1/9
Procedimiento Nº: PS/00200/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: La Unión Asociativa de Valencia UNAE, con NIF G46421673, en nombre y
representación de Dña. A.A.A. (en adelante, la reclamante) con fecha 18 de febrero de
2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra Dña. B.B.B. con NIF ***NIF.1 (en adelante, la reclamada).
La reclamante manifiesta que en la web ***URL.1 (página de citas con carácter sexual)
aparecen fotos de personas que no se corresponden con los números de teléfono de
contacto de éstas y que la reclamante está siendo víctima directa de estos hechos.
Las imágenes con los números de contacto siguen en activo en ***URL.1/CAT-
CHICAS que cualquier persona puede publicar un anuncio sin que exista ningún
control de verificación de personalidad, vía claves pin al móvil introducido para darse
de alta.
Además, el formulario de contacto de la web, ubicado en ***URL.1/CONTACTO es un
contacto falso.
Solicita se cierre esta página web y que se supriman los números de teléfono, en
concreto el de la reclamante ***TELEFONO.1.
Y, entre otra, aporta la siguiente documentación:
Captura de pantalla de anuncio en la url ***URL.1 donde consta el nombre de
“Katy”, una fotografía de tipo sexual y el número de teléfono de la reclamante.
Copia de política de privacidad ubicada en la url
***URL.1/POLÍTICA_DE_PRIVACIDAD donde consta en el apartado
“DESTINATARIOS” que “Los datos se comunicarán a la empresa ***EMPRESA.1 con
quien ***URL.1 tiene contratados sus servicios virtuales,…”
Copia de correo electrónico remitido por “***EMPRESA.1,” en fecha 13 de
febrero de 2020 a las 12:06 h, en el que consta el siguiente texto:
“Dear Ladies and Gentlemen,
Further to your enquiry we would like to inform you that we have taken note oft he
circumstances as described by yourself and that we have taken the measures as
requested. Please understand that for data protection reasons we are unable to give
you any more information.
With kind regards from Berlin,
***EMPRESA.1”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/9
Copia de correo electrónico remitido por [email protected], de fecha 13 de
febrero de 2020 a las 13:13h, en el que consta el siguiente texto:
“Dear Sir or Madam,
Thank you so much for your answer and for having taking actions quickly.
How can you unable this site to indicate again new phone numbers without a
verification code? Can they do it again?
You have to alert the website that is not doing things right, they are doing illegal things
and they need to create a verification code if they ask for a number or email to double
check identity. The police in Spain will investigate them so they better stop doing this
type of illegal procedures.
I remain at your disposal for any further information.
Thank you.
Kind regards,
A.A.A.”
Copia de correo electrónico en el que consta el siguiente texto:
“Hello,
I continue seeing my phone number associated to the profile. Bottom- Left as shown
in the image. You just have to situate the mouse where it says "LLAMAR" and it
appears.
When do you think this will be solved?
Thank you,
A.A.A.”
Copia de correo electrónico remitido por ABUSE-
SERVER@***EMPRESA.1.DE a [email protected] con fecha 13 de febrero de
2020 a las 13:50:51 en el que consta el siguiente texto:
“
Dear Ladies and Gentlemen,
the problems will be solved shortly, please be patient
With kind regards from Berlin,
***EMPRESA.1”
Copia de atestado 940/20 de la Dirección General de la Policía en el que
comparece la reclamante, con fecha 12 de febrero de 2020, con las siguientes
manifestaciones entre otras:
a) Que su teléfono es el ***TELEFONO.1.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/9
b) Que con fecha 11/02/2020 sobre las 10:00 recibió WhatsApp de una persona a
la que no conoce con número de teléfono ***TELEFONO.2 que le escribió “Hola Katy
te he visto en ***URL.1 y me gustaría quedar contigo”.
c) Que el mismo día sobre las 20:00 recibe la llamada de otra persona
desconocida con número de teléfono ***TELEFONO.3.
d) Que entrando en el perfil falso se puede contactar por vía WhatsApp o
telefónica con la reclamante.
e) Que en el perfil falso donde aparece su teléfono se puede ver una persona
desnuda la cual desconoce, haciéndose llamar Katy.
f) Que la denunciante intentó contactar con el servicio de atención al cliente de la
página web, la cual al parecer tiene un correo electrónico que no existe ya que le
devuelven los correos.
g) Que la denunciante manifiesta que no se ha registrado nunca en ninguna
página de este tipo.
Copia de atestado 1008/20, de la Dirección General de la Policía en el que
comparece la reclamante, con fecha 14 de febrero de 2020, y realiza las siguientes
manifestaciones, entre otras:
a) Que la reclamante se pone en contacto con otro número de teléfono de una
mujer que aparece en la página web ***URL.1 para comprobar si ese número
corresponde con la persona de la foto, manifestando que ese número pertenece a una
persona que dice llamarse C.C.C., con número de teléfono ***TELEFONO.4.
b) Que la reclamante realizó una segunda llamada a otro número de teléfono de
una mujer que aparece en la página web ***URL.1 manifestando que ese número
pertenece a una mujer de 80 años que tampoco ha dado su consentimiento ni tiene
constancia de esa página web.
SEGUNDO: De conformidad con lo dispuesto en el artículo 65.2 de la LOPDGDD, en
fecha 9 de marzo de 2020 se firma el acuerdo de admisión a trámite de la presente
reclamación.
TERCERO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por la reclamante y de los hechos y documentos de los que ha
tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos
procedió a la realización de actuaciones previas de investigación para el
esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación
otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/9
Como resultado de las actuaciones de investigación practicadas, se constata que el
responsable del tratamiento es la reclamada.
Con fecha 02/06/2020 se comprueba respecto a la web ***URL.1:
Que en la política de privacidad no consta el responsable de la web.
Con fecha 03/06/2020 se comprueba respecto a la web ***URL.1:
Que el resultado de la consulta de la url ***URL.1 es una página en blanco.
Con fecha 16/06/2020, OVH HISPANO, S.L. remite a esta Agencia la siguiente
información y manifestaciones:
Que la persona que ha realizado la contratación del servicio ***URL.1 es B.B.B..
El 30 de marzo de 2021 se consulta en el INE (padrón) la dirección postal de la
reclamada.
En la fecha anterior, se remite requerimiento de información a la reclamada. La
notificación se realiza por correo postal y figura con el estado “dirección incorrecta” por
el servicio de correos con fecha 14 de abril de 2021.
Con fecha 23 de abril de 2021, la Agencia Tributaria Servicio de Planificación y
Relaciones Institucionales remite a esta Agencia información del domicilio fiscal de la
reclamada, siendo distinta a la anterior.
En la misma fecha, se remite requerimiento de información a la reclamada. La
notificación se realiza por correo postal.
CUARTO: Con fecha 10 de mayo de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la
presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.a) del citado
RGPD.
QUINTO: Habiendo sido notificado el acuerdo de inicio del presente procedimiento
sancionador tanto a través del servicio de correos, como del tablón de anuncios del
BOE, el 24 de mayo y el 14 de junio del 2021.
SEXTO: Notificado formalmente el acuerdo de inicio, la reclamada al tiempo de la
presente resolución no ha presentado escrito de alegaciones, por lo que es de
aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, que en su
apartado f) establece que en caso de no efectuar alegaciones en el plazo previsto
sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de
resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad
imputada, por lo que se procede a dictar Resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/9
HECHOS
PRIMERO: Consta que en la web ***URL.1 (página de citas con carácter sexual)
aparecen fotos de personas que no se corresponden con los números de teléfono de
contacto de éstas y que la reclamante está siendo víctima directa de estos hechos.
Las imágenes con los números de contacto siguen en activo en ***URL.1/CAT-
CHICAS que cualquier persona puede publicar un anuncio sin que exista ningún
control de verificación de personalidad, vía claves pin al móvil introducido para darse
de alta.
Además, el formulario de contacto de la web, ubicado en ***URL.1/CONTACTO es un
contacto falso.
SEGUNDO: Se constata en la captura de pantalla de anuncio en la url ***URL.1 que
consta el nombre de “Katy”, una fotografía de tipo sexual y el número de teléfono de la
reclamante.
TERCERO: El 10 de mayo de 2021, se inició este procedimiento sancionador por la
infracción del artículo 6 del RGPD, siendo notificado. No habiendo efectuado
alegaciones, la reclamada, al acuerdo de inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
El artículo 6 del RGPD, “Licitud del tratamiento”, detalla en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/9
La infracción de la que se responsabiliza a la entidad reclamada se encuentra
tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para
la imposición de multas administrativas”, señala:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones
consideradas muy graves” dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquél y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.”
III
La documentación que obra en el expediente ofrece evidencias que la reclamada
vulneró el artículo 6.1 del RGPD, por falta de legitimación en el tratamiento del dato del
teléfono de la reclamante, asociado a una imagen de otra persona y a unas citas no
consentidas, sin que haya acreditado que cuente con la habilitación legal para ello.
El artículo 6.1 RGPD dice que el tratamiento será lícito si “a) el interesado dio
su consentimiento para el tratamiento de sus datos personales para uno o varios fines
específicos”.
Está claro, que la reclamada publicó un anuncio en un portal web de contactos,
con carácter sexual, conteniendo el teléfono de la reclamante, asociado a una imagen
y a unas citas no consentidas, tratamiento de datos de la reclamante que realizo sin
legitimación para ello.
Así pues, se estima que los hechos que se someten a la valoración de esta
Agencia son constitutivos de una infracción del art. 6.1.
IV
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/9
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/9
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos a efectos de fijar el importe de la
sanción de multa a imponer a la reclamada, como responsable de una infracción
tipificada en el artículo 83.5.a) del RGPD se estiman concurrentes los siguientes
factores:
- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicio que hayan
sufrido (art. 83.2 a).
- La intencionalidad en la comisión de la infracción (art. 83.2 b).
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a Dña. B.B.B., con NIF ***NIF.1, por una infracción del Artículo
6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2.000 euros (dos
mil euros).
SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B., con NIF ***NIF.1.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/9
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es