1/14
Procedimiento Nº: PS/00093/2019
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en consideración a los siguientes
ANTECEDENTES
PRIMERO: En fecha 07/08/2018 tiene entrada en la Agencia Española de Protección
de Datos (AEPD), remitida por la Autoridad Catalana de Protección de Datos, una
reclamación formulada por Dª A.A.A. (en adelante, la reclamante) frente a
VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante la reclamada o
VODAFONE).
La reclamante presenta denuncia en fecha 18/06/2018 ante la OMIC del
Ayuntamiento de ***AYUNTAMIENTO.1 -quien a su vez remite la denuncia a la
Autoridad Catalana de Protección de Datos- en la que expone que a principios de junio
de 2018 recibe una llamada telefónica de una persona desconocida que le informa de
que VODAFONE le ha remitido a su nombre y a su domicilio documentación relativa a
un contrato de la reclamante en la que se incluyen sus datos personales.
Se aporta anexa a la reclamación una copia de los documentos siguientes:
- El NIF de la reclamante: ***NIF.1
- Varios documentos con el anagrama de VODAFONE: una carta dando la bienvenida
al cliente y agradeciendo la confianza depositada en la entidad; un documento
contractual (“Contrato de Venta a plazos para clientes particulares”), que lleva la
indicación “copia para el cliente” y en el que constan los siguientes datos: “Nº Línea
asociada” ***TELÉFONO.1; como “Datos del Cliente”, A.A.A., NIF ***NIF.1, número de
teléfono de VODAFONE ***TELÉFONO.1 y domicilio “Calle ***DIRECCIÓN.1”.
- Un sobre con el anagrama de VODAFONE y con los sellos de Correos dirigido a
B.B.B., ***DIRECCIÓN.2
SEGUNDO: A la vista de los hechos expuestos, la AEPD desplegó las siguientes
actuaciones:
A.- En el ámbito del expediente de referencia E/6509/2018, la AEPD, de acuerdo con
lo previsto en el artículo 9.4 del Real Decreto-Ley 5/2018, de medidas urgentes para la
adaptación del Derecho español a la normativa de la Unión Europea en materia de
protección de datos -norma que entró en vigor el 31/07/2018 y estuvo vigente hasta su
derogación por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos de
carácter personal y garantía de los derechos digitales (LOPDGDD)- dio traslado a
VODAFONE de una copia de la reclamación. En ese escrito, de fecha 27/09/2018, se
solicitó a VODAFONE que informara sobre las causas que habían motivado la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
incidencia que originó la reclamación, sobre las medidas adoptadas para evitar que en
el futuro se produzcan hechos similares y que acreditara haber comunicado estos
extremos al reclamante.
La notificación, a través de notific@, fue aceptada por la operadora el
04/10/2018.
VODAFONE responde el 09/10/2018 y manifiesta que el escrito de reclamación
ésta redactado íntegramente en catalán y, además, resultaba ilegible.
En fecha 26/11/2018 se acuerda la admisión a trámite de la reclamación.
B. En el marco del expediente de referencia E/10517/2018, se inician Actuaciones de
Investigación Previa al amparo del artículo 11 del Real Decreto-Ley 5/2018,
actualmente artículo 67 de la LOPDGDD.
Por la Inspección de datos se dirige un requerimiento informativo a VODAFONE
el 28/01/2019 que responde el 01/02/2019.
Se emite por el Inspector Actuante el Informe de Actuaciones de Investigación
(firmado el 15/02/2019) del que se reproduce el siguiente fragmento:
<<Con fecha 4 de octubre de 2018 se da traslado de la denuncia a la entidad
denunciada, en el marco de las actuaciones E/6509/2018.
Con fecha 9 de octubre de 2018, se recibe contestación de VODAFONE al traslado,
indicando que la denuncia no es legible y que está redactada en Catalán.
Con fecha 28 de diciembre se inician las presentes actuaciones de investigación.
Con fecha 28 de enero de 2019, se remite requerimiento de información a
VODAFONE en relación con los hechos denunciados:
Con fecha 1 de febrero de 2019, VODAFONE remite a la Agencia la siguiente
información en relación con dichos hechos:
Ante la falta de contestación al traslado, con fecha 12 de diciembre de 2018, se inician
las presentes actuaciones de investigación.
Con fecha 21 de diciembre de 2018 y 29 de enero de 2019, TELEFONICA DE
ESPAÑA S.A. ha remitido a esta Agencia la siguiente información en relación con los
hechos denunciados:
1 Aportan copia de las tres direcciones que constan en sus ficheros asociadas a
la denunciante, que son las que constan en los contratos suscritos con la
compañía, donde se verifica que ninguna de ellas coincide con la dirección a la
que se remitió la documentación de su contratación.
1. Respecto al envió de la documentación por correo postal a otra dirección
diferente:
a. Aportan copia de la información que les consta relativa a la incidencia,
entre la que figura:
Con fecha 6 de junio de 2018, “Hay un caso de fraude, no se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
cataloga como fraude, parece error de envío y que se confundieron
varias cartas a un par de clientes”.
Con la misma fecha “Cliente indica que le llamo una persona
desconocida, que le llego una carta con su información personal”.
Con fecha 12 de junio de 2018, “hablo con la tit. dice que ha recibido
un sobre en el que aparecía su nombre, pero dentro del sobre
aparecían los datos de otro cliente, el otro cliente ha recibido
también un sobre con los datos del cliente xxxxxx, tienen que ir en la
tienda con los sobres para dirigirlos al dep. habilitado. La situación
no se puede gestionar desde el dep. de fraude”.
2. Respecto a las causas de la incidencia manifiestan que: Se ha tratado de un
error puntual a la hora de enviar el contrato. Inicialmente se investigó la
situación por si se trataba de un caso de fraude en la contratación, pero
finalmente se concluyó que había sido un error puntual.>>
TERCERO: Con fecha 01/04/2019, la Directora de la Agencia Española de Protección
de Datos acuerda iniciar procedimiento sancionador a VODAFONE por la presunta
infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del Reglamento
(UE) 2016/679. El importe de la sanción de multa administrativa fijada en el acuerdo
de inicio es de 55.000 euros.
CUARTO: El 16/04/2019 tienen entrada en la AEPD las alegaciones de VODAFONE al
acuerdo de inicio del expediente PS/00093/2019 por “el supuesto incumplimiento de lo
dispuesto en los artículos 5.1.f) del RGPD y el artículo 72.1.a de la LOPDGDD”.
La reclamada dice en su alegación segunda:
“Vodafone reconoce su responsabilidad frente a los hechos denunciados, los
cuales han sido motivados por un error humano a la hora de enviar el contrato a la
Sra. A.A.A., introduciendo en el sobre la dirección errónea perteneciente a otra
persona. Como puede entenderse, en ningún caso existe intencionalidad ni mucho
menos dolo en la actuación de mi representada, sino que los hechos se han producido
por un error humano, tal y como quedó acreditado en las alegaciones que se
presentaron en el requerimiento de información E/10517/2018” (El subrayado es de la
AEPD)
“Por tanto, si bien mi representada reconoce los hechos ocurridos y el error que
los motivó de conformidad con el artículo 85 de la Ley 39/2015 de 1 de octubre,
...quiere resaltar que, conforme a la propia doctrina de la AEPD, es necesario poner en
relación la existencia de un error humano con la ausencia de culpabilidad que debe
regir toda actuación sancionadora”.
La reclamada solicita el “sobreseimiento del expediente y consiguiente archivo
de actuaciones” y “Subsidiariamente” “imponer a mi representada la sanción por
importe de 44.000 euros al haber reconocido mi representada los hechos que han
motivado el presente procedimiento sancionador, aplicando por tanto la reducción del
20% en el importe de la sanción de conformidad con el artículo 85 de la LPACAP.” (El
subrayado es de la AEPD)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
QUINTO: En fecha 12/12/2019 tiene entrada en el Registro de la AEPD un escrito de
la reclamada en el que, después de exponer que formuló en fecha 05/04/2019 las
alegaciones pertinentes para su defensa frente al acuerdo de inicio del procedimiento
sancionador PS/0093/2019, hace esta manifestación:
“Habiendo reconocido mi representada los hechos que han motivado el presente
procedimiento sancionador, y solicitando por tanto la aplicación de la reducción del
20% en el importe de la sanción de conformidad con el artículo 85 de la LPACAP, de
conformidad con el citado artículo, procede ahora mi representada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa en lo relativo a este
supuesto de hecho” (El subrayado es de la AEPD)
SEXTO: El artículo 82.4 de la Ley 39/2015 de Procedimiento Administrativo Común de
las Administraciones Públicas (LPACAP) dispone:
“Se podrá prescindir del trámite de audiencia cuando no figuren en el
procedimiento ni sean tenidos en cuenta en la resolución otros hechos ni otras
alegaciones y pruebas que las aducidas por el interesado”.
A su vez, el artículo 85.1 de la LPACAP dice: “Iniciado un procedimiento
sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el
procedimiento con la imposición de la sanción que proceda”. (El subrayado es de la
AEPD)
De las actuaciones practicadas han quedado acreditados los siguientes
HECHOS
1.- A.A.A., con DNI ***NIF.1 -cuya copia obra en el expediente-, presentó el
18/06/2018 reclamación contra VODAFONE ante la OMIC del Ayuntamiento de su
residencia. En su escrito de reclamación facilita estos datos personales: domicilio
calle ***DIRECCIÓN.1 y teléfono ***TELÉFONO.1. La reclamante manifestó que a
principios de junio recibe una llamada telefónica de una persona que le comunica que
VODAFONE le ha enviado a su domicilio, dirigido a su atención, una carta con
documentos que contienen datos personales de la reclamante.
El 17/07/2019 el Ayuntamiento da traslado de la reclamación contra VODAFONE
y de los documentos aportados por la reclamante a la Autoridad Catalana de
Protección de Datos. Ésta remite la documentación a la AEPD en fecha 07/08/2018.
2.- Los documentos que la reclamante facilitó con su reclamación son los siguientes:
- La copia del anverso de un sobre que con franqueo de Correos que lleva en la
esquina inferior izquierda el anagrama de VODAFONE y estos datos del destinatario:
B.B.B., Avenida de ***DIRECCIÓN.2”.
- Un documento con el anagrama de VODAFONE denominado “Contrato de venta a
plazos para clientes particulares”. En la esquina superior derecha figura la indicación
“Copia para el cliente”, en la izquierda “EU-5/87/6”. En el cuerpo del documento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
aparecen dos recuadros. En el primero de ellos, “Datos de terminales” se indica como
“Nº línea asociada” el ***TELÉFONO.1. En el segundo, “Datos del Cliente”, figuran el
nombre y apellidos de la reclamante (A.A.A.); su NIF (***NIF.1) el número de teléfono
Vodafone (***TELÉFONO.1) y el domicilio (calle ***DIRECCIÓN.1”.
- Dos documentos con el anagrama de la operadora reclamada relativos,
respectivamente, al “Desistimiento” del contrato y a las “condiciones generales de tu
tarifa sin promociones aplicadas”.
3.- En el curso de las actuaciones de investigación previa E/10517/2018, VODAFONE
respondió en los siguientes términos al requerimiento informativo que se le hizo en
relación con las causas por las cuales la documentación relativa a un contrato de la
denunciante había sido remitida por correo postal a un tercero (B.B.B.):
<< Hay caso de fraude, no se cataloga como fraude, parece error de envío y que
se confundieron varias cartas a un par de clientes. Te pego caso y transcripción.
I79853853 06/06/2018 21:01:00 12/06/2018 18:54:43 No procede FRAUDE
12/06/2018 21:01:00 Sin subcasos.
*** REGISTRO TELEFÓNICO 06/06/2018 21:04:16 rparien
Konecta Family ***
Cliente indica que le llamó una persona desconocida.
Que le llegó una carta con su información personal de VF.
***TELÉFONO.2 -Cliente con documento (nmro del cliente de la persona que le han
llegado sus datos)
L Ha llegado una carta con los datos d otra persona
***NOTAS 06/06/201821:0716 rparien. Tipo de acción: Registro de Notas
Konecta Family***
EL TELÉFONO DEL CLIENTE QUE L HA LLEGADO DOCUMENTACIÓN DE OTRA
PERSONA – ***TELÉFONO.3 [sólo para uso interno]
***NOTAS 12/062018 18:53:53 cmtite. Tipo de acción: Registro de Notas
FRAUDE***
***NIF.1 hablo con la tit, dice que ha recibido un sobre en el cual aparecía su nombre,
pero dentro del sobre aparecían los datos de otro cliente el otro cliente ha recibido
también un sobre con los datos del cliente ***NIF.1 tienen que ir a la tienda con los
sobres para dirigirlos al dep habilitado la situación no se puede gestionar desde el dep
de fraude>>
(El subrayado es de la AEPD)
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
II
El RGPD se ocupa en su artículo 5 de los principios que han de regir el
tratamiento de los datos personales y menciona entre ellos los de “integridad y
confidencialidad”. El precepto dispone:
“1. Los datos personales serán:
(…)
f) Tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o ilícito
contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas
técnicas u organizativas apropiadas. (<<integridad y confidencialidad>>)”
El Considerando 39 del RGPD dice sobre el particular:
“Todo tratamiento de datos personales debe ser lícito y leal. Para las personas
físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando
o tratando de otra manera datos personales que les conciernen, así como la medida
en que dichos datos son o serán tratados. El principio de transparencia exige que toda
información y comunicación relativa al tratamiento de dichos datos sea fácilmente
accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho
principio se refiere en particular a la información de los interesados sobre la identidad
del responsable del tratamiento y los fines del mismo y a la información añadida para
garantizar un tratamiento leal y transparente con respecto a las personas físicas
afectadas y a su derecho a obtener confirmación y comunicación de los datos
personales que les conciernan que sean objeto de tratamiento. Las personas físicas
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales así como del modo de hacer valer sus
derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben
determinarse en el momento de su recogida. Los datos personales deben ser
adecuados, pertinentes y limitados a lo necesario para los fines para los que sean
tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su
plazo de conservación. Los datos personales solo deben tratarse si la finalidad del
tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que
los datos personales no se conservan más tiempo del necesario, el responsable del
tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben
tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman
los datos personales que sean inexactos. Los datos personales deben tratarse de un
modo que garantice una seguridad y confidencialidad adecuadas de los datos
personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y
del equipo utilizado en el tratamiento.” (El subrayado es de la AEPD)
La infracción del artículo 5.1.f) del RGPD se encuentra tipificada en el artículo
83 del citado texto legal. Bajo la rúbrica “Condiciones generales para la imposición de
multas administrativas”, dice:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD), a efectos de prescripción, califica de muy graves
(artículo 72.1.) “las infracciones que supongan una vulneración sustancial de los
artículos mencionados en aquél y, en particular, las siguientes: a) El tratamiento de
datos personales vulnerando los principios y garantías establecidos en el artículo 5 del
Reglamento (UE)2016/679.”
III
Se atribuye a VODAFONE en el presente expediente sancionador una
infracción del artículo 5.1.f) del RGPD.
La documentación que obra en el expediente administrativo ofrece evidencias
de que VODAFONE vulneró los principios de integridad y confidencialidad.
A tenor de la documentación que obra en el expediente queda acreditado que
VODAFONE remitió a un tercero (B.B.B.) documentación que incorporaba datos
personales de la reclamante: nombre y dos apellidos; NIF; número de teléfono móvil y
dirección postal.
Nos remitimos en tal sentido, por una parte, a los documentos aportados por la
reclamante: la copia del sobre con el anagrama de VODAFONE en el que figuraba
como destinatario el nombre, apellidos y domicilio del tercero y la copia de un contrato
a nombre de la reclamante -“copia para el cliente”- que incorporaba sus datos
personales. Por otra, a lo manifestado por la reclamante en su denuncia ante la OMIC
-que una persona desconocida se había puesto en contacto telefónico con ella para
informarle de que había recibido en un sobre dirigido a su atención documentos de la
afectada-. Explicación que coincide plenamente con las anotaciones procedentes de
los sistemas de VODAFONE que la reclamada facilitó a la AEPD en el curso de la
investigación previa.
Las anotaciones aportadas por VODAFONE son un documento interno que a
juicio de la entidad explica lo ocurrido. Del examen de tales anotaciones se evidencia
que un tercero llamó el 06/06/2018 a la operadora. Según la anotación: “Cliente indica
que le llamó una persona desconocida. Que le llegó una carta con su información
personal de VF. ***TELÉFONO.2 -Cliente con documento (nmro del cliente de la
persona que le han llegado sus datos) L Ha llegado una carta con los datos d otra
persona
“EL TELÉFONO DEL CLIENTE QUE L HA LLEGADO DOCUMENTACIÓN DE
OTRA PERSONA – ***TELÉFONO.3 [sólo para uso interno]”
Se evidencia también de las anotaciones de VODAFONE que la reclamante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
(titular del NIF ***NIF.1) contactó telefónicamente con el servicio de la operadora el
12/06/2018 y explicó, no sólo que otro cliente había recibido un sobre con sus datos
personales, sino además, añadió que ella había recibido un sobre en el que figuraba
su nombre pero que contenía documentos relativos a la persona que a su vez había
recibido los suyos: “***NIF.1 hablo con la tit, dice que ha recibido un sobre en el cual
aparecía su nombre, pero dentro del sobre aparecían los datos de otro cliente. el otro
cliente ha recibido también un sobre con los datos del cliente ***NIF.1”
Parece obvio, pues, que ambas partes, la reclamante y el tercero que recibió
sus documentos, tuvieron que acceder a la información que figuraba en el sobre
recibido de VODAFONE a su nombre, pero que concernía a la otra persona, pues sólo
así pudieron llegar a conocer que la documentación que habían recibido de la entidad
reclamada no era suya.
Acreditado que VODAFONE vulneró los principios de integridad y
confidencialidad en relación a los datos personales de la reclamante -habida cuenta
de que remitió a un tercero documentos con datos personales de la afectada y que el
tercero tuvo que acceder a esos datos como único medio para contactar con ella o
identificarla ante la entidad reclamada- se ha de valorar si intervino culpa de la
reclamada o si omitió la diligencia que era procedente, atendidas las circunstancias del
caso, imprescindible para que la conducta analizada sea subsumible en el tipo
infractor del artículo 83.5. del RGPD.
Rige en nuestro Derecho sancionador el principio de culpabilidad, que impide
imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La
presencia del elemento de la culpabilidad en sentido amplio, como condición para que
nazca la responsabilidad sancionadora, ha sido reconocida por el Tribunal
Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones
administrativas participan de la misma naturaleza que las penales al ser una de las
manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los
principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y
25.1 de la C.E., es imprescindible su existencia para imponerla.
La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo
28, bajo la rúbrica “Responsabilidad”:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.” (El subrayado es de la AEPD)
La reclamada ha manifestado en sus alegaciones al acuerdo de inicio que
estamos ante un mero error humano en el que no ha intervenido intencionalidad o dolo
por su parte razón por la cual, a su juicio, procedería el archivo de las actuaciones.
Recordemos a ese respecto que conforme al artículo 5.2 del RGPD (principio de
responsabilidad proactiva) la entidad reclamada debería haber aportado la
documentación pertinente que acreditara que tenía implantadas las medidas técnicas y
organizativas que garantizaban el nivel de seguridad adecuado contra la pérdida de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
datos o el tratamiento no autorizado. Sin embargo, VODAFONE nada ha aportado en
tal sentido limitándose a afirmar que estamos ante un “mero error humano”.
En cumplimiento de las obligaciones que el RGPD impone al responsable del
tratamiento éste debe desplegar la diligencia mínima que requieren las circunstancias
del caso adoptando las medidas técnicas y organizativas pertinentes. Es ilustrativa la
SAN de 29/04/2020 -que, si bien se dictó en un asunto de contratación fraudulenta y
bajo la normativa anterior, es perfectamente extrapolable al que nos ocupa- cuyo
Fundamento Jurídico sexto dice: “La cuestión no es dilucidar si la recurrente trató los
datos de carácter personal de la denunciante sin su consentimiento, como si empleó o
no una diligencia razonable a la hora de tratar de identificar a la persona con la que
suscribió el contrato”. (El subrayado es de la AEPD)
A propósito del elemento de la culpabilidad en el procedimiento administrativo
sancionador parece conveniente referirnos a la SAN de 30/05/2015 (Rec. 163/2014)
que conecta la “reprochabilidad” a una persona jurídica de una determinada conducta
con la circunstancia de que aquella “hubiera dispensado o no una eficaz protección al
bien jurídico protegido por la norma”. El Fundamento de Derecho segundo de la citada
Sentencia dice:
<<No obstante, el modo de atribución de la responsabilidad a las personas
jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que
son imputables a la conducta humana. De modo que, en el caso de infracciones
cometidas por personas jurídicas, aunque haya de concurrir el elemento de la
culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto
a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> (El
subrayado es de la AEPD)
En definitiva, la conducta de VODAFONE, materializada en la infracción de los
principios de integridad y confidencialidad respecto a los datos personales de la
reclamante –nombre, dos apellidos, NIF, teléfono móvil y domicilio–, pues envió el
contrato de la reclamante que contenía sus datos personales a un tercero sin haber
acreditado que tuviera implantadas cuando acontecieron los hechos las medidas
técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de
los datos de sus clientes con el fin de impedir hechos como los que nos ocupan,
vulnera el artículo 5.1.f) del RGPD, actuación subsumible en el tipo sancionador del
artículo 83.5 del RGPD.
IV
El artículo 58 del RGPD, “Poderes”, establece en el punto 2:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
correctivos indicados a continuación:
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar
de las medidas mencionadas en el presente apartado, según las circunstancias de
cada caso particular;”
A fin de determinar la multa administrativa que es procedente imponer se han de
observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que
señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente,
a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
De conformidad con los preceptos transcritos, a efectos de fijar el importe de la
multa a imponer a VODAFONE ESPAÑA, S.A.U., como responsable de una infracción
tipificada en el artículo 83.5.a) del RGPD, es necesario hacer dos precisiones. La
primera, que el artículo 83.2 RGPD exige que la autoridad de control garantice que la
sanción a imponer sea en cada caso “efectiva, proporcionada y disuasoria” y, la
segunda, que el importe de la sanción prevista en el RGPD para las infracciones
contempladas en el artículo 83.5 tiene como límite máximo la mayor de estas dos
cantidades: 20.000.000 de euros o el 4% del volumen de negocio total anual global del
ejercicio financiero anterior. Durante el ejercicio 2017 la cifra de negocio de
VODAFONE ascendió a 4.978 millones de euros, por lo que el 4% de esta cantidad
asciende a 199.120.000 euros.
Como se indicó en el acuerdo de inicio del expediente se aprecia la concurrencia
de los siguientes factores que inciden en la antijuridicidad y culpabilidad de la
actuación de VODAFONE y por tanto en la determinación del importe de la sanción:
-El alcance meramente local del tratamiento de datos efectuado por la reclamada.
-Las personas afectadas por la conducta de VODAFONE que presuntamente vulnera el
RGPD han sido dos.
-El daño causado a los afectados por el tratamiento de sus datos no llega a ser muy
significativo.
-La falta de diligencia de VODAFONE puede calificarse de leve. Los hechos no son debidos
a la inexactitud de los datos que constan en los ficheros de la entidad. En tal sentido la
reclamada facilitó a esta Agencia los tres domicilios que figuran en sus ficheros asociados a
la reclamante -ninguno de los cuales coincide con el domicilio del tercero al que se envió el
documento de la reclamante con sus datos personales- y además explicó cuál era la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
procedencia de cada uno de ellos.
- La evidente vinculación entre la actividad empresarial de VODAFONE y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD)
- El volumen de negocio o cifra de actividad de la entidad (artículo 83.2.a, del RGPD)
Estamos en presencia de una gran empresa del sector de las telecomunicaciones. El
volumen total anual global del ejercicio financiero 2017 ascendió a 4.978.0000.000 de
euros.
- El alcance del tratamiento (artículo 83.2.a, RGPD) pues los datos personales de la
reclamante afectados por la infracción del artículo 5.1.f) RGPD fueron varios: el
nombre y dos apellidos, NIF, domicilio particular y número de teléfono móvil.
V
El artículo 85 de la LPACAP establece:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su
responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción
que proceda.
(…)
3.(…) cuando la sanción tenga únicamente carácter pecuniario, el órgano
competente para resolver el procedimiento aplicará las reducciones de, al menos el
20% sobre el importe de la sanción propuesta, siendo éstas acumulables entre sí. Las
citadas reducciones, deberán estar determinadas en la notificación de iniciación del
procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.”
En sus alegaciones al acuerdo de inicio del procedimiento sancionador, de fecha
16/04/2019, VODAFONE reconoció su responsabilidad frente a los hechos
denunciados y solicitó que se aplicará la reducción del 20% en el importe de la
sanción, de conformidad con el artículo 85 LPACAP.
En escrito de fecha 12/12/2019 VODAFONE ha manifestado que habiendo
solicitado la aplicación de la reducción del importe de la sanción conforme al artículo
85 LPACAP procede, en relación con el supuesto de hecho analizado, a la renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una
infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD, tras la
aplicación del artículo 85.1 y3 de la LPACAP, una multa de 44.000 euros (cuarenta y
cuatro mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española
de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se
procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6
de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es