cuando se informa expresamente a los interesados sobre los fines
previstos para el uso de los datos que les conciernen.
Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el consentimiento debe
ser específico para cada fin. Los interesados darán su consentimiento entendiendo que tienen
control sobre sus datos y que estos solo serán tratados para dichos fines específicos. Si un
responsable trata datos basándose en el consentimiento y, además, desea tratar dichos datos
para otro fin, deberá obtener el consentimiento para ese otro fin, a menos que exista otra base
jurídica que refleje mejor la situación.
(…)
Ad. ii) Los mecanismos de consentimiento no solo deben estar separados con el fin de cumplir
el requisito de consentimiento «libre», sino que también deben cumplir con el de
consentimiento «específico». Esto significa que un responsable del tratamiento que busque el
consentimiento para varios fines distintos, debe facilitar la posibilidad de optar por cada fin, de
manera que los usuarios puedan dar consentimiento específico para fines específicos.
Ad. iii) Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de
consentimiento separada, información específica sobre los datos que se tratarán para cada fin,
con el objeto de que los interesados conozcan la repercusión de las diferentes opciones que
tienen. De este modo, se permite a los interesados dar un consentimiento específico. Esta
cuestión se solapa con el requisito de que los responsables faciliten información clara, tal y
como se ha expuesto anteriormente en la sección 3.3”.
3.3. Manifestación de voluntad informada.
El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/21
con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios
fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar
información a los interesados antes de obtener su consentimiento es esencial para que puedan
tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo,
ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información
accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida
para el tratamiento de los datos.
Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será
válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD.
3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado»
Para que el consentimiento sea informado es necesario comunicar al interesado ciertos
elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al
menos, la información siguiente para obtener el consentimiento válido:
i) la identidad del responsable del tratamiento,
ii) el fin de cada una de las operaciones de tratamiento para las que se solicita el
consentimiento,
iii) qué (tipo de) datos van a recogerse y utilizarse,
iv) la existencia del derecho a retirar el consentimiento,
v) información sobre el uso de los datos para decisiones automatizadas de
conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi) información sobre los posibles riesgos de transferencia de datos debido a la
ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se
describen en el artículo 46,
(...)
3.3.2 Cómo facilitar información
El RGPD no prescribe el modo o la forma en el que debe facilitarse la información con el fin de
cumplir con los requisitos del consentimiento informado. Esto significa que la información válida
puede presentarse de maneras distintas, por ejemplo, declaraciones escritas o verbales o
mensajes de audio o vídeo. No obstante, el RGPD establece algunos requisitos para el
consentimiento informado, sobre todo en el artículo 7, apartado 2, y en el considerando 32.
Esto aporta un mayor nivel de claridad y accesibilidad de la información.
Cuando solicitan el consentimiento, los responsables del tratamiento deben asegurarse de que
utilizan un lenguaje claro y sencillo en todos los casos. es decir, el mensaje debe ser
comprensible para un ciudadano medio y no únicamente para juristas. Los responsables del
tratamiento no pueden utilizar políticas de privacidad muy extensas que sean difíciles de
entender o declaraciones llenas de jerga jurídica. El consentimiento debe ser claro y
distinguirse de otros asuntos y debe facilitarse de manera inteligible y de fácil acceso. Este
requisito significa esencialmente que la información pertinente para adoptar decisiones
informadas sobre si prestar o no el consentimiento no puede esconderse en los términos y
condiciones generales.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/21
El documento hace en este último inciso una llamada para aclarar que ”La declaración
de consentimiento debe denominarse como tal”.
“3.4 Manifestación de voluntad inequívoca.
El RGPD establece claramente que el consentimiento requiere una declaración del interesado
o una clara acción afirmativa, lo que significa que siempre debe darse el consentimiento
mediante una acción o declaración. Debe resultar evidente que el interesado ha dado su
consentimiento a una operación concreta de tratamiento de datos.
El artículo 2, letra h), de la Directiva 95/46/CE describía el consentimiento como «toda
manifestación de voluntad, libre, específica e informada, mediante la que el interesado
consienta el tratamiento de datos personales que le conciernan». El artículo 4, apartado 11, del
RGPD desarrolla esta definición aclarando que el consentimiento válido requiere una
manifestación inequívoca de dicha voluntad mediante una declaración o una clara acción
afirmativa en consonancia con la orientación previa publicada por el GT29.
Una «clara acción afirmativa» significa que el interesado debe haber actuado de forma
deliberada para dar su consentimiento a ese tratamiento en particular. El considerando 32
ofrece orientación adicional sobre este punto. El consentimiento puede recabarse mediante una
declaración escrita o una declaración verbal (grabada), inclusive por medios electrónicos.
(…)
Un responsable del tratamiento debe tener también en cuenta que el consentimiento no puede
obtenerse mediante la misma acción por la que el usuario acuerda un contrato o acepta los
términos y condiciones generales de un servicio. La aceptación global de los términos y
condiciones generales no puede considerarse una clara acción afirmativa destinada a dar el
consentimiento al uso de datos personales. El RGPD no permite que los responsables del
tratamiento ofrezcan casillas marcadas previamente o mecanismos de exclusión voluntaria que
requieran la intervención del interesado para evitar el acuerdo (por ejemplo, «casillas de
exclusión voluntaria»)”.
En el presente supuesto, consta en la documentación obrante en el expediente que
Orange Espagne, S.A.U. (en adelante Orange), realiza campañas publicitarias
mediante el envío de SMS a potenciales clientes que figuran en sus bases de datos a
las que denomina “BBDD propia Jazztel“ y “BBDD propia Orange”. De dicha
documentación se desprende que estas bases de datos contienen un elevado número
de potenciales clientes, cuyo consentimiento para recibir publicidad se recaba,
mediante el sistema que denominan “click to call” o “C2C”, en sus páginas web.
Igualmente se desprende de dicha documentación que las campañas publicitarias se
llevan a cabo a través de envíos masivos, mensualmente, en diferentes días.
No obstante, tal y como aparece configurado el mecanismo para la prestación del
consentimiento, en los distintos sistemas de recogida click to call de Orange, descritos
en los antecedentes de hecho del presente acuerdo de inicio de procedimiento
sancionador, no se ha previsto que el interesado exprese su opción sobre el
tratamiento de sus datos con fines publicitarios. Así en lo que respecta a la recogida
del consentimiento en los documentos a que hace referencia el antecedente de hecho
segundo, la prestación del servicio de información que facilita Orange, tanto a través
de su marca Jazztel como de la marca Orange, exige aceptar la política de privacidad,
lo que implica aceptar el tratamiento de datos “con la finalidad del envío por cualquier
medio de comunicaciones comerciales sobre todos los productos y servicios
desarrollados por Orange” sin que, en otro caso, se pueda continuar y obtener el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/21
servicio. Igualmente, tal y como muestran las diligencias de 7 de junio de 2019 y 24 de
noviembre de 2020, para que el interesado pueda obtener información sobre
existencia de cobertura en una determinada dirección, debe aceptar la política de
privacidad, en la que se señala que sus datos serán tratados por Orange “con la
finalidad de consultar la cobertura y del envío por cualquier medio de comunicaciones
comerciales sobre todos los productos y servicios desarrollados por ORANGE.” De la
misma manera se exige para obtener información en la pestaña de Jazztel “O te
llamamos nosotros” que se acepte la política de privacidad, lo que implica la
aceptación del tratamiento de datos “con la finalidad del envío por cualquier medio de
comunicaciones comerciales sobre todos los productos y servicios desarrollados por
ORANGE.”
Dicho mecanismo no permite que el interesado pueda elegir libremente, sino que se ve
obligado a aceptar la política de privacidad para poder acceder al servicio ofrecido. En
el mecanismo establecido para obtener información sobre la cobertura en un
determinado domicilio no se disocian las solicitudes de consentimiento, por lo que no
se puede calificar de específico. En ningún momento se facilita al interesado una
aclaración de que, en el acto de aceptación de la política de privacidad, está
consintiendo el tratamiento de sus datos para el envío de comunicaciones
comerciales, por lo que no puede considerarse que tal consentimiento sea informado.
No habiéndose informado al interesado de que se está solicitando su consentimiento
para el envío de comunicaciones comerciales, no puede afirmarse que el interesado
haya manifestado inequívocamente su voluntad de aceptar dicho tratamiento, ni que
dicho consentimiento se haya prestado de forma expresa.
De las evidencias obtenidas, y sin perjuicio de lo que resulte de la instrucción del
presente procedimiento, se considera que el procedimiento seguido por Orange para
obtener el consentimiento de potenciales clientes para la realización de acciones de
mercadotecnia directa a través de comunicaciones comerciales electrónicas, no
garantiza el cumplimiento del artículo 21 de la LSSICE, al no cumplir el consentimiento
los requisitos de libre, específico, informado e inequívoco, exigidos por el RGPD
careciendo, en consecuencia, de validez. Por otra parte, el artículo 21 de la LSSICE,
exige que ese consentimiento sea expreso, lo que no se produce en el presente
supuesto.
IV
Artículo 38 de la LSSICE. Infracciones.
“1. Las infracciones de los preceptos de esta Ley se calificarán como muy graves,
graves y leves.
(…)
3. Son infracciones graves:
c) El envío masivo de comunicaciones comerciales por correo electrónico u otro medio
de comunicación electrónica equivalente, o su envío insistente o sistemático a un
mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos
establecidos en el artículo 21.
(,,,)”
V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/21
Artículo 39 de la LSSICE. Sanciones
“1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán
las siguientes sanciones:
a) Por la comisión de infracciones muy graves, multa de 150.001 hasta
600.000 euros.
La reiteración en el plazo de tres años de dos o más infracciones muy graves,
sancionadas con carácter firme, podrá dar lugar, en función de sus circunstancias, a la
sanción de prohibición de actuación en España, durante un plazo máximo de dos
años.
a) Por la comisión de infracciones graves, multa de 30.001 hasta 150.000
euros.”
Artículo 40 de la LSSICE. Graduación de la cuantía de las sanciones.
“La cuantía de las multas que se impongan se graduará atendiendo a los siguientes
criterios:
a) La existencia de intencionalidad.
b) Plazo de tiempo durante el que se haya venido cometiendo la infracción.
c) La reincidencia por comisión de infracciones de la misma naturaleza, cuando así
haya sido declarado por resolución firme.
d) La naturaleza y cuantía de los perjuicios causados.
e) Los beneficios obtenidos por la infracción.
f) Volumen de facturación a que afecte la infracción cometida.
g) La adhesión a un código de conducta o a un sistema de autorregulación publicitaria
aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo
18 o en la disposición final octava y que haya sido informado favorablemente por el
órgano u órganos competentes”.
VI
Los hechos expuestos podrían suponer por Orange Espagne, S.A.U. la comisión de
infracción del artículo 21 de la LSSICE.
Esta infracción está tipificada como grave en el artículo 38.3.c) de la citada Ley,
pudiendo ser sancionada con multa de 30.001 hasta 150.000 €, de acuerdo con el
artículo 39 de la citada LSSICE.
VII
Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a
imponer de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI:
- La existencia de intencionalidad, expresión que ha de interpretarse como equivalente
a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de
12/11/2007 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad
denunciada la determinación de un sistema de obtención del consentimiento que se
adecue al mandato de la LSSICE.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/21
- Plazo de tiempo durante el que ha venido cometiendo la infracción.
- La naturaleza y cuantía de los perjuicios causados, con relación al volumen de
usuarios a los que afecta la infracción.
- Los beneficios obtenidos por la infracción, con relación al volumen de usuarios a los
que afecta la infracción.
- No encontrarse adherido a un código de conducta o a un sistema de autorregulación
publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en
el artículo 18 o en la disposición final octava y que haya sido informado
favorablemente por el órgano u órganos competentes.
Con arreglo a dichos criterios, se estima adecuado imponer a Orange Espagne, S.A.U.
una sanción de 150.000 € (ciento cincuenta mil euros).
Por lo tanto, a tenor de lo anteriormente expuesto,
Por la Directora de la Agencia Española de Protección de Datos,
SE ACUERDA:
1. INICIAR PROCEDIMIENTO SANCIONADOR a la entidad ORANGE ESPAGNE,
S.A.U. CIF A82009812 por la presunta infracción grave del artículo 21 de la LSSICE,
tipificada como grave en el artículo 38.3. c) de dicha norma.
2. NOMBRAR como Instructor a ***INSTRUCTOR.1 y como Secretario a
***SECRETARIO.1, indicando que cualquiera de ellos podrá ser recusado, en su caso,
conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre,
de Régimen Jurídico del Sector Público (LRJSP).
3. INCORPORAR al expediente sancionador, a efectos probatorios, los documentos
obtenidos y generados por la Subdirección General de Inspección de Datos en
relación con las actuaciones de investigación realizadas citados en el presente
acuerdo de inicio del procedimiento; todos ellos forman parte del expediente.
4. QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en lo
sucesivo, LPACAP) la sanción que pudiera corresponder por infracción del artículo 21
de la LSSICE, sancionable conforme el artículo 38.3 c) de dicha norma y considerada
grave, sería de 150.000 € (ciento cincuenta mil euros), sin perjuicio de lo que resulte
de la instrucción.
5. NOTIFICAR el presente Acuerdo a la entidad ORANGE ESPAGNE, S.A.U.,
indicándole expresamente su derecho a la audiencia en el procedimiento y
otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y
proponga las pruebas que considere procedentes. En su escrito de alegaciones
deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento
de este documento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/21
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el
mismo podrá ser considerado propuesta de resolución, según lo establecido en el
artículo 64.2.f) de la LPACAP.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que
la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento, equivalente en este caso a 30.000,00 euros. Con la
aplicación de esta reducción, la sanción quedaría establecida en 120.000,00 euros,
resolviéndose el procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del
presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de
conformidad con lo establecido en el artículo 85.2 de la LPACAP, lo que supondrá una
reducción de un 20% de su importe, equivalente en este caso a 30.000,00 euros. Con
la aplicación de esta reducción, la sanción quedaría establecida en 120.000,00 euros y
su pago implicará la terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que
corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este
reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo
concedido para formular alegaciones a la apertura del procedimiento. El pago
voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier
momento anterior a la resolución. En este caso, si procediera aplicar ambas
reducciones, el importe de la sanción quedaría establecido en 90.000,00 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas
estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las
cantidades señaladas anteriormente (120.000,00 euros ó 90.000,00 euros), deberá
hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000
abierta a nombre de la Agencia Española de Protección de Datos en el Banco
CAIXABANK, S.A., indicando en el concepto el número de referencia del
procedimiento que figura en el encabezamiento de este documento y la causa de
reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la
LPACAP, contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/21
SEGUNDO: En fecha 31 de marzo de 2021, el reclamado ha procedido al pago de la
sanción en la cuantía de 90.000 euros haciendo uso de las dos reducciones previstas
en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/21
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00089/2021, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-031219
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es