1/18
Expediente Nº: PS/00111/2021
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 24 de junio de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE
ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se
transcribe:
<<
Procedimiento Nº: PS/00111/2021
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: Dña. A.A.A. (en lo sucesivo, la reclamante) con fecha 24 de junio de 2020
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en
adelante, la reclamada).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/18
Los motivos en que basa la reclamación son el envío por parte de la entidad
reclamada de facturas de teléfono titularidad de un tercero a la dirección de correo
electrónico de la reclamante. Tras ponerlo en conocimiento de la reclamada, no ha
obtenido respuesta. Manifiesta haber remitido el 17/06/2019 y 16/07/2019 correos
electrónicos a las direcciones [email protected] y
[email protected] (esta última de la que recibe las facturas). También
manifiesta haber llamado por teléfono sin especificar la fecha indicando “llamé un par
de veces a Vodafone, pero me fue imposible entablar una conversación inteligente con
una persona, puesto que me fueron pasando de operador en operador, de
departamento en departamento y nadie sabía nada, nadie quería atenderme, nadie
podía solucionarme el problema”.
Fecha en la que tuvieron lugar los hechos reclamados: desde el 16 de mayo de 2019
hasta el 18/01/2021.
Documentación relevante aportada por la reclamante:
Copia de las facturas y copia de los correos electrónicos remitidos a la reclamada para
poner de manifiesto el problema.
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por la reclamante, y de acuerdo con lo previsto en el artículo
65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que
consiste en dar traslado de las mismas a los Delegados de Protección de Datos
designados por los responsables o encargados del tratamiento, o a éstos cuando no
los hubieren designado, y con la finalidad señalada en el referido artículo, en fecha 4
de agosto de 2020, se dio traslado de la reclamación a la reclamada (expediente de
referencia E/6010/2020), para que procediera a su análisis y diera respuesta en el
plazo de un mes.
En fecha 13/10/2020 consta en esta Agencia respuesta al traslado de la reclamación,
donde la reclamada asegura que se ha solucionado la incidencia y que se ha
comunicado su resolución a la reclamante. Sin embargo, según se refleja en la
resolución del expediente E/6010/2020, a fecha 01/12/2020 la afectada manifiesta que
sigue recibiendo las facturas, como así lo acredita mediante las copias de las recibidas
el mes de octubre y noviembre de 2020 emitidas el 8 de octubre y el 8 de noviembre
de 2020 respectivamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/18
TERCERO: El día 22/01/2021 se dictó resolución admitiendo a trámite la reclamación,
y la Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de los poderes de investigación otorgados a las autoridades de
control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de
Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el
Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo
LOPDGDD).
El resultado de las actuaciones de investigación practicadas es el siguiente:
Primero.- Se requiere información detallada sobre los motivos por los cuales la
reclamante ha seguido recibiendo facturas, cuya copia se aporta, a pesar de haber
declarado su entidad a esta Agencia, en el marco del expediente E/06010/2020, con
fecha 13/10/2020, que la incidencia había quedado debidamente resuelta.
Los representantes de la reclamada manifiestan que:
“Como se indicó en las alegaciones presentadas al requerimiento de información con
número de referencia E/06010/2020, el envío de avisos de disponibilidad de facturas a
la reclamante a su cuenta de correo electrónico se produjo porque otro cliente tenía
activo el envío de estos avisos al correo electrónico de la reclamante ***EMAIL.1.
En agosto de 2020 se abrió un ticket de avería a Sistemas para que se diese solución
al problema detectado dado que el sistema no permitía eliminar el correo electrónico
de la reclamante a los responsables del canal de atención al cliente.
En el momento en que dejó de estar visible en sistemas la cuenta de correo electróni-
co de la reclamante asignada a otro cliente para los responsables de atención al clien-
te, se dio por solucionada la incidencia, comunicándoselo así a esta Agencia en la
contestación al requerimiento de información indicado. Sin embargo, se comprobó
posteriormente que los cambios realizados en la ficha del cliente en el que constaba el
correo electrónico de la reclamante no llegaron a guardarse, por lo que el e-mail de la
reclamante no llegó a eliminarse por lo que siguió recibiendo los avisos.
Tras recibir el presente requerimiento de información, se ha reabierto el caso ante los
responsables de sistemas para que procediesen a la solución definitiva de la inciden-
cia. Tras realizar las modificaciones oportunas, podemos confirmar que en fecha 11 de
febrero de 2021, se ha logrado guardar de manera correcta los cambios aplicados, no
constando ya la cuenta de correo electrónico de la reclamante como receptora de los
avisos de disponibilidad de factura de otro cliente.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/18
Aportan captura de pantalla de los sistemas que muestra la solución de la incidencia.
Segundo.- Se requiere información detallada del error cometido en origen, así como al
intentar corregirlo en octubre de 2020, que ha motivado que la reclamante siga
recibiendo las facturas del tercero en cuestión.
Los representantes del reclamado manifiestan que:
“Como se ha expuesto en el apartado anterior, el error cometido en origen es que otro
cliente tenía activadas las notificaciones de envío de facturas a la cuenta de correo
electrónico de la reclamante, por este motivo, estaba recibiendo los avisos de
disponibilidad de facturas en su correo electrónico.
Se ha estudiado este caso con detalle con los responsables de Sistemas y se ha
podido averiguar que este error no se ha producido por un fallo de los sistemas, sino
porque el tercer cliente había proporcionado la cuenta de correo electrónico de la
reclamante para el envío de las facturas. El tercer cliente ha sido catalogado como
fraudulento por el equipo de investigación de Vodafone (habiéndose resuelto esta
incidencia), por lo que, al acceder al área de cliente vía web, aportó una dirección de
correo electrónico para el envío de facturas que resultó ser la de la reclamante.
Esta incidencia intentó corregirse entre agosto y septiembre de 2020, eliminado la
cuenta de correo electrónico de la reclamante de la ficha del tercero. Sin embargo, en
la tramitación del ticket de esta avería, el proceso de borrado de esta información no
llegó a completarse, no guardándose definitivamente los cambios. Por este motivo, la
cuenta de correo electrónico de la reclamante ha seguido constando en la ficha del
tercer cliente que sí tenía activos estos avisos de disponibilidad de factura.”
Tercero.- Se ha requerido también información detallada sobre el procedimiento
seguido por la entidad para remitir las facturas a los clientes, donde se muestre tanto
el procedimiento de consignación de las direcciones de correo electrónico así como el
procedimiento de remisión de las facturas a las direcciones consignadas para cada
cliente. Se pide incluir una explicación detallada del motivo por el cual el procedimiento
establecido ha permitido que la reclamante haya seguido recibiendo facturas, a pesar
de la información obrante en el pantallazo de los datos del tercero aportado a esta
Agencia con fecha 13/10/2020, en el cual no aparece la dirección de correo.
Los representantes del reclamado manifiestan que:
“Los clientes de Vodafone tienen la opción de activar avisos de disponibilidad de
factura y envío de factura electrónica en los que se les informa sobre la fecha de cargo
del importe con antelación al cargo en su cuenta bancaria, solo en los casos en los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/18
que la modalidad de facturación sea de domiciliación bancaria. Para estos supuestos,
los clientes pueden solicitar recibir estos avisos a través de e-mail o SMS.
Para activar estas opciones, los clientes pueden solicitarlo en el momento del alta de
la línea o bien en un momento posterior a través de los servicios de Atención al Cliente
de Vodafone o de la AppWeb MiVodafone.
A través de los canales indicados, los clientes tienen las opciones de:
Activar la factura electrónica.
Activar y modificar la notificación mensual de la disponibilidad de las facturas.
Visualizar las tres últimas facturas en diferentes formatos.
Descargar las facturas.
En el caso del tercer cliente que resultó ser fraudulento, consta en nuestros sistemas
que ha hecho modificaciones a través del área web en la gestión de su facturación
donde se pudo incluir la dirección de la reclamante para el envío de los avisos de
disponibilidad de facturas.”
Cuarto.- Se ha requerido a la entidad reclamada los motivos por los cuales no se
contestó a los correos electrónicos de la reclamante, ni se tramitaron sus peticiones de
rectificación de sus datos personales para evitar seguir recibiendo las facturas de otro
cliente. Se adjunta al requerimiento evidencias de los envíos de la reclamante,
remitidos en fecha 17/06/2019 y 16/07/2019 a los buzones [email protected] y
[email protected]. Se requiere acreditación documental de las
contestaciones emitidas, en su caso.
Los representantes de la reclamada manifiestan que:
“Los correos electrónicos [email protected] y [email protected] no
son cuentas de correo que reciban o atiendan solicitudes de los clientes. Los correos
que se remiten a estos buzones se devuelven a los remitentes como no recibidos y, el
caso del buzón relativo a [email protected], se remite una contestación
automática en la que se redirige a los clientes a los canales oportunos para poder
tramitar su solicitud, indicando lo siguiente:
«Estimado cliente:
Muchas gracias por ponerte en contacto con Vodafone.
Para poder dar respuesta a tu consulta necesitamos identificarte a través de Mi
Vodafone donde podremos atender tu petición de forma segura y podrás ver además
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/18
toda la información relacionada con tus servicios. En caso de no estar registrado en Mi
Vodafone, pincha aquí.
También tenemos a tu disposición nuestro teléfono de atención al cliente 22123 y
puedes resolver tus dudas en la sección de ayuda Vodafone para clientes particulares.
Si no eres cliente llámanos:
Particulares:
1444 - Información Comercial - Información y contratación relacionada con los
productos que comercializa Vodafone. Llamada gratuita
1704 - Información comercial y promociones exclusivas online - Información y
contratación relacionada con los productos que comercializa Vodafone. Llamada
gratuita. Horario de atención: de lunes a domingo de 9:00h a 21:00h.
607 123 000- Teléfono de atención
Muchas gracias por tu atención y un saludo.
Atención al cliente Vodafone
*En caso de que no te funcionen los links de este mail, cópialos en tu navegador y
accede directamente.
Registro Mi Vodafone: http://www.vodafone.es/c/mivodafone/es/registro-nueva-
clave/#/register»
Por lo que las comunicaciones enviadas a estos buzones no fueron recibidas por
Vodafone y así se le informó a la reclamante.
Además, se han llevado a cabo las comprobaciones oportunas y se ha podido
confirmar que para la Sra. A.A.A. no consta ninguna interacción o ticket en los cuales
se indique que se ha recibido reclamación por estos hechos. También se confirma
que, con la dirección de correo electrónico de la reclamante, ***EMAIL.1, no consta
que se haya recibido correo alguno.”
Adjuntan pantallazos de las interacciones del cliente. La reclamante no indica las fe-
chas de sus llamadas, ni aporta evidencias de ellas que permitan contrastar la informa-
ción. Se verifica únicamente que constan algunas interacciones de fecha 30/07/2019
(fecha más próxima al comienzo de la recepción de las facturas por la reclamante) del
tipo “información” y código “pregunta abierta”, o “consulta cliente”.
Adjuntan también impresión de pantalla de la citada respuesta genérica del buzón de
soporte.
Adjuntan impresión de pantalla de la dirección de correo del cliente indicando que en
él tampoco consta recepción de ninguna reclamación, y que no ha podido darse una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/18
contestación si no se ha recibido una reclamación al respecto por parte de la recla-
mante.
Quinto.- Se requiere aportar descripción del procedimiento detallado de atención de
los buzones [email protected] y [email protected] y motivo por el
cual pueden no contestarse ni tramitarse las solicitudes dirigidas por los clientes a es-
tos buzones como en el presente caso. Descripción de los controles establecidos so-
bre el procedimiento descrito, para asegurar la contestación y tramitación de las solici-
tudes recibidas por estas vías, y motivo por el cual fallaron en el presente caso en dos
fechas distintas y dos buzones diferentes
Los representantes del reclamado manifiestan que:
“Como se indica en la alegación cuarta del presente escrito, los buzones de correo
electrónico indicado no son los canales de comunicación por parte de los clientes que
Vodafone, tiene habilitados, sino buzones desde los que se emiten comunicaciones
hacia los clientes.
Cuando un cliente envía un correo electrónico a estas direcciones, los mensajes se
devuelven y se les remite la información oportuna sobre los canales a través de los
cuales puede ponerse en contacto con Vodafone para presentar sus reclamaciones o
cualquier tipo de petición.
Por lo que estos buzones no están habilitados como canal de atención a los clientes,
no recibiéndose, además correos electrónicos entrantes.”
Sexto.- Se han realizado búsquedas mediante Google de dichas direcciones,
verificándose que se encuentran múltiples ocurrencias de [email protected] de
sitios web de terceros, y una de ayudacliente.vodafone.es en la que consta un contrato
“Solicitud de cambio de titular y Contrato de Servicios de Comunicaciones Móviles
Pospago Particulares” en formato pdf con la siguiente cláusula:
“7. Atención al Cliente y Reclamaciones. Vodafone facilita al Cliente un servicio de
apoyo e información a través de www.vodafone.es, puntos de venta o agentes
autorizados, en el Servicio de Atención al Cliente 123, en el domicilio social indicado
en las presentes condiciones o por correo electrónico a [email protected]. Si el
Cliente quiere presentar una reclamación deberá hacerlo en el plazo de un (1) mes
desde que conozca el hecho que motiva la misma, por escrito al domicilio social de
Vodafone sito en la Avenida de América, 115, 28042, Madrid, por teléfono en el
Servicio de Atención al Cliente 123 o por correo electrónico a [email protected].
[…].”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/18
Realizada la búsqueda de la dirección de correo [email protected] solo
se encuentra un resultado de un sitio web de un tercero citando que es la dirección
remitente de las facturas de la entidad reclamante.
Por parte de la Inspección de Datos se ha procedido a enviar un correo electrónico de
prueba a la dirección [email protected] comprobando que al cabo de un minuto
aproximadamente se recibe la contestación automática mencionada.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de Protección
de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD),
la directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/18
II
La LOPGDD, en su artículo 5.1 indica: “Deber de confidencialidad”:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.”
III
El artículo 5.1.f) del RGPD establece que, los datos personales serán:
“f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).
Y el apartado 2 del mismo artículo 5, señala:
“2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto
en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>).
IV
En cuanto a la seguridad de los datos personales, el artículo 32 del RGPD “Seguridad
del tratamiento”, establece que:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/18
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta
aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor
del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los
requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el
encargado del tratamiento tomarán medidas para garantizar que cualquier persona
que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos
personales solo pueda tratar dichos datos siguiendo instrucciones del responsable,
salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados
miembros”.
V
De conformidad con las evidencias de las que se dispone en el presente momento de
acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que la reclamada realizó el tratamiento de los datos
personales de la reclamante sin que tuviese ninguna legitimación para ello,
materializado en que se continúan recibiendo facturas de teléfono titularidad de un
tercero en la dirección de correo electrónico de la reclamante, a pesar de que solicitó
en el pasado la eliminación de sus datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/18
Es preciso señalar que por parte de esta Agencia se trasladó la reclamación efectuada
por la reclamante a la reclamada, manifestando ésta que la incidencia ya estaba
resuelta. Sin embargo, la reclamante continuó recibiendo las facturas de teléfono
titularidad de un tercero en su dirección de correo electrónico. En consecuencia, ha
efectuado un tratamiento de los datos personales sin que haya acreditado que cuenta
con la habilitación legal para ello.
Por otra parte, existen otras evidencias significativas para la graduación de la
infracción:
Carácter continuado de los hechos constatados: desde 16/05/2019 al 18/01/2021.
Volumen de los tratamientos efectuados: un tercero afectado, titular de las facturas,
persona que pudo consignar la dirección del correo de la reclamante como dirección
de envío, y la propia reclamante que recibe las facturas.
El desarrollo de la actividad empresarial que desempeña la entidad requiere un
tratamiento continuo de datos personales. La entidad realiza para el desarrollo de su
actividad un elevado volumen de tratamientos de datos personales.
VI
Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la
reclamada, por vulneración del artículo 5.1.f) del RGPD, que rige los principios de
integridad y confidencialidad del tratamiento de los datos personales, así como la
responsabilidad proactiva del responsable del tratamiento de demostrar su
cumplimiento, como recoge el apartado 2 del mismo artículo 5 del RGPD.
Por otra parte, existen indicios evidentes de que la reclamada ha vulnerado el artículo
32 del RGPD, facilitando el acceso a información relativa a datos personales de un
cliente por una tercera persona ajena a la entidad.
La responsabilidad de la reclamada viene determinada por el acceso no autorizado. La
entidad es responsable de tomar decisiones destinadas a implementar de manera
efectiva las medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo para asegurar la confidencialidad de los datos y, entre
ellas, las dirigidas a restaurar la disponibilidad e impedir el acceso a los datos en caso
de incidente físico o técnico.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/18
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía.
La LOPGDD en su artículo 72.1.a) establece como: “Infracciones consideradas muy
graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes: a) El tratamiento de datos personales vulnerando los
principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”.
La vulneración del artículo 32 RGPD se encuentra tipificada en el artículo 83.4.a) del
citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones
siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas
de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía
equivalente al 2 % como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía: a) las obligaciones del
responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43.” (…)
Establece el artículo 73 de la LOPDGDD, bajo la rúbrica “Infracciones consideradas
graves”, lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento
(UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes: (…) f) La falta de adopción de aquellas medidas técnicas y
organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado
al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento
(UE) 2016/679.”
En el presente caso, concurren las circunstancias infractoras previstas en el artículo
83.5 y 83.4 del RGPD y 72.1 a) y 73 apartado f) de la LOPDGDD, arriba transcritos.
El artículo 58.2 del RGPD dispone: “Cada autoridad de control tendrá todas las
siguientes facultades correctoras: b) emitir amonestaciones a un responsable del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/18
tratamiento o a un encargado del tratamiento cuando las operaciones de tratamiento
hayan infringido las disposiciones del presente Reglamento; d) ordenar al responsable
del tratamiento o al encargado del tratamiento que ponga las operaciones de
tratamiento en conformidad con las disposiciones del presente Reglamento, cuando
proceda, de una manera determinada y en un plazo determinado; i) imponer una multa
administrativa con arreglo al artículo 83, además de las medidas a que se refiere el
presente apartado o en su lugar, en función de las circunstancias de cada caso
concreto;”
En este sentido, cobran relevancia las acciones que haya tomado la reclamada al
conocer la reclamación de la que fue informada por esta AEPD y las medidas
adoptadas, debiendo informar de las mismas en el seno del procedimiento, pudiendo
en la resolución adoptarse las convenientes para su ajuste a la normativa.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes, en el presente caso, los siguientes:
La duración de la infracción (artículo 83.2.a).
Una acción negligente (artículo 83.2.b).
Se encuentran afectados identificadores personales básicos, según el artículo 83.2.g).
VII
Por tanto, conforme a lo anteriormente expuesto, la Directora de la Agencia Española
de Protección de Datos, ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA,
S.A.U., con NIF A80907397, por la presunta infracción del artículo 5.1.f) del RGPD,
sancionable conforme a lo dispuesto en el art. 83.5 del citado RGPD, y calificada de
muy grave en el artículo 72.1 a) de la LOPDGDD, y por la presunta infracción del
artículo 32 del RGPD, sancionable conforme a lo dispuesto en el artículo 83.4 del
citado RGPD, y que es calificada como grave en el artículo 73 apartado f) de la
LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/18
SEGUNDO: ORDENAR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, de
acuerdo con lo dispuesto en el artículo 58.2 d) del RGPD, para que en el plazo diez
días proceda a ordenar al responsable o encargado del tratamiento, que las
operaciones de tratamiento se ajusten a las disposiciones del RGPD.
TERCERO: NOMBRAR como instructora a B.B.B. y, como secretaria, a C.C.C.,
indicando que cualquiera de ellas podrá ser recusada, en su caso, conforme a lo
establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (LRJSP).
CUARTO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la reclamante y su documentación, los documentos
obtenidos y generados por la Subdirección General de Inspección de Datos durante la
fase de investigaciones, así como el informe de actuaciones previas de Inspección.
QUINTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de: 30.000 € (treinta mil euros) por infracción
del artículo 5.1 f) del RGPD, respecto a la vulneración del principio de confidencialidad
y de 20.000 € (veinte mil euros) por infracción del artículo 32 del citado RGPD,
respecto a la seguridad del tratamiento de los datos personales de sus clientes, sin
perjuicio de lo que resulte de la instrucción.
SEXTO: NOTIFICAR el presente acuerdo a VODAFONE ESPAÑA, S.A.U., con NIF
A80907397, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el
encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/18
el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría
establecida en 40.000 € (cuarenta mil euros), resolviéndose el procedimiento con la
imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 40.000 € (cuarenta mil euros) y su pago implicará
la terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 30.000 € (treinta mil euros).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente 40.000 € (cuarenta mil euros) o 30.000 € (treinta mil euros),
deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000
0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la
entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia
del procedimiento que figura en el encabezamiento de este documento y la causa de
reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/18
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
935-200320
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 27 de septiembre de 2021, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 40000 euros haciendo uso de una de las dos
reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha
quedado acreditado el reconocimiento de responsabilidad.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere el
Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/18
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos
RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00111/2021, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
937-160721
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/18
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es