1/8
Procedimiento Nº: PS/00235/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 6 de marzo de 2020
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra Telefónica Móviles España, S.A.U. con NIF A78923125
(en adelante, la reclamada).
La reclamante manifiesta que era titular de cinco líneas contratadas con la
reclamada (aporta números), utilizando una de ellas su hijo (***TELÉFONO.1).
Así las cosas, el 14 de enero de 2020, su hijo recibe en su teléfono un mensaje
indicando que dicha línea había dejado de compartir datos móviles con el resto de las
líneas. Contacta con la reclamada y le manifiestan que aquélla estaba desactivada y
que ya no era de su titularidad.
Pues bien, se persona en una tienda de la reclamada y le informan de que
terceras personas, haciéndose pasar por la reclamante, habían realizado un cambio
de titularidad de la línea a favor de un tercero, sin que se hubiese realizado ningún tipo
de comprobación de identidad al respecto. Ese mismo día (14/01/2020), el nuevo
titular solicita en una tienda un duplicado de la tarjeta SIM por robo o pérdida, abriendo
un número de incidencia la reclamada
La reclamante, aporta con su escrito de reclamación los siguientes
documentos:
1. Nombre y apellidos del tercero, dirección. tienda, fecha y hora, y número de
incidencia.
2. Facturas acreditativas de la titularidad anterior.
3. Captura móvil donde consta la salida de su hijo de varios grupos de fecha
14 de enero de 2020.
4. Captura mensaje WhatsApp de un contacto relatando la petición de dinero.
5. Denuncia ante la Policía del 14 de enero de 2020 interpuesta por la
reclamante y por su hijo.
SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante
la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos
designados por los responsables o encargados del tratamiento, a los efectos previstos
en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio
traslado de la reclamación a la entidad reclamada para que procediese a su análisis y
diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes.
Como resultado de este trámite, con fecha 8 de julio de 2020, la reclamada
manifiesta:
Que han remitido carta de respuesta a la reclamación de la reclamante.
Adjuntan copia del escrito.
TERCERO: El resultado del trámite de traslado iniciado en el hecho anterior no
permitió entender satisfechas las pretensiones de la reclamante. En consecuencia,
dado que la reclamada contestó solo que “se han adoptado medidas adicionales de
seguridad”. Es por lo que con fecha 24 de julio de 2020, a los efectos previstos en su
artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de
Datos acordó admitir a trámite la reclamación presentada.
CUARTO: Con fecha 25 de septiembre de 2020, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo
83.5 del RGPD.
QUINTO: Notificado el mencionado acuerdo de inicio, la reclamada solicitó ampliación
de plazo para formular alegaciones.
Con fecha 5 de octubre de 2020, se notificó la concesión de ampliación del
mencionado plazo por 5 días.
Posteriormente, la reclamada presentó alegaciones en las cuales, en síntesis,
manifestaba que: “TME cuenta con un procedimiento consolidado y adecuado de
verificación de la identidad de nuestros clientes. En este procedimiento de verificación
de identidad se solicitan, además de los datos identificativos del antiguo y del nuevo
titular, los últimos 4 dígitos de la cuenta bancaria del antiguo titular.
Por tanto, interesa hacer hincapié en que el motivo de la situación expuesta por la
reclamante se debe a la obtención y uso ilícito de los datos personales de la
reclamante por parte del suplantador y al posterior engaño al agente comercial de
***TELÉFONO.2 que tramitó la solicitud de cambio de titular, y no a un tratamiento
ilegitimo de los datos de la reclamante por parte de mi representada.
Una vez interpuesta la reclamación ante TME, dos días después de haberse
producido el cambio de titular y posterior duplicado de tarjeta, se le ofrece a la
reclamante la posibilidad de restablecer la titularidad de la línea. No obstante, la
reclamante manifiesta el deseo de que no se lleven a cabo más gestiones, en la
medida en la que prefiere ser asesorada por sus abogados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
En consecuencia, mi representada considera que no ha existido infracción del artículo
6.1 del RGPD para realizar el tratamiento de los datos de la reclamante por su parte,
sino por parte de un suplantador, ya que el tratamiento de esos datos por parte de
TME resulta necesario para gestionar la relación contractual con la reclamante, y a los
efectos de realizar dicho tratamiento, TME tiene establecida una operativa que reviste
las garantías suficiente para asegura el cumplimiento de la normativa vigente en
materia de protección de datos”.
Solicita se tengan en cuenta las circunstancias que han concurrido en los hechos
objeto del procedimiento y, para el caso que se aprecie la infracción, se reduzca la
cuantía de la sanción propuesta en el Acuerdo de Inicio y que se dicte Resolución
ordenando el archivo del presente expediente sancionador o subsidiariamente, se
minore la sanción inicialmente propuesta en virtud del art. 83 del RGPD.
SEXTO: Con fecha 26 de octubre de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas todas las
actuaciones previas, así como los documentos aportados por la reclamada.
SÉPTIMO: Con fecha 3 de diciembre de 2020 se formuló la propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
sancione a la reclamada, por una infracción del Artículo 6.1 del RGPD, tipificada en el
Artículo 83.5 del RGPD, con una multa de 75.000 euros.
OCTAVO: Notificada la propuesta de resolución, el 9 de diciembre de 2020, solicitó
ampliación de plazo para formular alegaciones, siendo concedido.
La parte reclamada presentó escrito de alegaciones ratificándose en las realizadas al
Acuerdo de Inicio, solicitando se proponga declaración de inexistencia de
responsabilidad por parte de la reclamada por presunta infracción que se le imputa en
el presente procedimiento, y se dicte en su día Resolución ordenando el archivo del
presente expediente sancionador al margen referenciado, y subsidiariamente, minore
la sanción inicialmente propuesta del art. 83 del RGPD.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de
Datos en el presente procedimiento se consideran hechos probados los siguientes:
HECHOS PROBADOS
PRIMERO: La reclamante fue titular de cinco líneas contratadas con la reclamada
(aporta números), utilizando una de ellas su hijo (***TELÉFONO.1).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
SEGUNDO: Consta que el 14 de enero de 2020, el hijo de la reclamante, recibe un
mensaje participándole que dicha línea había dejado de compartir datos móviles con el
resto de las líneas. Contacta con la reclamada y le comunican que la línea estaba
desactivada y que ya no era de su titularidad.
TERCERO: Se constata que la reclamante se personó en una tienda de la reclamada
y le informan que terceras personas, haciéndose pasar por la reclamante, habían
realizado un cambio de titularidad de la línea a favor de un tercero, sin que se hubiese
realizado ningún tipo de comprobación de identidad al respecto.
Consta que el 14 de enero de 2020, el nuevo titular solicita en una tienda de la
reclamada un duplicado de la tarjeta SIM por robo o pérdida, abriendo un número de
incidencia la reclamada (aporta nombre y apellidos del tercero, dirección, tienda, fecha
y hora, y número de incidencia).
CUARTO: La reclamada, reconoce los hechos, en sus alegaciones, y manifiesta que
se debe a la obtención y uso ilícito de los datos personales de la reclamante por parte
del suplantador y al posterior engaño del suplantador al agente comercial de
***TELÉFONO.2 que tramitó la solicitud de cambio de titular.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control y según lo establecido en los arts. 47 y 48.1 de LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
II
Se imputa a la parte reclamada la comisión de una infracción por vulneración
del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
(…)”
La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones
consideradas muy graves” dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquél y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE)2016/679.”
III
La documentación que obra en el expediente ofrece evidencias de que la
reclamada vulneró el artículo 6.1 del RGPD.
En tal sentido, consta acreditado que la reclamada trató los datos personales de
la reclamante sin legitimación para ello. Está claro, que la reclamada ha llevado a cabo
el cambio de la titularidad de la línea de la reclamante, sin legitimación para ello, tal
como reconoce la reclamada en sus alegaciones, manifestando: “que se debe a la
obtención y uso ilícito de los datos personales de la reclamante por parte del
suplantador y al posterior engaño del suplantador al agente comercial de 1004 que
tramitó la solicitud de cambio de titular”.
En base a lo anteriormente expuesto, en el caso analizado, queda en
entredicho la diligencia empleada por parte de la reclamada.
El respeto al principio de licitud que está en la esencia del derecho fundamental
de protección de datos de carácter personal exige que conste acreditado que la
responsable del tratamiento desplegó la diligencia imprescindible para acreditar ese
extremo. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar
por el cumplimiento de la normativa reguladora del derecho de protección de datos de
carácter personal- el resultado sería vaciar de contenido el principio de licitud.
La falta de diligencia desplegada por la entidad en el cumplimiento de las
obligaciones impuestas por la normativa de protección de datos de carácter personal
es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento
de datos de terceros requiere que la responsable del tratamiento esté en condiciones
de probarlo (principio de responsabilidad proactiva).
Así pues, habiendo quedado acreditado que la reclamada trató los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
personales de la reclamante, quien niega su consentimiento al tratamiento, y en tanto
la primera no ha aportado prueba alguna para desvirtuar tales evidencias, se estima
que los hechos que se someten a la valoración de esta Agencia podrían ser
constitutivos de una infracción del artículo 6.1 del RGPD, infracción tipificada en el
artículo 83.5 del citado Reglamento 2016/679.
IV
A fin de determinar la multa administrativa a imponer se han de observar las pre-
visiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD,
artículo 76, “Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la
sanción de multa a imponer a la entidad reclamada como responsable de una
infracción tipificada en el artículo 83.5.a) del RGPD, se estiman concurrentes en el
presente caso, en calidad de agravantes, los siguientes factores:
- La duración del tratamiento ilegítimo de los datos del afectado efectuado por la
reclamada (artículo 83.2. a) del RGPD).
- La intencionalidad o negligencia de la infracción (art.83.2. b) del RGPD).
- Se encuentran afectados identificadores personales básicos (datos personales
y bancarios (art.83.2. g) del RGPD).
- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del
RGPD en relación con el artículo 76.2.b, de la LOPDGDD)
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con NIF
A78923125, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
del RGPD, una multa de 75.000 euros (setenta y cinco mil euros).
SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA,
S.A.U.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es