İspanya Veri Koruma Otoritesi (AEPD) — PS/00416/2019

1/61

 Procedimiento Nº: PS/00416/2019

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en
base a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 03/09/2018, tuvo entrada en esta Agencia una reclamación
presentada por A.A.A. (en lo sucesivo el reclamante 1), contra la entidad MIRACLIA
TELECOMUNICACIONES, S.L., con NIF B85623775 (en lo sucesivo MIRACLIA o la
reclamada), por la utilización de sus datos personales para hacerle una broma sirviéndose
para ello de la aplicación “***APLICACIÓN.1”, mediante llamada telefónica a su línea móvil
***TELÉFONO.1 en la que una persona fingía ser un agente de policía, la cual tuvo lugar el
día ***FECHA.1. Con este motivo, denuncia la grabación realizada sin su conocimiento ni
consentimiento, la difusión de dicha grabación a terceros, también sin su consentimiento, y
que la llamada se produce desde un número oculto. Añade que la línea habilitada como
contacto por aquella compañía es de tarificación adicional, que conlleva un coste para el
interesado que pretenda contactar con la misma. Manifiesta que dispone de una copia de la
grabación, que le fue facilitada por la persona que utilizó los servicios de MIRACLIA y solicita
que sus datos sean cancelados, así como la apertura de un procedimiento sancionador.

Esta reclamación fue trasladada a la entidad MIRACLIA. En respuesta a lo
manifestado por el reclamante 1, MIRACLIA informa a esta Agencia que la broma a la que
se refiere el reclamante es ajena a la aplicación “***APLICACIÓN.1”, en cuyo catálogo de
bromas no existe ninguna que tenga que ver con policías.

Sobre el tratamiento de datos personales, indica que no almacena datos del
abromado (en lo sucesivo, también, interesado o persona que recibe la llamada de broma):
ni grabaciones ni teléfono, que estará en el dispositivo móvil del bromista (en lo sucesivo,
también, usuario de la aplicación o persona que encarga la llamada de broma); limitándose
a prestar un servicio al usuario de la aplicación (el bromista) que elige la broma, introduce el
teléfono del destinatario y, previa la aceptación de los términos y condiciones, genera la
grabación. MIRACLIA, por tanto, no tiene forma de saber si el reclamante ha recibido una
broma de “***APLICACIÓN.1” (advierte al respecto que existen otras aplicaciones similares),
y sólo puede bloquear el número de línea telefónico del abromado, aún sin saber si
efectivamente ha recibido la broma, o borrar la URL de la grabación si dispusieran de ella,
cosa que no ocurre en este caso al no haberla aportado el reclamante 1.

Según MIRACLIA, es el bromista quien puede borrar la grabación, por lo que la
petición del reclamante ha de dirigirse a éste. La actuación de la entidad, que no identifica a
las personas abromadas, consiste en evitar que la persona destinataria de la broma reciba
más llamadas en el futuro, bloqueando el teléfono, o proceder al borrado de la grabación
mediante la URL de la broma, que no lleva ningún teléfono asociado, y siempre que el
bromista no lo haya hecho previamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/61

El usuario de la aplicación o bromista es advertido en dos ocasiones sobre la
responsabilidad que conlleva la realización de la grabación.

Finalmente, MIRACLIA informa que desde la plena aplicación del Reglamento (UE)
2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de
las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (en lo sucesivo RGPD), ha modificado su operativa con el objeto
de no conservar ningún tipo de datos, quedando éstos en los teléfonos de los usuarios,
siendo imposible identificar a los abromados. En el caso de que éstos últimos, los
abromados, aportasen su número de línea, se podría proceder a su bloqueo para que no
reciba llamadas en el futuro.

SEGUNDO: Con fecha 04/07/2019, tuvo entrada en esta Agencia una reclamación
presentada por B.B.B. (en lo sucesivo la reclamante 2), contra la entidad MIRACLIA,
señalando, al igual que el reclamante 1, que ha sido objeto de una broma (agradecimiento
por su voto a XXXXX) que fue grabada y difundida por redes sociales con la mención de su
nombre, llevada a cabo utilizando la aplicación “***APLICACIÓN.1” (aporta el enlace al
audio objeto de la denuncia –“***ENLACE.1”, que permite el acceso al audio
correspondiente a la llamada). Solicita la eliminación de su número de línea de telefonía
móvil en la que recibió la llamada de la base de datos de la compañía responsable y la
eliminación del audio de la red. Denuncia, asimismo, que se realicen mensajes xenófobos
de la supuesta “asociación de amigos de XXXXX”.

TERCERO: Las reclamaciones a las que se refieren las actuaciones fueron admitidas a
trámite mediante resoluciones de fecha 20/11/2018 (la relativa al reclamante 1) y 09/08/2019
(la relativa a la reclamante 2).

CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos
aportados por el reclamante 1, la Subdirección General de Inspección de Datos procedió a
la realización de actuaciones previas de investigación para el esclarecimiento de los hechos
en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control
en el artículo 57.1 del Reglamento RGPD, y de conformidad con lo establecido en el Título
VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo
LOPDGDD), a la que se vinculó igualmente la reclamación formulada por la reclamante 2.

Como resultado de dichas actuaciones, el informe elaborado por la inspección
actuante pone de manifiesto lo siguiente:

1. Realizado requerimiento de información a MIRACLIA sobre diversos aspectos, con
fecha 25/06/2019 se recibió en esta Agencia escrito procedente de dicha compañía
en el que realiza las siguientes manifestaciones:
a. Al final de la llamada de broma, el receptor escucha una locución ofreciéndole
la posibilidad de no permitir la generación del fichero con la grabación de la
broma. La locución es la siguiente:
"Un amigo suyo le ha gastado una broma. En caso de que no quiera que su
amigo pueda escuchar, descargar o difundir la broma, o en caso de que no
quiera recibir más bromas, pulse 5 con su teclado después de la señal.
Beeep”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/61

Añaden que adicionalmente, se puede eliminar la broma conociendo la url de
la grabación de la broma y enviando un correo a ***EMAIL.1 indicando esa
url.
b. Entre otros aspectos técnicos, indican que, una vez programada la broma, la
llamada se inicia desde los servidores de Voz sobre IP de la reclamada en la
fecha y hora especificadas.
El usuario bromista descarga la aplicación y acepta los términos y
condiciones de la misma. En ese momento se genera su perfil de usuario
para utilizar un servicio de Voz sobre IP y se le asigna una numeración, la
cual se le alquila mientras es usuario de la aplicación y realiza cada llamada.
Para hacer uso de la aplicación, elige una broma del catálogo e introduce el
teléfono del destinatario de la broma y programa una fecha y hora, y la
llamada de Voz sobre IP sale de los servidores en la nube a esa hora que ha
programado el usuario bromista.
Si el usuario bromista selecciona grabar la llamada (y el receptor de la misma,
al recibir la llamada no elige la opción de que no se grabe según se indica en
el punto anterior), se generará un fichero de audio con el contenido de la
misma. El fichero de audio generado está disponible en una URL a la que
solamente el bromista usuario de la aplicación tiene acceso y solamente el
bromista en su propio dispositivo donde tiene instalada la aplicación tiene
asociado ese contenido al nº de teléfono del destinatario de la llamada, pues
los servidores de ***APLICACIÓN.1 no almacenan ningún dato personal del
destinatario de la llamada.
c. En los términos y condiciones de uso de la aplicación se les informa a los
usuarios bromistas que la compañía podría eliminar sus perfiles (incluyendo
los contenidos/grabaciones) tras 6 meses de no uso de la aplicación.

2. Con objeto de determinar el funcionamiento exacto de la aplicación y las posibles
variaciones incorporadas en la aplicación desde la última reclamación, el inspector
instaló en su terminal móvil la aplicación “***APLICACIÓN.1”. La aplicación consta de
3 pestañas: “Listado” (de bromas disponibles), “Ejemplos” y “Mis bromas”. En esta
última pestaña es donde se guardarán las bromas realizadas por el bromista si no
son eliminadas.
Se comprueba que en el listado de bromas disponibles constan las bromas
relacionadas con el reclamante 1 y la reclamante 2.

3. Con fechas 6, 9 y 12 de septiembre de 2019, los Servicios de Inspección de la
Agencia realizaron unas pruebas consistentes en descargar la aplicación
“***APLICACIÓN.1” en un terminal móvil y proceder a su uso. Como resultado de
estas pruebas se obtuvieron las constataciones que constan reseñadas en el Hecho
Probado Segundo.

4. Se ha constatado que en la página web “***APLICACIÓN.1.es” se ofrece un sistema
gratuito e inmediato para incluir un número de teléfono en la lista de teléfonos
bloqueados. Según manifestación de MIRACLIA, el número de teléfono se almacena
encriptado en sus sistemas.
Se realizó una prueba dando de alta el número de teléfono correspondiente a la
segunda SIM del terminal del inspector y, a continuación, se intentó realizar una
broma a este número de teléfono. La aplicación no permitió la ejecución de la broma.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/61

5. En cuanto a la cuestión de la difusión de la broma, que está presente en las
reclamaciones, hay que aclarar que MIRACLIA no dispone de ningún sitio público
donde se publiquen o plataforma alguna de difusión de las bromas. Las bromas solo
las puede difundir el usuario bromista mediante el envío del enlace al archivo de
audio: en el listado de bromas realizadas por el bromista, junto a cada una de las
bromas no eliminadas por el receptor de la broma siguiendo el procedimiento
indicado, aparece un icono para descargar el archivo de audio de la grabación de la
conversación telefónica de la broma, otro para escucharla y un tercero para
compartirla (se envía el enlace al archivo de audio de la grabación a través del medio
que se haya elegido para compartirla -este es el único momento en el que el
bromista conoce el enlace al archivo de audio).

6. Con fecha 26/08/2019, por los Servicios de Inspección se accede a la web
“***WEB.1”, a la URL correspondiente a la grabación de la broma realizada a la
reclamante 2. Se comprueba que utilizando el botón derecho se muestran distintas
opciones, entre ellas la de reproducir y descargar la grabación.

La inspección actuante recoge en su informe una reseña de las pruebas de
funcionamiento de la aplicación “***APLICACIÓN.1” realizada con motivo de alguna
actuación anterior desarrollada por la Agencia (expediente E/02003/2018). Con respecto al
tratamiento por parte de la reclamada de los datos personales del destinatario, en dicho
informe se indica lo siguiente:

I. Almacenamiento del teléfono del destinatario. Se almacena el teléfono del
destinatario en los sistemas de la reclamada hasta el momento de realizar la
llamada. Las llamadas de broma pueden ser instantáneas o programadas
especificando fecha y hora de ejecución.
I. Grabación de la broma. Permanece en los sistemas de la reclamada hasta que el
bromista decide eliminarla, el destinatario de la broma decide ejercer su derecho de
supresión, para lo cual debe conocer el enlace web a la broma, o como norma
general, un periodo de tiempo de 6 meses de no uso de la aplicación establecido por
la reclamada.
I. No existen en los sistemas de la reclamada otros datos personales del destinatario
de la broma adicionales a los reflejados en los anteriores puntos I y II.

QUINTO: Con fecha 19/11/2019, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad MIRACLIA, de conformidad con
lo previsto en el artículo 58.2 del RGPD, por la presunta infracción de los artículos 13 y 14
del RGPD, tipificada en el artículo 83.5.b) del citado Reglamento; y por la presunta infracción
del artículo 6 del RGPD, tipificada en el artículo 83.5.a) del citado Reglamento;
determinando que la sanción que pudiera corresponder ascendería a un total de 100.000,00
euros (50.000,00 euros por cada una de las infracciones imputadas), sin perjuicio de lo que
resulte de la instrucción.

Asimismo, a los efectos previstos en el artículo 58.2.d) del RGPD, en dicho acuerdo
de inicio se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la
imposición a la entidad MIRACLIA de la obligación de adoptar las medidas necesarias para
adecuar a la normativa de protección de datos personales las operaciones de tratamiento
que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los
mismos prestan su consentimiento para la recogida y tratamiento de sus datos personales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/61

todo ello con el alcance expresado en los Fundamentos de Derecho del repetido acuerdo de
inicio del procedimiento y sin perjuicio de lo que resulte de la instrucción.

SEXTO: Notificado el citado acuerdo de inicio, MIRACLIA presentó escrito de alegaciones en
el que solicita la reducción de la sanción a la que se hace referencia en el acuerdo de
apertura del procedimiento, habida cuenta las alegaciones formuladas y las medidas
inmediatas adoptadas. Basa su pretensión en las consideraciones siguientes:

1. Como cuestión preliminar, advierte la citada entidad que ha sido objeto de varios
procedimientos sancionadores con anterioridad (por ausencia de consentimiento
únicamente), que están siendo revisados ante el Tribunal Supremo, tres de ellos ya
admitidos formalmente a trámite y pendientes de vista oral. En dichos procedimientos se
discute la posición de MIRACLIA en la relación personal entre bromista y abromado al
facilitar un medio de ocio entre particulares, así como la existencia o no de datos personales
y la base jurídica del tratamiento (el interés legítimo, según la entidad), pues de otra forma el
hecho de gastar una broma no sería posible. Acompaña copia de uno de los recursos de
casación, en los que se resumen, según MIRACLIA, sus argumentos.

A raíz de esos casos, y la entrada en vigor del RGPD, realizó una modificación de sus
sistemas para evitar que los datos estuviesen almacenados en los servidores de MIRACLIA,
alejando la idea de “tratamiento de datos personales” y apostando, según sus
manifestaciones, por ser un medio de comunicación como puede ser una línea telefónica. Es
un intermediario en una relación entre particulares, siendo el usuario que gasta la broma el
responsable de la información. También es el que introduce el teléfono.

MIRACLIA indica que solo dota de seguridad al proceso, pero no es capaz de identificar al
abromado ni de vincularle con ningún otro dato; no guarda el teléfono al que se dirige la
broma no lo asocia al archivo de audio, que queda cifrado con un código. Añade que
bloquea el teléfono del destinatario de la broma cuando solicita no recibirlas, borra la
grabación cuando así se solicita y no dispone de listados de teléfonos de abromados,
listados de grabaciones o similar.

Es algo similar, dice MIRACLIA, a lo que ocurre con Instagram o Twitter cuando un particular
hace una foto y la sube a estas redes sociales, las cuales no son responsables de estos
hechos y, como mucho, habilitan medios para solicitar la retirada del contenido. Tampoco
una empresa dedicada el envío de regalos sorpresa tiene que pedir permiso anterior al
destinatario. De otra forma, no sería posible la actividad.

2. En relación con la reclamación formulada por el reclamante 1, reitera que la broma a la
que hace referencia no figura en el catálogo de bromas de ***APLICACIÓN.1.

Sobre la segunda reclamación manifiesta que la interesada no se dirigió a la entidad para
solicitar la supresión de sus datos y que esta solicitud pudo realizarla desde el momento
mismo de la llamada o posteriormente, al disponer de la URL con la grabación. Según
MIRACLIA, esta denuncia evidencia que lo solicitado habitualmente es la supresión de la
broma. En este caso, transcurrieron casi tres meses, cuando en el mismo día se podría
haber satisfecho el derecho.

3. Sobre las pruebas realizadas por el inspector:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/61

- La grabación no queda materializada en un fichero de audio con su correspondiente
URL hasta que el usuario que hace la llamada confirma que ha aceptado los Términos y
Condiciones por segunda vez y genera el fichero de audio.
- El borrado de las bromas se produce con el envío de un tono DTMF durante la
llamada, que los operadores deben garantizar su funcionamiento. Lamentablemente en
el mundo VoIP (que es la tecnología con la que los operadores prestan el servicio de
envío de las llamadas telefónicas desde los servidores de ***APLICACIÓN.1), esto no
siempre es así dependiendo de la ruta que haya seguido la llamada, lo cual está detrás
de la inestabilidad que pueda tener el sistema.
- La usabilidad de borrado tras mantener pulsación es algo que MIRACLIA considera
intuitivo porque muchas apps de mensajería lo realizan de la misma forma. Se trata ya
de un estándar de usabilidad de los smartphones.
- El número de teléfono para las bromas programadas queda encolado con la llamada a
realizar. Cuando ésta se realiza, desaparece de los sistemas. En ningún momento
queda guardado el número de teléfono y la grabación en el mismo momento y lugar, con
lo cual es imposible que haya asociación entre ambos datos. El fichero de la grabación
se genera cuando el bromista acepta su generación, lo cual sólo se produce cuando la
llamada ha finalizado y el abromado no ha pulsado la tecla 5. Si el bromista no aceptara
la generación de la grabación, no existe conversión del audio en un fichero accesible vía
URL y, por tanto, incluso ni el usuario podría acceder al fichero. El audio serían unos bits
en memoria temporal sin que genere un fichero cerrado de audio.

4. Sobre el funcionamiento de la aplicación: la información y la base jurídica que legitima el
tratamiento de datos.

Cuestiona que la información pueda considerarse dato personal, por cuanto MIRACLIA es
incapaz de identificar a los abromados de manera sencilla y sin medios desproporcionados,
a partir del número de telefonía móvil o de los archivos de voz (STS 2484/2019: “una
persona física no se considera identificable si dicha identificación requiere plazos o
actividades desproporcionadas”). En este caso, el único que puede identificar al abromado
es el usuario y para MIRACLIA el destinatario es anónimo.

Sobre el deber de información señala lo siguiente:

MIRACLIA adoptó medidas adicionales para garantizar la seguridad de la información
tratada y que el número de teléfono se almacenara en el dispositivo del usuario y no en los
servidores de la entidad. Inicialmente, el teléfono del abromado se almacenaba para facilitar
cualquier solicitud de información del afectado, si bien, según indica MIRACLIA, de forma
encriptada irreversible con algoritmo sha-2 evitando el uso del número para cualquier acción
que no fuera dar ese soporte, dado que sólo se podía recuperar si alguien (ej: el propio
abromado) lo facilitaba.

Al mismo tiempo, se incluyó al final de la broma una nota informativa sobre el tratamiento de
datos que, aunque es cierto que la locución actual no informa de todo lo exigido en el
artículo 14 del RGPD, sí se indica cómo oponerse al tratamiento de los datos y su supresión
(insiste en que considera que no trata datos personales, pero, “ad cautelam”, informa y
ofrece garantías).

Igualmente, en la política de privacidad insertada de la web y en los Términos y Condiciones
de la app se informa de lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/61

“Miraclia no recoge datos de los destinatarios de las bromas. La actividad de Miraclia es la
de facilitar un medio de telecomunicaciones para que el titular del teléfono que se descarga
la app, elija una broma y la grabe, quedando los datos relativos al destinatario de la llamada
almacenados en el terminal del propio usuario sin que Miraclia conserve información del
número de teléfono del destinatario. Miraclia presta un servicio de almacenamiento en la
nube de los ficheros de audio del cliente y en ningún momento difunde ni comparte con
nadie esa información, dado que es información privada del usuario de la aplicación”.

Por otra parte, con motivo de las presentes actuaciones, conocida la imputación realizada
por primera vez en relación con los defectos de información, ha procedido de inmediato a su
subsanación completando la información ofrecida al final de la conversación de la broma
como sigue:
- Que alguien ha gastado una broma para pasar ambos un buen rato.
- Que para la misma ha utilizado la aplicación ***APLICACIÓN.1 propiedad de
MIRACLIA TELECOMUNICACIONES, S.L.
- Que para oponerse a que dicha broma llegue al bromista y para suprimirla puede
pulsar la tecla 5.
- Que tiene más información pulsando la tecla 1.

Y al pulsar la tecla 1 se ofrece la explicación detallada, también incluida en la web. De este
modo, de la información que no facilitaba al interesado, ahora ha incluido:
- La identidad de MIRACLIA
- Los datos de contacto del Delegado de Protección de datos
- El plazo de conservación
- La base de legitimación
- El ejercicio de los derechos al completo que si bien se garantizaban los de oposición y
supresión (y también el de acceso cuando se solicitaba) se especifican ahora
formalmente.

Se trata de una información por capas incluida al final de la conversación, en los Términos y
Condiciones de la app, en la web de la entidad y en la sección preguntas frecuentes. Aporta
el detalle correspondiente a la información insertada en el apartado “Preguntas frecuentes”
de la web:

“12.- No quiero recibir más bromas. ¿Qué debo hacer?
Si no quieres que ningún conocido te vuelva a mandar bromas, basta con que entres en
Bloquear mi número e incluyas el número de teléfono. El número de teléfono que
introduzca quedará bloqueado en las plataformas de manera que nunca nadie le podrá
enviar una broma desde esta aplicación (ni por supuesto, ningún otro tipo de acción). El
nº se almacena encriptado en los sistemas, de manera que nadie podrá recuperar ese
nº para utilizarlo en el futuro”.
“16.- ¿Cómo puedo borrar una broma?
Las bromas se borran manteniendo pulsado el dedo unos segundos sobre la broma en
cuestión”.

Aclara, seguidamente, que lo anterior no supone su conformidad con la infracción ni con la
sanción, pero dado que no es este un aspecto que se haya descuidado con mala fe o con
propósito de eludir ningún cumplimiento, se vuelve a incluir “ad cautelam” de forma
inmediata para su subsanación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/61

Sobre la base jurídica del tratamiento de datos manifiesta lo siguiente:

El consentimiento no puede ser la base jurídica para gastar una broma porque se
desvirtuaría el hecho mismo de gastar una broma o del efecto sorpresa, como también
ocurre en infinidad de casos, como el envío de flores o la subida de fotos de amigos a redes
sociales. En este último caso, se garantizan los derechos de supresión y oposición, pero el
responsable de la red social no solicita el consentimiento de las personas cuyos datos son
subidos a la misma por otros usuarios.

Por ello MIRACLIA defiende la procedencia del interés legítimo como base de legitimación
ex artículo 6.1.f) del RGPD. A estos efectos se ha realizado la correspondiente prueba de
sopesamiento exigida, siguiendo las recomendaciones del extinto Grupo de Trabajo del
artículo 29.

Es más, se ha valorado que la base jurídica sea la ejecución del contrato entre usuario y
MIRACLIA, pero el abromado no es parte en dicho contrato.

Acompaña, a estos efectos, informe que justifica la procedencia del interés legítimo como
base que legitima el tratamiento de datos y en el que concluye que, más allá de casos
puntuales en los que el abromado se sienta molesto (que son casos testimoniales), no existe
riesgo para las personas por haberse adoptado todas las medidas de seguridad para
garantizar la seguridad del proceso, porque se garantiza el borrado de la broma si el
abromado así lo solicita, el bloqueo de su teléfono y porque ahora además se ha incluido la
información completa.

Añade que la grabación de una conversación entre particulares, cuando quien graba es uno
de los participantes en la conversación, no es ilícito, según declara el Tribunal Constitucional
en su sentencia el 29 de noviembre de 1984, STC 11/1984, cuando establece, entre otras
consideraciones que "Quien graba una conversación de otros atenta, independientemente
de toda otra consideración, al derecho reconocido en el art. 18.3 CE; por el contrario, quien
graba una conversación con otro no incurre, por este solo hecho, en conducta contraria al
precepto constitucional citado".

En el caso de ***APLICACIÓN.1, la parte que emite la llamada es consciente de la
grabación de la misma. El usuario podría grabar la conversación con una grabadora, con el
propio móvil o utilizando aplicaciones que graban las conversaciones. En lugar de ello utiliza
un medio (***APLICACIÓN.1, que le presta el servicio). Esa llamada se produce en un
entorno doméstico entre particulares a los que la legislación de protección de datos no
afecta.

Si MIRACLIA, tal y como venía haciendo hasta fechas recientes y ahora retoma dicha
práctica informa de la grabación, está proporcionando mayores garantías (el abromado
puede elegir borrar la grabación, borrarla a posteriori, bloquear su teléfono e impedir la
difusión de la broma por el usuario)

5. Sobre las medidas adoptadas y la graduación de la sanción

Destaca MIRACLIA que las reclamaciones presentadas ante la Agencia representan un
porcentaje ínfimo (0,00002%), frente a los centenares de usuarios que ha atendido a través
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/61

de diferentes vías (web, locución final tras la llamada y servicio de atención al cliente); que
ha subsanado la falta de información completando los términos dispuestos en el artículo 14
del RGPD, aunque considera fundamental que sí ofrecía la posibilidad de oponerse y la
supresión de los datos; y que la sanción propuesta obligaría al cierre de la empresa, por
cuanto representa el 25% de su facturación, que ascendió a 476.000 euros en el año 2018,
en el que se produjeron pérdidas.

Solicita una revisión a la baja de la sanción propuesta y, a tales efectos, considera que ha de
tenerse en cuenta lo siguiente:
. Que nos encontramos en un entorno de ocio que no produce perjuicio al abromado, ni se
hace mal uso de sus datos personales.
. El único dato en liza es el número de teléfono, que MIRACLIA no conserva y una grabación
que solo el usuario puede generar y distribuir, los cuales la entidad no puede unir al no
existir ningún fichero con el teléfono y la grabación.
. Que la intención siempre ha sido cumplir la norma, garantizar la seguridad de los datos y
minimizar al máximo la información.
. Que nunca ha dejado de atender las peticiones de supresión.
. Hasta el presente procedimiento, la infracción se ha centrado exclusivamente en la
ausencia de consentimiento, sin la imputación por incumplimiento del artículo 14, que parece
excesiva considerando que ha venido informando y ha procedido a su subsanación.
. Se ha mostrado dispuesta a cooperar con la Agencia en todo momento y ha facilitado la
información que le ha sido requerida.
. En el proceso que se analiza, el abromado siempre es elegido por el usuario de la
aplicación, a quien corresponde hacer un buen uso de la misma.
. Que la cuestión sobre la base jurídica del tratamiento se está discutiendo en el Tribunal
Supremo, quien decidirá si el tratamiento es anónimo para la entidad, si se han dispuesto las
garantías de seguridad y si se trata de un medio que los particulares utilizan en su vida
privada.

MIRACLIA aporta copia de uno de los recursos de casación interpuestos ante el
Tribunal Supremo en el año 2019, que fundamenta en los motivos siguientes:

1. Gastar una broma a través de una aplicación o de un medio en el que el usuario es
soberano de la información que se facilita es un acto desarrollado en el ámbito doméstico o
personal y por lo tanto queda excluido del ámbito de protección de la normativa de
protección de datos.
2. La voz no es un dato personal si no permite identificar a su titular o si es necesario
realizar esfuerzos desproporcionados para identificarlo.
3. La base jurídica del tratamiento de datos (si se estima que estamos ante datos
personales) por parte de un a aplicación que facilita un medio de ocio en el ámbito personal
o doméstico de las personas se basa es el interés legítimo.

SÉPTIMO: Por otra parte, a través del “Sistema de Información del Mercado Interior” (en lo
sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del
Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la
cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y
el intercambio de información, se recibió en esta Agencia Española de Protección de Datos
(AEPD) una reclamación de fecha 17/07/2019, formulada por un interesado ante la autoridad
de protección de datos de Eslovenia (Information Commissioner). El traslado de esta
reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/61

RGPD, teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente
para actuar como autoridad de control principal.

La citada reclamación se formula contra la entidad MIRACLIA, con sede social y
establecimiento único en España, en relación con la aplicación móvil para Adroid
denominada “***APLICACIÓN.1”, que permite a los usuarios la realización de bromas
telefónicas a terceros. El usuario selecciona una broma y una “víctima”, que es contactada
telefónicamente por MIRACLIA desde su propio sistema a través de un número oculto
(llamada de broma), realizándose una grabación de la conversación que se pone a
disposición del usuario de la aplicación.

En la reclamación se pone de manifiesto una posible vulneración de la normativa de
protección de datos personales, considerando que no se informa al interesado sobre la
grabación de la llamada de broma y no existe posibilidad para que éste pueda ejercitar el
derecho de supresión. Se advierte, asimismo, que la propia aplicación describe los
elementos en conflicto.

Los tratamientos de datos que se llevan a cabo afectan a interesados en varios
Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad
con lo establecido en el artículo 60 del RGPD, se han declarado interesadas en el presente
procedimiento las autoridades de control de Bélgica, Grecia, Chipre, Dinamarca, Sajonia,
Noruega, Suecia, Francia, Hungría, Polonia, Berlín, Baja Sajonia, Eslovaquia, Irlanda y
Mecklemburgo-Pomerania Occidental.

A la vista de los hechos expuestos, la Subdirección General de Inspección de Datos
procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de
investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD:

. Con fecha 02/12/19 se verifica que por medio del enlace ***ENLACE.1, se puede cambiar
el país en el que opera la aplicación. Entre estos países se encuentran tanto pertenecientes
a la Unión Europea (Austria, Bélgica, Alemania, etc.) como fuera de ella (China, Estados
Unidos, Argentina, Brasil, Corea del Sur, etc.). También se comprueba que los términos y
condiciones de uso del servicio están redactados en español, italiano, francés inglés y
alemán.

. Con fecha 03/12/2019 se realiza una nueva instalación de la aplicación, verificándose que
en el proceso no da opción a configurar otro país ni otro idioma, si bien los términos y
condiciones de uso del servicio están redactados en español, italiano, francés inglés y
alemán igual que los que se pueden acceder por Internet.

Por la inspección actuante se incorporan a las actuaciones los documentos
denominados “Términos y condiciones de uso del servicio” y “Política de Privacidad”. En
este último se indica lo siguiente:

“1. INTRODUCCIÓN
Esta política de privacidad se aplica a la información que podemos obtener de o acerca de
usted cuando usa la aplicación móvil ***APLICACIÓN.1 (la “APP Móvil” o el “Servicio”)”.

11/61

la app, elija una broma y la grabe, quedando los datos relativos al destinatario de la llamada
almacenados en el terminal del propio usuario sin que Miraclia conserve información del
número de teléfono del destinatario. Miraclia presta un servicio de almacenamiento en la
nube de los ficheros de audio del cliente y en ningún momento difunde ni comparte con
nadie esa información, dado que es información privada del usuario de la aplicación”.

Asimismo, los citados Servicios de Inspección realizaron una prueba consistente en
descargar la aplicación en un terminal móvil. Se comprueba que durante el proceso de
instalación el usuario recibe el mismo texto reproducido anteriormente sobre la no recogida
de datos de los destinatarios de las bromas y, entre otros, el mensaje siguiente:

“Lee en detalle estos Términos y Condiciones legales y pulsa aceptar si eres mayor de 18
años y aceptas la totalidad de lo estipulado. En caso contrario, abandona la aplicación y
elimínala del terminal. Recuerda, en caso de grabar una broma y difundirla con tus amigos,
es porque has solicitado permiso a la persona que ha recibido la broma u ésta te lo ha dado.
Tu eres el responsable único de esta acción”.

Inmediatamente después de este texto se incluye un botón con la indicación
“Continuar”.

Por otra parte, los Servicios de Inspección hicieron constar en su informe el resultado
de las actuaciones de investigación que dieron lugar al procedimiento de referencia y a las
señaladas con el número E/02003/2018, en las que se realizó una prueba de funcionamiento
del sistema empleado por la reclamada.

OCTAVO: Considerando el carácter transfronterizo de esta reclamación, con fecha
03/03/2020, se dictó proyecto de acuerdo de inicio de procedimiento sancionador, que fue
posteriormente trasmitido (13/03/2020) a través del Sistema IMI a las autoridades de control
interesadas (constan reseñadas en dicho proyecto de acuerdo de inicio, que fue
debidamente notificado a esa entidad con fecha 12/03/2020), sin que ninguna de ellas haya
formulado objeciones a dicho proyecto en el plazo de cuatro semanas desde la consulta,
entendiéndose, por tanto, que existe acuerdo sobre el mismo.

La reclamación trasladada por la autoridad de protección de datos eslovena es
similar en su alcance y objeto a las que dieron lugar al presente procedimiento sancionador,
todas ellas relacionadas con la aplicación móvil para Android denominada
“***APLICACIÓN.1”. Por esta razón, el proyecto de acuerdo de inicio trasmitido a las
autoridades interesadas a través de IMI, formalizado a los solos efectos de cumplir el trámite
previsto en el RGPD y LOPDGDD (artículos 60 y 64, respectivamente), recogía las mismas
presuntas infracciones y el mismo importe de sanción que se fijaron en el acuerdo de
apertura de este procedimiento.

Siendo así, y teniendo en cuenta que el presente procedimiento sancionador tiene
como objeto el análisis del funcionamiento de la aplicación de bromas “***APLICACIÓN.1”,
desde el punto de vista de la protección de datos personales, globalmente considerado, y no
la actuación específica de MIRACLIA en relación con unos reclamantes concretos, se
entiende que no cabe la apertura formal de un nuevo procedimiento sancionador a partir de
la reclamación trasladada por la autoridad de protección de datos de Eslovenia que pudiera
dar lugar a una doble sanción por las mismas infracciones, por lo que se acordó su
incorporación al presente procedimiento sancionador, para resolver en un solo acto según
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/61

proceda en derecho. Asimismo, se dispuso que este procedimiento continúe su tramitación
según el mecanismo de cooperación contemplado en el artículo 60 del RGPD.

NOVENO: Con fecha 14/07/2020, por la Subdirección General de Inspección de Datos se
accede a la información disponible sobre la entidad MIRACLIA en “Axesor”. En dicha web
consta una cifra de negocios en el ejercicio 2018, último ejercicio presentado, de 475.823
euros y un resultado del ejercicio de -7.364 euros. Asimismo, se indica que es una
microempresa, con 2 empleados.

Según la información que consta en el Registro Mercantil Central, el “Capital suscrito”
asciende a 6.000 euros

DÉCIMO: Con fecha 24/07/2020, se emitió propuesta de resolución en el sentido siguiente:

1. Que por la Directora de la AEPD se sancione a la entidad MIRACLIA, por una infracción
de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.b) y calificada como muy
grave a efectos de prescripción en el artículo 72.h) de la LOPDGDD, con una multa por
importe de 20.000 euros (veinte mil euros).

2. Que por la Directora de la AEPD se sancione a la entidad MIRACLIA, por una infracción
del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a
efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, con una multa por importe de
20.000 euros (veinte mil euros).

3. Que por la Directora de la AEPD se requiera a la entidad MIRACLIA para que, en el plazo
que se determine, adecúe a la normativa de protección de datos personales las operaciones
de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento
mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento
de sus datos personales, con el alcance expresado en el Fundamento de Derecho XI de la
propuesta de resolución. Tal adecuación deberá implantarse igualmente en todos los países
del Espacio Económico Europeo en los que MIRACLIA opere a través de la aplicación
“***APLICACIÓN.1”.

Notificada a la entidad MIRACLIA la citada propuesta de resolución, con fecha
03/08/2020, se recibió en esta Agencia escrito de alegaciones en el que solicita el archivo de
las actuaciones en base a las consideraciones siguientes:

A. Lo que MIRACLIA denomina “Hechos técnicos”:

MIRACLIA es una compañía de telecomunicaciones que opera un servicio llamado
“***APLICACIÓN.1”, el cual está sujeto a la regulación de “servicio de comunicaciones
electrónicas interpersonales basado en numeración”.

A este respecto, advierte que el servicio “***APLICACIÓN.1” se encuentra en un escenario
técnico y de tratamiento de datos distinto al que presentaba en anteriores actuaciones de la
Agencia y de la Justicia Ordinaria. De hecho, el escenario del servicio vigente en las fechas
de las denuncias se supedita a la versión del servicio que ha sido auditada por un ingeniero
en telecomunicaciones colegiado (aporta copia del informe correspondiente) de la cual se
extraen las siguientes conclusiones o “Dictamen final”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/61

“1. El servicio de comunicaciones electrónicas interpersonales basado en numeración
“***APLICACIÓN.1” reúne los atributos y características definidos en la Directiva (UE)
2018/1972 por la que se establece el Código Europeo de Comunicaciones Electrónicas
(CECE), que permiten clasificarlo como un servicio de comunicaciones electrónicas
interpersonales basado en numeración, como se define en el artículo 2 (apartados 5 y
6) de la misma.

2. El marco reglamentario aplicable a los servicios de comunicaciones electrónicas hace
una clara distinción entre la producción de contenidos, que implica responsabilidad
editorial, y la transmisión de contenidos, lo que no implica ninguna responsabilidad
editorial (artículo 2 apartado 4 del CECE y sentencias del Tribunal de Justicia (Sala
Cuarta) de 5 de junio de 2019 Y de 13 de junio de 2019) del Tribunal de Justicia de la
UE (TJUE).

3. El usuario del servicio de comunicaciones electrónicas interpersonales basado en
numeración “***APLICACIÓN.1” (persona que inicia la transmisión) determina de forma
unilateral el destinatario de la misma, sobre el que no existe condicionante alguno que
exija que sea un usuario del servicio de “***APLICACIÓN.1” sino que es un destinatario
libremente elegido por el primero en base a los recursos de numeración pública y sobre
cuyos datos, de acceso público y conocidos por el usuario, no realiza tratamiento
alguno “***APLICACIÓN.1”.

4. A partir del momento del inicio del servicio de comunicaciones electrónicas
interpersonales basado en numeración, “***APLICACIÓN.1” se limita a facilitar los
medios físicos, propios o de terceros, para la transmisión de la señal entre quién inicia
la transmisión y el destinatario de la misma elegido por éste, cumpliendo los requisitos
de calidad, privacidad, seguridad y transparencia recogidos en la citada directiva.

5. “***APLICACIÓN.1” no realiza la grabación de la conversación. Las grabaciones son
realizadas por el usuario que ha contratado el servicio de “***APLICACIÓN.1” (persona
que inicia la transmisión) en un dominio privado asignado en exclusividad a dicho
usuario (en la nube mediante la asignación de una URL privada) quién, como parte de
su derecho por su participación en la edición de las mismas y al aceptar las condiciones
de uso de “***APLICACIÓN.1”, decide unilateralmente grabarlas para su uso personal.

6. “***APLICACIÓN.1” tampoco retiene datos del destinatario final excepto aquellos que,
con carácter de mínimos, le permite cumplir con lo dispuesto en la normativa sobre
retención de datos y prestar el servicio al usuario del mismo. Esto es, la Directiva
2006/24/CE sobre la conservación de datos generados o tratados en relación con la
prestación de servicios de comunicaciones electrónicas, traspuesta en España por la
Ley 25/2007.

7. “***APLICACIÓN.1” ofrece la posibilidad de que las personas o entidades, que por
hacer uso de redes acogidas a recursos públicos de numeración puedan ser elegidos
como destinatarios de transmisiones por usuarios de “***APLICACIÓN.1”, puedan
solicitar su inclusión en una “lista negra” para inhibir la recepción de comunicaciones
electrónicas a través del servicio “***APLICACIÓN.1”.

8. De conformidad con lo establecido en el Considerando 173 y el Artículo 95 del
RGPD, que establece que dicho Reglamento no impondrá obligaciones adicionales a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/61

las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación
de servicios públicos de comunicaciones electrónicas en redes públicas de
comunicación en ámbitos en los que estén sujetas a obligaciones específicas con el
mismo objetivo establecidas en la Directiva 2002/58/CE” (Directiva sobre la privacidad y
las comunicaciones electrónicas). En este sentido, conviene tener presente lo
establecido en el Considerando 34 de la Directiva 2002/58/CE: “Es necesario, por lo
que respecta a la identificación de la línea de origen, proteger el derecho del interlocutor
que efectúa la llamada a reservarse la identificación de la línea desde la que realiza
dicha llamada y el derecho del interlocutor llamado a rechazar llamadas procedentes de
líneas no identificadas.” Por lo tanto, se debe respetar el derecho del usuario que inicia
la transmisión (bromista) de no presentar su número telefónico para comunicarlo al
destinatario, ya que, primero, usuario y destinatario hacen uso de recursos públicos de
numeración y la transmisión se realiza mediante redes públicas de comunicaciones
electrónicas y, segundo, es necesario, por lo que respecta a la identificación de la línea
de origen, proteger el derecho del interlocutor que efectúa la llamada a reservarse la
identificación de la línea desde la que realiza dicha llamada y el derecho del interlocutor
llamado a rechazar llamadas procedentes de líneas no identificadas (Considerando 34
de la Directiva 2002/58/CE)”.

B. Lo que MIRALCIA denomina “Marco regulatorio”:

1) Al servicio de comunicaciones interpersonales basadas en numeración
(“***APLICACIÓN.1”), se le deben aplicar las consideraciones descritas en el artículo 95 del
RGPD (“El presente Reglamento no impondrá obligaciones adicionales a las personas
físicas o jurídicas en materia de tratamiento. en el marco de la prestación de servicios
públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en
ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo
establecidas en la Directiva 2002/58/CE”).

2) MIRACLIA no hace en ningún momento tratamiento de los datos por los motivos
siguientes:

a. Estos casos se encuentran fuera del ámbito de regulación del RGPD en base al
Considerando 18 y artículo 2.2.c) del RGPD, por referirse a tratamientos de datos
efectuados por una persona física en el ejercicio de actividades exclusivamente
personales o domésticas.

b. El único responsable del tratamiento es el usuario de “***APLICACIÓN.1” y no
MIRACLIA. El usuario realiza directamente el tratamiento por cuanto es la persona que,
de forma libre, hace la edición necesaria para el acto de la broma (edita la broma a
gastar; introduce el número de teléfono del abromado y presiona el botón de llamar;
decide si generar el fichero con la grabación de la broma y, por tanto, la URL de la
misma, que es personal y sólo conocida por el usuario). Además, siempre es el propio
usuario el que hace difusión de la broma en su entorno particular.
MIRACLIA solo interviene para prestar el servicio de comunicaciones electrónicas
interpersonales basado en numeración, que ha contratado el usuario del servicio.
En base a ello, propone que la Agencia acuda ante los bromistas con la misma acción
sancionadora que contra MIRACLIA.

c. Durante todo el proceso de la broma, el usuario de la aplicación y responsable del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/61

tratamiento no obtiene ningún beneficio económico, por lo que es de aplicación el
Considerando 18 del RGPD y el artículo 2.2.c) citados.

3) Cita “ejemplos” de otras compañías que prestan servicios de comunicaciones electrónicas
interpersonales basados en numeración y sobre los cuales, según indica MIRACLIA, la
Agencia Española de Protección de datos no ha celebrado ningún tipo de investigación o
inspección por motivos similares, en los que el prestador del servicio de comunicaciones
nunca es el responsable (usuario de una operadora de telefonía que llama a un conocido y
en la comunicación se producen insultos; o que llama a un centro público o privado para
avisar sobre la existencia de una bomba; un ataque informático en el que el virus usa las
redes de comunicación y almacenaje de información digital para infectar a otras personas;
utilización de una aplicación para celebrar una reunión por videoconferencia entre abonados
con numeración pública, la cual permite al administrador realizar una grabación de la misma;
el servicio de comunicaciones electrónicas interpersonales de “Burovoz” (***URL.1), que
permite a sus usuarios grabar las conversaciones telefónicas entre un usuario del servicio y
otra persona, la cual no es usuaria del servicio “Burovoz”, pero dispone de un número de
teléfono del sistema de numeración pública. El funcionamiento de este servicio es
exactamente igual a “***APLICACIÓN.1” y no solamente es 100% legal sino que sus
grabaciones han sido y son totalmente válidas a la hora de presentarlas como prueba en un
proceso judicial en España.

4) Sobre el tema de las grabaciones de las llamadas telefónicas realizadas por los usuarios
de “***APLICACIÓN.1”, la Sentencia n.º 114/1984, de 29 de noviembre, dictada por la Sala
Segunda del Tribunal Constitucional establece que «Quien graba una conversación de otros
atenta, independientemente de toda otra consideración, al derecho reconocido en el art.
18.3 CE; por el contrario, quien graba una conversación con otro no incurre, por este solo
hecho, en conducta contraria al precepto constitucional citado.»

5) El artículo 20 de la Constitución Española recoge y protege los derechos a: “A la
producción y creación literaria, artística, científica y técnica.”, enmarcados todos ellos dentro
del derecho a la libertad de expresión que ostentan todos los ciudadanos españoles en
general y el usuario de “***APLICACIÓN.1”.

6) En sus consideraciones finales añade que el cumplimiento de la obligación de retención
de datos que impone la Ley 25/2007 ha permitido a la entidad atender de manera eficaz y
dentro de los tiempos marcados por el RGPD a los derechos de acceso, rectificación y
cancelación que han solicitado múltiples destinatarios de las bromas, así como las Fuerzas y
Cuerpos de Seguridad del Estado para investigaciones de posibles delitos.

C. En relación con las denuncias reseñadas en los Antecedentes de esta resolución, señala
lo siguiente:

1. La denuncia formulada por el reclamante 1 no debió admitirse a trámite por los siguientes
motivos:

a) El reclamante se refiere a una usurpación de identidad por parte de un policía.
b) El reclamante no contactó con MIRACLIA para solicitar el ejercicio de los derechos
ARCOPOL.
c) Es muy probable que el reclamante sufriera una broma de algún otro servicio de la
competencia, por lo que solicita a la Agencia que requiera a los operadores de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/61

telecomunicaciones el extracto de llamadas recibidas en el número del abromado.
d) En fecha 30/10/2018, el reclamante recibió un escrito por parte de MIRACLIA en el que se
le notificaba que “***APLICACIÓN.1” no tenía en su catálogo ninguna broma similar a la
descrita por el mismo y se le solicitaba que facilitara la URL de esa grabación para su
cancelación, si fuera del servicio “***APLICACIÓN.1”. El reclamante no aportó ese dato, por
lo que se entiende que se prestó de manera suficiente el ejercicio de derechos.
e) Observamos en el dossier del expediente que el denunciante aporta una grabación de
Whatsapp. Sin embargo, “***APLICACIÓN.1” nunca envía por Whatsapp el contenido de las
bromas, dado que éstas solamente se pueden escuchar en la propia aplicación del usuario.
Además, los ficheros de las grabaciones de las bromas que los usuarios se pueden
descargar a su dispositivo tienen un nombre de fichero que en nada se parecen el que
aporta como prueba. Con lo que se puede deducir que ha podido haber un acto de
modificación y la prueba debería ser invalidada en ese momento.
f) Es pretensión de esta compañía estudiar la posibilidad de presentar una querella criminal
contra este señor por denuncia falsa y daños al honor de la compañía.
g) Por todo ello, y dado que MIRACLIA siempre ha accedido a solventar los derechos de los
usuarios, solicita a la Agencia que archive este asunto ya que respondió la solicitud de
acceso a sus datos y considerando que, con la información disponible, la broma no partió
desde un usuario de “***APLICACIÓN.1”.

2. Considera, igualmente, MIRACLIA que debió inadmitirse también la reclamación
presentada por la reclamante 2 por las circunstancias siguientes:

a) La persona abromada conoce perfectamente a la persona o personas bromistas, por lo
que debería haber interpuesto la demanda contra ellos y no contra MIRACLIA, que no hace
tratamientos de datos del abromado.
b) Es falso que la persona abromada recibiera una llamada a las 3:30 de la madrugada,
dado que ninguna de las bromas de “***APLICACIÓN.1” se puede celebrar a esas horas
locales. Además, “***APLICACIÓN.1”, como servicio de comunicaciones electrónicas
interpersonales basado en numeración, nunca hace llamadas a ningún destinatario una vez
se ha producido la broma, dado que eso es algo que sólo puede hacer el usuario de la
aplicación.
c) La reclamante no se puso en contacto con MIRACLIA para solicitar el ejercicio de los
derechos ARCOPOL.
d) También es falso que una vez practicado el derecho de acceso “***APLICACIÓN.1”
continúa enviando correos. “***APLICACIÓN.1” nunca ha cometido tales prácticas ni las
comete.

D. En cuanto a los hechos probados, MIRACLIA realiza las siguientes consideraciones:

. Hecho Probado 1: MIRACLIA es propietaria de un servicio de comunicaciones electrónicas
interpersonales basado en numeración al que se accede mediante una aplicación
denominada “***APLICACIÓN.1”. Existe una web con el mismo nombre,
“***APLICACIÓN.1”, como servicio de información comercial y de atención al usuario que no
forma parte del servicio de comunicaciones electrónicas prestado por MIRACLIA ni ha sido
objeto de denuncia.
. Hecho Probado 2: En virtud de lo dispuesto en el artículo 95 del RGPD, no se exige a los
servicios de comunicaciones electrónicas interpersonales basados en recursos públicos de
numeración que identifique al gestor de la llamada ni a la propietaria de la plataforma o que
indique dónde obtener información sobre la llamada o sobre el ejercicio de derechos. Como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/61

se ha dicho “***APLICACIÓN.1” es una aplicación de acceso a un servicio de
comunicaciones electrónicas interpersonales, reservándose el usuario del mismo el derecho
o no a identificarse y a grabar de forma personal dicha llamada.
. Hecho Probado 4: La referencia al alojamiento de las bromas en un sitio público es
errónea. El acceso al audio se realiza a través de una URL basada en un token como se
utiliza en miles de webs de acceso privado (ej., la web de seguimiento de paquetes de un
servicio de mensajería o multitud de servicios públicos para el pago de multas). La URL a la
que hace mención el inspector se genera de manera automática en el servidor, con lo que al
no ser una URL fija o estática sólo puede ser accesible por el usuario del servicio de
comunicaciones electrónicas interpersonales basado en recursos públicos cuyo nombre es
“***APLICACIÓN.1”. Sólo tienen acceso a dicha URL el emisor de la broma y el destinatario
de la misma si el emisor de la broma quiere hacerlo (es su responsabilidad).
. Hecho Probado 5: en este hecho probado se indica que por medio del enlace
***ENLACE.1, se puede cambiar el país en el que opera aplicación. Sin embargo, se
desconoce cómo la Agencia ha accedido a esa plataforma de preproducción que es un
prototipo de pruebas que nunca ha funcionado en producción y, por lo tanto, nunca ha
podido ser utilizado por un usuario final como sistema de comunicaciones electrónicas. El
propósito de dicho prototipo era el de ofrecer el servicio de comunicaciones electrónicas en
modo multiplataforma como hace por ejemplo Skype, el cual puede utilizarse con una app o
en un ordenador con independencia de su Sistema Operativo.
. Hecho Probado 9: En ningún catálogo de bromas de MIRACLIA aparece ninguna broma
suplantando a ningún organismo ni persona y mucho menos a la Policía. Existen multitud de
otros servicios de bromas que además de copiar el catálogo de MIRACLIA, es probable que
hayan introducido alguna que suplante a la Policía, pero MIRACLIA lo desconoce.

E. En respuesta a las consideraciones recogidas en el Fundamento de Derecho IV, referido
a la definición de tratamientos de datos de carácter personal o doméstico, MIRACLIA realiza
las afirmaciones siguientes:

. Es personal o doméstico la conversación que tiene lugar por la prestación de un servicio de
comunicaciones electrónicas interpersonales basado en numeración. Los datos de
numeración son recursos públicos sobre los que un operador no realiza tratamiento. El
usuario de dicho servicio y sobre el que se hace tratamiento es quién se da de alta en el
mismo y elige el destinatario de la llamada en base a dichos recursos públicos. Es dicho
usuario quién graba la llamada haciendo uso de herramientas complementarias al servicio
básico de comunicaciones electrónicas. Las referencias citadas del TJUE no se refieren al
caso de este tipo de servicios.
Además, es el usuario el que decide de forma libre y soberana a quien dirige la broma
dentro de sus contactos conocidos o familiares o amigos.

. No es válida para “***APLICACIÓN.1” la declaración del Tribunal de Justicia sobre el citado
concepto, contenida en la Sentencia de 10/07/2018, según la cual “no procederá considerar
que una actividad es exclusivamente personal o doméstica cuando tenga por objeto permitir
a un número indeterminado de personas el acceso a datos personales o cuando la actividad
se extienda, aunque sea en parte, al espacio público y esté por tanto dirigida hacia el
exterior de la esfera privada de la persona que procede al tratamiento de los datos”. El
objeto del servicio es establecer una comunicación electrónica iniciada por el bromista,
quien decide grabarla y tener acceso a su grabación privada. El compartirlo en su círculo
privado es decisión del bromista, a quién en los TyC se le avisa que puede infringir normas
regulatorias según el tratamiento que haga de esos datos (los suyos privados). El objeto del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/61

servicio no es en ningún caso el compartir indiscriminadamente la grabación.

. En la propuesta se indica que “La actuación de MIRACLIA es esencial dado que, sin su
concurso no sería posible el tratamiento de datos dado que se realiza en el proceso.
MIRACLIA facilita el medio para hacer la llamada, facilitar el medio para elegir una broma, y
facilita el medio para grabar y almacenar una broma”. A este respecto, afirma MIRACLIA que
es lógico que sea de esta manera, por cuanto ha definido ”***APLICACIÓN.1” como un
servicio de comunicaciones electrónicas interpersonales basado en numeración con esa
funcionalidad y ha de regirse en todo lo relativo a él según describen las normas de
regulación vigente (Directiva (UE) 2018 / 1972 por la que se establece el Código Europeo de
Comunicaciones Electrónicas (CECE), como se define en el artículo 2, apartados 5 y 6, de la
misma.

F. El principio constitucional por el propio hecho

“Se ha denominado a este principio de «responsabilidad personal», lo que implica que sólo
se puede Hacer responsable a una persona de sus propios hechos, es decir no a una cosa
ni a un animal.”
***URL.2
Siguiendo este principio y ahondando en lo que nos ocupa nos sirve para demostrar que
***APLICACIÓN.1” como servicio de comunicaciones electrónicas interpersonales basado
en numeración no puede ostentar ninguna responsabilidad sobre el hecho acometido por el
usuario de “***APLICACIÓN.1”, de la misma forma que nunca se podrá pedir
responsabilidades a un fabricante de pistolas por el acto cometido por una persona haciendo
un mal uso de dicha pistola.

G. Otras consideraciones finales

. Que las URL que pueda recibir el abromado por parte de los bromistas, una vez hecha la
grabación de la llamada, NO son URL públicas. Las URL que genera el software del servidor
para el usuario de “***APLICACIÓN.1” son privadas y no pueden ser indexadas por los
Spiders de los buscadores, como Google, Bing o Yahoo.

. Que tenga en cuenta la Agencia el Expediente Nº: TD/00007/2017, en el cual se trata el
caso de una persona abromada por la emisora Radio4G y la difusión en directo y a toda la
audiencia de radio4G y que acaba en el archivo de las actuaciones.

. Todo lo expuesto en este escrito está refrendado tanto en la auditoría técnica que ahora se
encuentra en fase de visado por parte del COIT (Colegio Oficial de Ingenieros de
Telecomunicaciones) como en las condiciones de uso que el usuario acepta antes de poder
usar la plataforma.

Finalmente, solicita un trámite de audiencia presencial para aclarar ante los
instructores/inspectores de la Agencia los puntos expuestos y advierte que, en caso de no
ver atendidos sus intereses, se reserva el derecho de acudir a otras instancias superiores
y/o judiciales en España y en Europa.

Con su escrito de alegaciones aporta copia del informe correspondiente a la auditoría
técnica referida, realizada por un ingeniero en telecomunicaciones en fecha 29/07/2020.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/61

Este informe se estructura en cuatro apartados:

. Objetivos y metodología del trabajo.
. Descripción del servicio “***APLICACIÓN.1”
. Resultados de la auditoría
. Dictamen final.

Según indica, se basa en entrevistas personales, pruebas prácticas de ejecución de
“***APLICACIÓN.1” en dos dispositivos móviles y las pruebas de las herramientas de
edición, grabación y metadatación del contenido de los mensajes, aunque no facilita detalles
sobre el desarrollo de estas pruebas, limitándose a enumerar una serie de constataciones.

En el apartado “Resultado de la Auditoría” se indica lo siguiente:

“En lo que se refiere al análisis concreto del servicio “***APLICACIÓN.1” se han podido
constatar los siguientes hechos:
a) Sólo puede iniciar la conversación un usuario dado de alta en el servicio
“***APLICACIÓN.1”.
b) El usuario del servicio “***APLICACIÓN.1” es el único interviniente en el proceso que
puede determinar libremente al destinatario de la conversación
c) Para determinar el destinatario de la conversación se hace uso de recursos de
numeración pública.
d) No se requiere, ni se verifica o comprueba tal circunstancia por ningún medio, que el
destinatario de la conversación sea un usuario del servicio “***APLICACIÓN.1”.
e) Una vez establecida la conexión entre el usuario de “***APLICACIÓN.1” y el destinatario
de la conversación se permite el intercambio directo de información interpersonal a través
de redes de comunicaciones electrónicas entre ambas personas.
f) “***APLICACIÓN.1” ofrece al usuario que contrata dicho servicio un conjunto de plantillas
preconfiguradas para la edición de un mensaje vocal.
g) El usuario que contrata el servicio “***APLICACIÓN.1” es quién libremente elige entre las
mismas para determinar el contenido del mensaje a transmitir.
h) La grabación se realiza en un dominio personal y privado asignado en exclusividad al
usuario del servicio “***APLICACIÓN.1” (persona que inicia la transmisión), como servicio
que presta “***APLICACIÓN.1” al usuario en la nube en sus propias premisas.
i) El dominio de grabación ofrecido por “***APLICACIÓN.1” al usuario de dicho servicio es
un dominio privado y seguro.
j) La decisión final sobre si decide o no realizar la grabación del mensaje en su dominio
privado recae en exclusividad en el usuario del servicio “***APLICACIÓN.1”.
k) “***APLICACIÓN.1” ofrece al usuario que contrata dicho servicio un conjunto de
herramientas de metadatación interactivas para realizar sobre posibles acciones sobre el
mensaje editado.
l) “***APLICACIÓN.1” ofrece a cualquier persona o entidad que forme parte de un plan de
uso de recursos de numeración pública la posibilidad de integrarse en “listas negras”, para
no recibir más llamadas de usuarios de “***APLICACIÓN.1”.
m) De hecho, determinados números del plan de numeración pública se incluyen por
defecto en dicha “lista negra” (091, 061, 112, 092, etc.).
n) “***APLICACIÓN.1” facilita los medios físicos, propios o de terceros, para la transmisión
de la señal entre quién inicia la transmisión y el destinatario de la misma que ha elegido.
o) “***APLICACIÓN.1” no retiene datos del destinatario final excepto aquellos que, con
carácter de mínimos, le permite cumplir con lo dispuesto en la normativa sobre retención de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/61

datos”.

En el apartado anterior al indicado, el rotulado como “Descripción del servicio
***APLICACIÓN.1”, se reseña la información facilitada por MIRACLIA al ingeniero auditor,
que coincide literalmente con los “hechos” que se detallan como resultado de la auditoría.

El citado informe incluye un Anexo II, relativo a las “Premisas de partida y normativa
de referencia”. En esta Anexo se hace referencia a la definición de servicio de comunicación
electrónica interpersonal introducido por el Código Europeo de Comunicaciones Electrónicas
(CECE), que son aquellos que periten el intercambio de información interpersonal e
interactiva a través de redes de comunicaciones electrónicas entre un número finito de
personas, en el que las personas que inician o participan en la comunicación determinan sus
destinatarios, y añade lo siguiente:

“En las condiciones de uso de la aplicación ***APLICACIÓN.1 en el artículo 6 se indica que
“como con cualquier servicio de telecomunicaciones, es ilegal el uso de los servicios de
***APLICACIÓN.1 con el propósito de acosar o dañar a nadie”. Existe por tanto una
declaración contractual de que ***APLICACIÓN.1 es un servicio sujeto a la regulación de
telecomunicaciones y, por ello, un reconocimiento implícito de que se trata de un servicio de
comunicaciones electrónicas en tal caso”.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de
Datos en el presente procedimiento se consideran los siguientes,

HECHOS PROBADOS

1. La entidad MIRACLIA es propietaria de la aplicación móvil y servicio web denominada
“***APLICACIÓN.1”. Esta aplicación permite a los usuarios la realización de bromas
telefónicas a terceros. El usuario selecciona una broma y una “víctima”, que es contactada
telefónicamente por MIRACLIA desde su propio sistema a través de un número oculto
(llamada de broma), realizándose una grabación de la conversación que se pone a
disposición del usuario de la aplicación.

El uso de la aplicación móvil y servicios web citados se regula en el documento denominado
“Términos y Condiciones de Uso del Servicio”, que se declara reproducido en este acto a
efectos probatorios. Del contenido de este documento cabe destacar lo siguiente:

<<Al utilizar el Servicio, usted quedará vinculado por los Términos de Uso y la Política de
Privacidad, aceptando expresamente su cumplimiento y entrando en vigor un contrato legal
vinculante con nosotros… si usted no está de acuerdo con estos Términos de Uso y/o
Política de Privacidad le recomendamos que desinstale la aplicación de su terminal.

3. Definición del servicio
***APLICACIÓN.1 es una aplicación que permite al usuario enviar bromas consistentes en
un archivo de audio pregrabado vía telefónica al destino seleccionado por el usuario. El
usuario podrá seleccionar entre un listado de bromas e indicar tanto la línea de destino
como el horario en el que desea que el destinatario reciba la broma. Una vez realizada la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/61

broma, la aplicación tiene la funcionalidad de compartir y grabar el archivo de audio (en
adelante la “Grabación”), no obstante lo cual, será requisito indispensable que el usuario
cuente con el consentimiento expreso de la persona que ha recibido la broma para poder
obtenerla y posteriormente hacer uso de la misma.
(…)
NOTA: Dado que los datos personales del destinatario de la llamada quedan almacenados
única y exclusivamente en el terminal del usuario de la aplicación (cliente), en caso de que
éste elimine la aplicación en su terminal o borre los datos asociados a ella en su terminal,
ésta podrá dejar de funcionar en el sentido de que esa información borrada desaparece del
mismo.
(…)
5. Servicios de pago
El uso de la aplicación puede suponer un coste…
Los importes comprados caducarán tras 6 meses sin usar la aplicación. En ese momento,
los contenidos del usuario podrán ser eliminados.
6. Uso de los servicios ofrecidos
A través de los presentes Términos y Condiciones de Uso del Servicio, el Usuario contrata
con MIRACLIA un servicio de ocio y entretenimiento que permite al Usuario enviar bromas
telefónicas a un destinatario y, posteriormente, reproducir, descargar o compartir la broma.
Con la aceptación de los presentes Términos y Condiciones de Uso del Servicio, el Usuario
de ***APLICACIÓN.1 asume las siguientes responsabilidades:
(…)
b) Compartir y grabar bromas
El Usuario, como propietario de la grabación, es plenamente responsable de obtener el
consentimiento expreso e inequívoco de la persona que ha recibido la broma, para la
grabación y difusión de la misma.
Las leyes permiten la grabación de cualquier conversación telefónica siempre que se cuente
con el consentimiento de, al menos, una de las dos las partes intervinientes en la misma. Un
usuario no podrá descargar una Grabación sin obtener el consentimiento previo del
destinatario de la misma. El funcionamiento del Servicio evita que se pueda generar una
Grabación si el usuario de ***APLICACIÓN.1 no acepta expresamente tal condición previa.
Con el fin de compartir bromas públicamente, el Servicio requiere que la persona que
comparte la broma haya obtenido el permiso para ello de todos los participantes en la
llamada. MIRACLIA no se responsabiliza de las consecuencias del incumplimiento de la
obtención de los consentimientos necesarios para compartir la Grabación, recayendo sobre
él la obligación de indemnizar a terceros o a MIRACLIA de cualquier reclamación derivada
de sus acciones.
(…)
8. Limitación de responsabilidades
Responsabilidades de MIRACLIA:
MIRACLIA actúa únicamente como intermediario entre el emisor y el receptor de la broma.
MIRACLIA no decide en ningún momento sobre la finalidad, contenido y uso del tratamiento
de la grabación y, por lo tanto, no puede considerársele responsable del mismo.
(…)
Si el receptor de la broma (como titular del dato y ejerciendo su derecho de oposición o
cancelación) o el emisor de la broma (como propietario de la grabación) solicitan a
MIRACLIA la cancelación de la grabación, automáticamente la grabación se elimina de los
servidores que prestan servicio a MIRACLIA.
No obstante, previamente al ejercicio del derecho de oposición o cancelación por parte del
receptor, la broma ha podido ser descargada en el dispositivo del Usuario, quedando ya
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/61

dicha grabación fuera del alcance del MIRACLIA y, por lo tanto, la entidad no se
responsabiliza del uso, divulgación, modificación que de la misma haga el Usuario.
(…)
9. Protección de datos
Hemos establecido una Política de Privacidad para explicar cómo recopilamos y utilizamos
la información sobre usted (el usuario)…>>.

2. Los Servicios de Inspección de la Agencia, con fechas 6, 9 y 12 de septiembre de 2019,
realizaron unas pruebas consistentes en descargar la aplicación en un terminal móvil y
proceder a su uso disponiendo la realización de llamadas de broma. Como resultado de
estas actuaciones se obtuvieron las constataciones siguientes:

. Durante el proceso de instalación el usuario recibe, entre otros, los mensajes siguientes:

“Lee en detalle estos Términos y Condiciones legales y pulsa aceptar si eres mayor de 18
años y aceptas la totalidad de lo estipulado. En caso contrario, abandona la aplicación y
elimínala del terminal. Recuerda, en caso de grabar una broma y difundirla con tus amigos,
es porque has solicitado permiso a la persona que ha recibido la broma y ésta te lo ha dado.
Tu eres el responsable único de esta acción”.

Inmediatamente después de estos textos se incluye un botón con la indicación “Continuar”.

. La aplicación “***APLICACIÓN.1” consta de 3 pestañas: “Listado” (bromas disponibles),
“Ejemplos” y “Mis bromas”. En esta última pestaña se guardarán las bromas realizadas por
el bromista, si no son eliminadas.

. El número de teléfono de la llamada entrante de broma aparece como “Número privado” en
todos los casos.

. En la versión instalada para las pruebas, la última disponible en la tienda de aplicaciones
para sistemas operativos Android “Play Store”, el bromista, no tiene opción de elegir si la
broma queda grabada o no. La broma queda grabada siempre, a no ser que el receptor
decida borrarla siguiendo alguno de los procedimientos establecidos para ello. Si esto no
ocurre, la grabación permanece en los sistemas de MIRACLIA hasta que el bromista decide
eliminarla o, como norma general, por un periodo de tiempo de 6 meses posterior al uso de
la aplicación, establecido por la propia entidad.

. En ningún momento a lo largo de la conversación telefónica se identifica a la aplicación
***APLICACIÓN.1 como gestor de la llamada ni a la compañía desarrolladora MIRACLIA
como propietaria de la plataforma. Por lo tanto, el receptor de la broma desconoce dónde
debe dirigirse para obtener más información sobre la llamada o ejercitar sus derechos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/61

. En ningún momento se cita a la persona bromista.

. Tampoco se informa en ningún momento, durante el desarrollo de la broma, que la
conversación esté siendo o pueda ser grabada.

. Se comprueba que al final de la broma se escucha la siguiente locución: "Un amigo suyo le
ha gastado una broma. En caso de que no quiera que su amigo pueda escuchar, descargar
o difundir la broma, o en caso de que no quiera recibir más bromas, pulse 5 con su teclado
después de la señal. Beeep”

Desde la finalización de la broma hasta que se produce la locución transcurre un espacio de
tiempo en silencio de 10 segundos.

. El “borrado” de la grabación de la broma y la inhabilitación para seguir recibiendo bromas
pulsando la tecla 5 una vez oída la señal indicada en la locución final, ha resultado inestable
en las pruebas realizadas. En una ocasión en la que se pulso la tecla 5 antes de la señal y
otra después, el mecanismo falló; en otras dos ocasiones en las se pulsó una sola vez
después de la señal, se eliminó satisfactoriamente. Se comprobó que no existe confirmación
de borrado de la broma, simplemente, cuando transcurren 10 segundos aproximadamente
desde la señal indicada para pulsar la tecla 5, se corta la comunicación.

En los casos en que la eliminación funcionó correctamente, la broma desaparece del listado
de bromas realizadas del bromista, no pudiendo por tanto ser compartida, descargada ni
escuchada. También se ha constatado que el número de teléfono quedó bloqueado para la
recepción de más bromas.

. En el listado de bromas realizadas por el bromista, junto a cada una de las bromas no
eliminadas por el receptor de la broma siguiendo el procedimiento indicado, aparecen tres
iconos: uno para descargar el archivo de audio de la grabación de la conversación telefónica
de la broma, otro para escucharla y un tercero para compartirla. En este último caso, se
envía el enlace al archivo de audio de la grabación a través del medio que se haya elegido
para compartirla. Este es el único momento en el que el bromista conoce el enlace al archivo
de audio.

. En el caso de que el bromista deje presionado el dedo en una determinada broma de la
lista de las bromas realizadas, aparece una ventana emergente ofreciendo la posibilidad de
eliminar el archivo de audio de los sistemas de MIRACLIA, pero esta acción no es tan
intuitiva como las tres anteriores al carecer de icono específico.

. En las bromas guardadas, figura el número de teléfono de destino, tipo de broma, fecha y
hora de realización.

. Desinstalada la aplicación y reinstalada de nuevo, se observa que los números de teléfono
de destino de las bromas realizadas aparecen como “?????????”, lo que hace pensar que
este dato está almacenado localmente, y no en los servidores de MIRACLIA.

. Las llamadas de broma pueden ser instantáneas o programadas especificando fecha y
hora de ejecución. En este caso, el teléfono del destinatario se almacena en los sistemas de
la entidad MIRACLIA hasta el momento de realizar la llamada. A este respecto, MIRACLIA
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/61

ha declarado en sus alegaciones que el número de teléfono destinatario de la broma queda
encolado con la llamada a realizar, el cual desaparece de sus sistemas cuando la llamada
se realiza.

El inspector actuante programó una broma en su terminal para su ejecución diferida y a
continuación se apagó dicho terminal. La llamada se realizó en el momento programado, de
lo que resulta que el teléfono quedó almacenado en los sistemas de MIRACLIA hasta el
momento de ejecutar la broma (minutos, horas, días o meses)

. Para la supresión de la grabación sólo existen dos opciones: que el bromista siga el
procedimiento de borrado descrito desde la aplicación; o bien solicitarlo a MIRACLIA,
cuestión difícil para el afectado considerando que no se pone de manifiesto en ningún
momento quién gestiona la llamada, ni la empresa responsable de la misma. Además, para
ello el afectado necesitará conocer el enlace al archivo de audio y tampoco dispone de esta
información, a no ser que se la facilite el usuario (se puede eliminar la broma conociendo la
url de la grabación y utilizando el mecanismo habilitado en la web junto a la solicitud de
bloqueo del número de línea de telefonía).

3. MIRACLIA ofrece en su web “***APLICACIÓN.1.es” un sistema gratuito e inmediato para
incluir un número de teléfono en la lista de teléfonos bloqueados.

Por la inspección actuante se realizó una prueba dando de alta en dicho sistema el número
de teléfono correspondiente a la segunda SIM del terminal del inspector actuante.
Posteriormente, se intentó realizar una broma a ese número de teléfono y la aplicación no
permitió su ejecución.

4. MIRACLIA no dispone de una plataforma en la que se publiquen las bromas realizadas
para que pueda acceder cualquier tercero, pero las grabaciones de las bromas se
encuentran alojadas en un sitio público, lo que posibilita el acceso a las mismas mediante el
enlace al archivo de audio, que puede ser difundido indiscriminadamente por el usuario
bromista.

5. Con fecha 02/12/19 se verifica que por medio del enlace ***ENLACE.1, se puede cambiar
el país en el que opera la aplicación. Entre estos países se encuentran tanto pertenecientes
a la Unión Europea (Austria, Bélgica, Alemania, etc.) como fuera de ella (China, Estados
Unidos, Argentina, Brasil, Corea del Sur, etc.). También se comprueba que los términos y
condiciones de uso del servicio están redactados en español, italiano, francés inglés y
alemán.

6. Con fecha 03/12/2019 se realiza una instalación de la aplicación, verificándose que el
proceso no da opción a configurar otro país ni otro idioma, si bien los términos y condiciones
de uso del servicio están redactados en español, italiano, francés inglés y alemán, los
mismos idiomas que están disponibles al acceder por Internet a la web.

7. El reclamante 1 ha manifestado que, con fecha ***FECHA.1, recibió en su línea de
telefonía móvil ***TELÉFONO.1 una llamada de broma a través de la aplicación
“***APLICACIÓN.1”, en la que una persona fingía ser un agente de policía. Denuncia que la
llamada fue grabada y difundida a terceros sin su conocimiento ni consentimiento; y que la
llamada se produce desde un número oculto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/61

8. La reclamante 2 ha manifestado que, con fecha ***FECHA.2 fue objeto de una llamada
telefónica de broma llevada a cabo utilizando la aplicación “***APLICACIÓN.1”, la cual fue
grabada y difundida por redes sociales con la mención de su nombre sin su permiso (aporta
el enlace al audio objeto de la denuncia “***ENLACE.1”)

Con fecha 26/08/2019, por los Servicios de Inspección se accede a la web
“***APLICACIÓN.1.es”, a la URL correspondiente a la grabación de la broma realizada a la
reclamante 2. Se comprueba que utilizando el botón derecho se muestran distintas
opciones, entre ellas la de reproducir y descargar la grabación.

9. Los Servicios de Inspección de la Agencia han comprobado que las bromas denunciadas
por los reclamantes 1 y 2 figuran en el catálogo de bromas de disponible en
“***APLICACIÓN.1”.

FUNDAMENTOS DE DERECHO

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de
Control, y según lo establecido en los artículos 47, 48, 64.2 y 68.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver este
procedimiento.

El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por
la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento
(UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas
en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas
generales sobre los procedimientos administrativos.”

El artículo 56.1 del RGPD, relativo a la “Competencia de la autoridad de control
principal”, establece lo siguiente:

“1. Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal
o del único establecimiento del responsable o del encargado del tratamiento será competente para
actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de
dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60”.

Dicho artículo 60 regula la “Cooperación entre la autoridad de control principal y las
demás autoridades de control interesadas”:

“1. La autoridad de control principal cooperará con las demás autoridades de control interesadas de
acuerdo con el presente artículo, esforzándose por llegar a un consenso. La autoridad de control
principal y las autoridades de control interesadas se intercambiarán toda información pertinente.
2. La autoridad de control principal podrá solicitar en cualquier momento a otras autoridades de
control interesadas que presten asistencia mutua con arreglo al artículo 61, y podrá llevar a cabo
operaciones conjuntas con arreglo al artículo 62, en particular para realizar investigaciones o
supervisar la aplicación de una medida relativa a un responsable o un encargado del tratamiento
establecido en otro Estado miembro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/61

3. La autoridad de control principal comunicará sin dilación a las demás autoridades de control
interesadas la información pertinente a este respecto. Transmitirá sin dilación un proyecto de decisión
a las demás autoridades de control interesadas para obtener su dictamen al respecto y tendrá
debidamente en cuenta sus puntos de vista.
4. En caso de que cualquiera de las autoridades de control interesadas formule una objeción
pertinente y motivada acerca del proyecto de decisión en un plazo de cuatro semanas a partir de la
consulta con arreglo al apartado 3 del presente artículo, la autoridad de control principal someterá el
asunto, en caso de que no siga lo indicado en la objeción pertinente y motivada o estime que dicha
objeción no es pertinente o no está motivada, al mecanismo de coherencia contemplado en el artículo
63.
5. En caso de que la autoridad de control principal prevea seguir lo indicado en la objeción pertinente
y motivada recibida, presentará a dictamen de las demás autoridades de control interesadas un
proyecto de decisión revisado. Dicho proyecto de decisión revisado se someterá al procedimiento
indicado en el apartado 4 en un plazo de dos semanas.
6. En caso de que ninguna otra autoridad de control interesada haya presentado objeciones al
proyecto de decisión transmitido por la autoridad de control principal en el plazo indicado en los
apartados 4 y 5, se considerará que la autoridad de control principal y las autoridades de control
interesadas están de acuerdo con dicho proyecto de decisión y estarán vinculadas por este.
7. La autoridad de control principal adoptará y notificará la decisión al establecimiento principal o al
establecimiento único del responsable o el encargado del tratamiento, según proceda, e informará de
la decisión a las autoridades de control interesadas y al Comité, incluyendo un resumen de los
hechos pertinentes y la motivación. La autoridad de control ante la que se haya presentado una
reclamación informará de la decisión al reclamante.
(…)
12. La autoridad de control principal y las demás autoridades de control interesadas se facilitarán
recíprocamente la información requerida en el marco del presente artículo por medios electrónicos,
utilizando un formulario normalizado”.

Sobre las cuestiones reguladas en estos preceptos, se tiene en cuenta lo señalado
en los Considerandos 124, 125, 126 y 130 del RGPD.

De conformidad con lo establecido en las normas anteriores, en el presente
supuesto, referido, entre otras, a una reclamación presentada ante la autoridad de control de
un Estado miembro (Eslovenia), en relación con tratamientos en el contexto de las
actividades de un único establecimiento de un responsable que afectan o es probable que
afecten sustancialmente a interesados en más de un Estado miembro (tratamientos de datos
transfronterizos), la autoridad de control principal, en este caso la Agencia Española de
Protección de Datos, está obligada a cooperar con las demás autoridades interesadas.

La Agencia Española de Protección de Datos, en aplicación de los poderes que le
confiere el RGPD, es la competente para adoptar las decisiones concebidas para producir
efectos jurídicos, ya sea la imposición de medidas que garanticen el cumplimiento de las
normas o la imposición de multas administrativas. No obstante, viene obligada a implicar
estrechamente y coordinar a las autoridades de control interesadas en el proceso de toma
de decisiones y tener en cuenta su opinión en la mayor medida. Se establece, asimismo,
que la decisión vinculante que deba adoptarse se acuerde conjuntamente.

El artículo 60 del RGPD regula esta cooperación entre la autoridad de control
principal y las demás autoridades de control interesadas. El apartado 3 de este artículo
establece expresamente que la autoridad de control principal transmitirá a las demás
autoridades de control interesadas, sin dilación, un proyecto de decisión para obtener su
dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista, siguiendo para
ello el procedimiento previsto en los apartados 4 y siguientes. Las autoridades de control
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/61

interesadas disponen de un plazo de cuatro semanas para formular objeciones motivadas
acerca del proyecto de decisión, entendiéndose que existe acuerdo sobre dicho proyecto si
ninguna autoridad presenta objeciones en el plazo indicado, en cuyo caso todas ellas
quedan vinculadas por el repetido proyecto.

El citado artículo 60, apartado 12, dispone que la autoridad de control principal y las
demás autoridades de control interesadas se facilitarán recíprocamente la información
requerida en el marco del este artículo por medios electrónicos. Corresponde hacerlo a
través del “Sistema de Información del Mercado Interior” (Sistema IMI).

Por otra parte, el artículo 58.4 del RGPD establece que el ejercicio de los poderes
conferidos a la autoridad de control debe respetar las garantías procesales establecidas en
el Derecho de la Unión y de los Estados miembros.

Las normas procesales españolas, en concreto, la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), establece
que los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por
acuerdo del órgano competente, el cual debe contener, entre otras indicaciones, la
identificación de la persona o personas presuntamente responsables, los hechos que
motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran
corresponder

De conformidad con las normas expresadas anteriormente, considerando el carácter
transfronterizo de esta reclamación, con fecha 03/03/2020, se dictó proyecto de acuerdo de
inicio de procedimiento sancionador, que fue posteriormente trasmitido a través del Sistema
IMI a las autoridades de control interesadas, que constan reseñadas en los antecedentes,
sin que ninguna de ellas formulase objeciones a dicho proyecto en el plazo de cuatro
semanas desde la consulta, entendiéndose, por tanto, que existió acuerdo sobre el mismo.

Por otra parte, en el apartado 4 del citado artículo 64 de la LOPDGDD establece que
los plazos de tramitación establecidos en este artículo quedarán automáticamente
suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o
pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o
varias autoridades de control de los Estados miembros conforme con lo establecido en el
RGPD, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la
Agencia Española de Protección de Datos.

III

El presente procedimiento se inicia por virtud de las reclamaciones recibidas en esta
Agencia contra la entidad MIRACLIA, en la que los afectados (abromados) denuncian la
utilización de sus datos personales para hacerle una broma sirviéndose para ello de la
aplicación “***APLICACIÓN.1”, mediante llamada telefónica a sus líneas de telefonía móvil.
Se denuncia la grabación realizada de la llamada sin el conocimiento de los afectados y la
difusión de dicha grabación a terceros, también sin su consentimiento.

El procedimiento, por tanto, tiene por objeto el análisis global de la aplicación
“***APLICACIÓN.1” desde el punto de vista de la normativa de protección de datos
personales y en relación con las personas que reciben las llamadas de broma.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/61

Se omite cualquier análisis de la posición de los usuarios de la aplicación
(bromistas), así como de la información que MIRACLIA ofrece a los mismos y del
tratamiento de sus datos personales.

De acuerdo con lo expuesto, las conclusiones que pudieran derivarse del presente
procedimiento no supondrán ningún pronunciamiento respecto de los aspectos anteriores
descartados.

Con carácter previo, procede considerar la alegación formulada por MIRACLIA en
relación con la posición que ocupa, a su juicio, en la relación personal entre bromista y
abromado. Considera la citada entidad que su intervención se limita a facilitar un medio de
ocio entre particulares, que actúa como un intermediario en una relación entre particulares.

De acuerdo con este planteamiento, MIRACLIA entiende que la normativa de
protección de datos personales no es aplicable al presente supuesto, por cuanto gastar una
broma a través de una aplicación o de un medio en el que el usuario es soberano de la
información que se facilita es un acto desarrollado en el ámbito doméstico o personal y, por
tanto, excluido del ámbito de protección de dicha normativa según lo establecido en el
artículo 2.2 del RGPD y artículo 2.2.a) de la LOPDGDD. Dice al artículo 2.2 del RGPD:

“2. El presente Reglamento no se aplica al tratamiento de datos personales:
c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o
domésticas”.

Esta Agencia, en cambio, considera que la actuación de la entidad reclamada no
puede incluirse en esta excepción por tres razones:

. MIRACLIA no es una persona física: el artículo 2.2.c) del RGPD, al establecer la excepción
indicada, se refiere expresamente al tratamiento de los datos personales efectuado por una
persona física.
. Su actividad se lleva a cabo en conexión con una actividad profesional o comercial. Se
constituye como sociedad limitada, con ánimo de lucro y carácter mercantil.
. El RGPD se aplica íntegramente a los responsables o encargados del tratamiento que
proporcionen los medios para tratar datos personales relacionados con actividades
personales o domésticas (en el caso de que efectivamente lo fuese).

Sobre estas cuestiones, el considerando (18) del RGPD declara lo siguiente:

“El presente Reglamento no se aplica al tratamiento de datos de carácter personal por una persona
física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión
alguna con una actividad profesional o comercial. Entre las actividades personales o domésticas cabe
incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes
sociales y la actividad en línea realizada en el contexto de las citadas actividades. No obstante, el
presente Reglamento se aplica a los responsables o encargados del tratamiento que proporcionen los
medios para tratar datos personales relacionados con tales actividades personales o domésticas”.

Nos encontramos ante actividades empresariales, con un modelo de negocio basado
en la realización de bromas a través de una aplicación a cambio de un precio.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/61

Para definir qué ha de considerarse como tratamiento de carácter exclusivamente
personal o doméstico, aunque puede descartarse en este caso la aplicación de aquellos
preceptos sin necesidad de entrar en ese análisis, es conveniente tener en cuenta la
doctrina del TJUE declarada en las sentencias Lindqvist, Rynes y Testigos de Jehová
(STJUE de 10 de julio de 2018, C-25/17).

De acuerdo con estas sentencias, cabe considerar que el TJUE entiende, con
carácter general, que la excepción de actividades de carácter exclusivamente personal o
doméstico ha de ser interpretada en sentido estricto, tan solo cuando el tratamiento de datos
afecte “incidentalmente” a la vida privada o intimidad de “otras personas”, distintas del
responsable que trata los datos personales. También se dice por parte del Tribunal que el
carácter de actividades personales o domésticas no se define exclusivamente por oposición
a la difusión de los datos, como parece indicar MIRACLIA, sino que esa difusión implica que
un tratamiento de datos personales relativo a la vida privada o familiar de los particulares no
pueda ser considerado excluido de la normativa protectora, de modo que puede haber otros
casos en que aun tratándose datos personales de carácter personal o doméstico, este no
pudiera entenderse incluido dentro de la excepción prevista en el artículo 2.2 c) del RGPD.

No cabe perder de vista cuál es el tratamiento de datos personales que se realiza en
el presente caso: consiste en una llamada de teléfono, a un teléfono de una tercera persona,
cuya voz, cuando contesta a la llamada, queda grabada en el sistema técnico de MIRACLIA.
Como puede verse, en este caso no es que la vida privada o la intimidad de otras personas
quede “incidentalmente” afectada, sino que el objeto mismo de este tratamiento de datos es,
precisamente, la voz de la tercera persona a quien se llama. Es decir, el tratamiento de los
datos personales del tercero a quien se llama no es una mera molestia “incidental” dentro de
un tratamiento de datos más general, sino que el uso de sus datos personales es
precisamente el objetivo del tratamiento. Luego no cabe considerar en ningún caso que
dicho tratamiento de datos de la voz del abromado es meramente incidental, sino que se
trata de un tratamiento “principal”.

La STJUE de 10 de julio de 2018, C-25/17, Testigos de Jehová, establece una
interpretación acerca del concepto de actividades exclusivamente personales o domésticas
y dice así:

42 Como ha declarado el Tribunal de Justicia, el artículo 3, apartado 2, segundo guion, de la Directiva
95/46 debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben
en el marco de la vida privada o familiar de los particulares. A este respecto, no procederá considerar
que una actividad es exclusivamente personal o doméstica, a efectos de dicho precepto, cuando
tenga por objeto permitir a un número indeterminado de personas el acceso a datos personales o
cuando la actividad se extienda, aunque sea en parte, al espacio público y esté por tanto dirigida
hacia el exterior de la esfera privada de la persona que procede al tratamiento de los datos (véanse,
en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist, C-101/01, EU:C:2003:596,
apartado 47; de 16 de diciembre de 2008, Satakunnan Markkinapörssi y Satamedia, C -73/07,
EU:C:2008:727, apartado 44, y de 11 de diciembre de 2014, Ryneš, C-212/13, EU:C:2014:2428,
apartados 31 y 33).

En el caso de MIRACLIA, resulta que las personas físicas “abromadas” transfieren
información a dicha entidad, puesto que la voz del abromado se graba en la aplicación
proporcionada, e igualmente los que van a ser bromistas también la transmiten a MIRACLIA,
porque le proporcionan los números de teléfonos destinatarios de las llamadas que realizará
dicha entidad. Este Teléfono se registra en los sistemas de la entidad hasta la realización de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/61

la llamada, se graba la conversación con el propósito de prestar un servicio de contenidos
multimedia a los que se accede a través de dispositivos móviles, ofreciéndose la posibilidad
de reproducir, descargar y compartir el fichero de audio. Ello supone en primer lugar que
dicha actividad se dirige hacia el exterior de la esfera personal y privada del bromista, en la
interpretación del TJUE, lo que la excluye en todo caso la excepción “exclusivamente
personal y privada”.

De ello resulta que las personas físicas “bromistas” transmitirían datos personales a
MIRACLIA, la cual registra (esto es, “trata” dichos datos) grabándolos. Pero MIRACLIA
también “trata” en sus sistemas el número de teléfono de dichas terceras personas,
pudiendo potencialmente (cuando no materialmente) establecer un vínculo entre un
determinado número de teléfono y una determinada voz grabada en sus sistemas. Es decir,
MIRACLIA realiza tratamientos de datos personales a los que no puede aplicarse en ningún
caso la excepción a la que nos referimos.

Pero, además, aunque inicialmente no existe ninguna vinculación entre MIRACLIA y
la “víctima”, también se realiza un tratamiento de datos consistente en un registro de las
personas que no desean recibir más bromas.

La actuación de MIRACLIA es esencial dado que, sin su concurso no sería posible el
tratamiento de datos que se realiza en el proceso. MIRACLIA facilita el medio para hacer la
llamada, facilitar el medio para elegir una broma, y facilita el medio para grabar y almacenar
una broma, lo que significa que determina los medios del tratamiento y los fines, organiza,
fomenta y coordina las actividades de los bromistas a través de su aplicación
***APLICACIÓN.1, y por lo tanto participa, junto con los bromistas, en la determinación de la
finalidad y de los medios de los tratamientos de datos personales de los abromados.
Además, MIRACLIA, “atendiendo a sus propios objetivos” (mercantiles) influye en la
actuación de los bromistas y la fomenta, por lo que habrá de ser considerada responsable,
conjuntamente con los bromistas, de los tratamientos de datos que se realizan de las
personas abromadas.

Otra de las cuestiones preliminares plateada por MIRACLIA tiene que ver con la
existencia o no de datos personales. Cuestiona que la información pueda considerarse dato
personal, por cuanto MIRACLIA es incapaz de identificar a los abromados de manera
sencilla y sin medios desproporcionados, y señala que el único que puede identificar al
abromado es el usuario, que es anónimo para la entidad.

Añade que no es capaz de identificar al abromado ni de vincularle con ningún otro
dato y que la voz no es un dato personal si no permite identificar a su titular o si es
necesario realizar esfuerzos desproporcionados para identificarlo.

El RGPD define el concepto de “datos personales” en su art. 4.1) como: “toda
información sobre una persona física identificada o identificable («el interesado»); se
considerará persona física identificable toda persona cuya identidad pueda determinarse,
directa o indirectamente, en particular mediante un identificador, como por ejemplo un
nombre, un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/61

cultural o social de dicha persona”.

De acuerdo con dichas definiciones, la información relativa a las personas
destinatarias de las bromas que se llevan a cabo empleando la aplicación
“***APLICACIÓN.1” que recoge la entidad MIRACLIA se ajusta a la definición de datos
personales. Además del número de teléfono, MIRACLIA procede a registrar también la voz
de las personas abromadas a través de la oportuna grabación de la broma, susceptible de
ser difundida, amén de otros datos del usuario.

En relación con la grabación de voz, el Informe 497/2007 del Gabinete Jurídico de
esta Agencia afirma que “las grabaciones de sonido permitirán identificar a una persona,
más aún sí esa grabación se adjunta a un expediente y por ello quedarán incluidas en el
ámbito de aplicación de la LOPD”. En el mismo sentido se ha manifestado la Audiencia
Nacional.

A esto último, añadir que la sentencia de la Audiencia Nacional de fecha 19/03/2014
(rec.176/2012) dice que “la voz de una persona constituye dato de carácter personal, tal y
como se deduce de la definición que del mismo ofrece el artículo 3.a) de la LOPD, como
<<cualquier información concerniente a personas físicas identificadas o identificables>>,
cuestión esta que no resulta controvertida”.

Estamos ante un concepto amplio que puede comprender información objetiva, como
puede ser por ejemplo el nombre y los apellidos, o bien información subjetiva, como pueda
ser la valoración de un examinador en un examen profesional. El TJUE así lo ha entendido,
por ejemplo, en la STJUE de 20 de diciembre de 2017, C-434/16, Peter Nowak.

Que el RGPD considera a la voz como un dato personal es innegable. El Dictamen
4/2007, de 20 junio de 2007, sobre el concepto de datos personales (WP136), del Grupo de
Trabajo del art. 29, así lo recoge igualmente, con ejemplos. En el ejemplo 2º, sobre Banca
telefónica, dice: “En las operaciones de banca telefónica, en las que la voz del cliente que
da instrucciones al banco se graba en una cinta, las instrucciones grabadas deben ser
consideradas como datos personales”. Del mismo modo, tanto este Dictamen 4/2007, como
el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas (WP193) establecen
que la voz puede ser tanto un dato personal, en bruto, como además, utilizado con técnicas
biométricas.

Para que esa característica acústica de la persona humana pueda ser considerada
dato personal, el RGPD determina que dicha información ha de referirse a una persona
física identificada o identificable, y considera persona identificable a aquélla cuya identidad
pueda determinarse, directa o indirectamente a través de dicho dato personal.

MIRACLIA parte de una premisa errónea, que consiste en considerar que no
estamos ante un dato personal porque la propia entidad MIRACLIA no podría identificar a la
persona cuya voz es grabada (es decir, el “interesado”, el abromado) dado que no almacena
el número del destinatario.

Este argumento es erróneo. La normativa de protección de datos (Considerando 26
del RGPD) parte de la base de una protección integral del derecho fundamental de la
protección de datos de la persona física, por eso, como ya hemos razonado anteriormente,
las excepciones han de ser interpretadas con carácter estricto y el concepto de dato
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/61

personal con un criterio amplio.

El Considerando 26 del RGPD, en la parte que ahora interesa dice así:

“Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona
física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una
persona física mediante la utilización de información adicional, deben considerarse información sobre
una persona física identificable. Para determinar si una persona física es identificable, deben tenerse
en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el
responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la
persona física”.

Como puede observarse, el RGPD considera que una persona es identificable
cuando dicha persona pueda ser identificada bien por (i) el responsable del tratamiento, o
bien por (ii) cualquier otra persona.

Como hemos visto anteriormente, cabría considerar al “bromista” como responsable
del tratamiento conjuntamente con MIRACLIA, por lo que siendo así, no cabe duda de que el
bromista puede identificar la voz de la persona destinataria de la llamada de broma. Pero,
aun cuando se considerase que el bromista no es responsable del tratamiento, sí que sería
considerado como una “tercera persona distinta del responsable”, y el RGPD considera, aun
en ese caso, que el “abromado” es una persona identificable por el “bromista”, lo que
determina que el dato de la voz de dicha persona identificable haya de ser considerado dato
personal.

La normativa de protección de datos, por lo tanto, no restringe el concepto de “dato
personal” o de “persona identificable” exclusivamente al supuesto en que el responsable del
tratamiento sea quien pueda identificar, directa o indirectamente, al interesado cuyos datos
se tratan (el abromado), sino que extiende su perímetro de protección más allá de dicha
circunstancia y considera que si dicha persona (el abromado), como consecuencia de los
medios puestos a disposición del bromista por el responsable (MIRACLIA), -como la
singularización (por la voz, por ejemplo)-, puede ser identificada, directa o indirectamente,
por “cualquier otra persona” distinta del responsable, (y ello aunque dicho abromado no sea
identificable para el responsable, puesto que no se exige que así sea) considera dicha
información como un dato personal referido a una persona física, y por tanto le es aplicable
la normativa de protección de datos.

Para el caso de que se considere que existen dos responsables conjuntos respecto
de un mismo tratamiento, el TJUE se ha ocupado de recalcar que la normativa de protección
de datos no exige ni supone que cada uno de ellos tenga acceso a los datos personales en
cuestión, por lo que puede haber alguno de dichos responsables que sin tener acceso a los
datos personales seguirán siendo responsables (véase apartado 69 de la sentencia de 29
de julio de 2019, C-40/17, Fashion ID, que a su vez cita el apartado 29 de la sentencia de 5
de junio de 2018, C-210/16, Wirtschaftakademie Schleswig-Holstein, y el apartado 65 de la
sentencia de 10 de julio de 2018, C-25/17, Testigos de Jehová).

El artículo 5 “Principios relativos al tratamiento” del RGPD establece:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/61

“1.Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y
transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de
manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento
ulterior de los datos personales con fines de archivo en interés público, fines de investigación
científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales
(«limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que
se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los
fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del
necesario para los fines del tratamiento de los datos personales; los datos personales podrán
conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo
en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con
el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas
apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del
interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida
la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño
accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).

2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1
y capaz de demostrarlo («responsabilidad proactiva»)”.

En relación con los citados principios, se tiene en cuenta lo señalado en el
Considerando 39 del citado RGPD:

“39. Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe
quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera
datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados.
El principio de transparencia exige que toda información y comunicación relativa al tratamiento de
dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro.
Dicho principio se refiere en particular a la información de los interesados sobre la identidad del
responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un
tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a
obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de
tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las
salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de
hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el
momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo
necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se
limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la
finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que
los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de
establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas
razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos.
Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad
adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos
datos y del equipo utilizado en el tratamiento”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/61

VII

El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente:

“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida,
registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso,
cotejo o interconexión, limitación, supresión o destrucción”.

De acuerdo con dichas definiciones, la utilización que dicha entidad realiza de la
información (datos personales) que recaba de la persona abromada constituye un
tratamiento de datos personales, respecto del cual el responsable ha de dar cumplimiento a
los principios establecido en el artículo 5.1 del RGPD, según el cual los datos personales
serán “tratados de manera lícita, leal y transparente en relación con el interesado (licitud,
lealtad y transparencia)”; y desarrollado en el Capítulo III, Sección 1ª, del mismo Reglamento
(artículos 12 y siguientes).

El artículo 12.1 del citado Reglamento establece la obligación del responsable del
tratamiento de tomar las medidas oportunas para “facilitar al interesado toda información
indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los
artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de
fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida a
un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede,
por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse
verbalmente siempre que se demuestre la identidad del interesado por otros medios”.

El artículo 13 del citado texto legal detalla la “información que deberá facilitarse
cuando los datos personales se obtengan del interesado” y el artículo 14 del mismo
Reglamento se refiere a la “información que deberá facilitarse cuando los datos personales
no se hayan obtenido del interesado”.

En el primer caso, cuando los datos personales se recaben directamente del
interesado, la información deberá facilitarse en el momento mismo en que tiene lugar esa
recogida de datos. El artículo 13 del RGPD detalla esa información en los términos
siguientes:

“1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del
tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a
continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del
responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer país u
organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión,
o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1,
párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/61

copia de estas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al
interesado, en el momento en que se obtengan los datos personales, la siguiente información
necesaria para garantizar un tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios
utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales
relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al
tratamiento, así como el derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2,
letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte
a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario
para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está
informado de las posibles consecuencias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el
artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica
aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el
interesado.

3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un
fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho
tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor
del apartado 2.

4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el
interesado ya disponga de la información”.

En el segundo caso, cuando los datos personales no se obtengan del interesado, la
información que deberá facilitarse al mismo se establece en el artículo 14 del RGPD:

“1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento
le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del
tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) En su caso, la intención del responsable de transferir datos personales a un destinatario en un
tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de
la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49,
apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para
obtener una copia de ellas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al
interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y
transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los
criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del
responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/61

relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al
tratamiento, así como el derecho a la portabilidad de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2,
letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte
a la licitud del tratamiento basada en el consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso
público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el
artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica
aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el
interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un
mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el
momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos
personales sean comunicados por primera vez.

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para
un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho
tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en
el apartado 2.

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado,
en particular para el tratamiento con fines de archivo en interés público, fines de investigación
científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el
artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del
presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal
tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los
Estados miembros que se aplique al responsable del tratamiento y que establezca medidas
adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una
obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros,
incluida una obligación de secreto de naturaleza estatutaria”.

Por su parte, el artículo 11.1 y 2 de la LOPDGDD dispone lo siguiente:

“Artículo 11. Transparencia e información al afectado
1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar
cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679
facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole
una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la
restante información.

2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
a) La identidad del responsable del tratamiento y de su representante, en su caso.
b) La finalidad del tratamiento.
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/61

2016/679.
Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la
información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser
informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que
produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra
este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679”.

En relación con este principio de transparencia, se tiene en cuenta, además, lo
expresado en los Considerandos 32, 39 (ya reseñado), 42, 47, 58, 60 y 61 del RGPD. Se
reproduce a continuación parte del contenido de estos Considerandos:

(32) El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de
voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos
de carácter personal que le conciernen…

(42) …Para que el consentimiento sea informado, el interesado debe conocer como mínimo la
identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los
datos personales…

(47) El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se
puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el
tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado,
teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el
responsable… En cualquier caso, la existencia de un interés legítimo requeriría una evaluación
meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el
contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En
particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los
intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales
en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento
ulterior…

(58) El principio de transparencia exige que toda información dirigida al público o al interesado sea
concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y,
además, en su caso, se visualice…

(60) Los principios de tratamiento leal y transparente exigen que se informe al interesado de la
existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al
interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y
transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los
datos personales. Se debe además informar al interesado de la existencia de la elaboración de
perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los
interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias
en caso de que no lo hicieran…

(61) Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en
el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable,
dependiendo de las circunstancias del caso…

El Tribunal Constitucional, entre otras, en sus STC 39/2016, de 3 de marzo, con cita
a su vez de la STC 292/2000, de 30 de noviembre, ha establecido que el derecho de
información forma parte del contenido esencial del derecho a la protección de datos. Así, en
su FJ2, de la STC 39/2016, expone:

“El deber de información previa forma parte del contenido esencial del derecho a la protección de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/61

datos, pues resulta un complemento indispensable de la necesidad de consentimiento del afectado.
El deber de información sobre el uso y destino de los datos personales que exige la Ley Orgánica de
protección de datos de carácter personal está íntimamente vinculado con el principio general de
consentimiento para el tratamiento de los datos, pues si no se conoce su finalidad y destinatarios,
difícilmente puede prestarse el consentimiento. Por ello, a la hora de valorar si se ha vulnerado el
derecho a la protección de datos por incumplimiento del deber de información, la dispensa del
consentimiento al tratamiento de datos en determinados supuestos debe ser un elemento a tener en
cuenta dada la estrecha vinculación entre el deber de información y el principio general de
consentimiento.
(…)
Son así elementos característicos de la definición constitucional del derecho fundamental a la
protección de datos personales «los derechos del afectado a consentir sobre la recogida y uso de sus
datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese
contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con
qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que
ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe
de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino
han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que los
rectifique o los cancele» (STC 292/2000, de 30 de noviembre, FJ 7)”.

MIRACLIA no informa en ningún momento al interesado, es decir, al abromado, del
contenido de sus derechos conforme a lo establecido en el RGPD. Ello determina que el
tratamiento de datos que realiza en ningún caso puede reputarse como lícito.

El artículo 12.1 del RGPD establece que dicha información deberá ser facilitada “por
escrito”; sólo si lo solicita el interesado, la información podrá facilitarse verbalmente siempre
que se demuestre la identidad del interesado por otros medios. En el presente caso, no ha
existido ninguna información por escrito, ni la identidad del interesado ha quedado
demostrada por ningún medio.

El artículo 13.1 del RGPD establece que “cuando se obtengan de un interesado
datos personales relativos a él” (como es el caso, ya que la llamada se le realiza al
abromado y por lo tanto los datos personales, su voz, procede directamente del abromado),
el responsable del tratamiento, “en el momento en que éstos [los datos] se obtengan”, le
facilitará toda la información que se indica a continuación en dicho apartado.

Como se comprueba de los hechos del expediente, MIRACLIA no ha informado
previamente de ninguna de dichas circunstancias al abromado, de manera que se infringe el
derecho fundamental a la protección de datos de los abromados, quienes no han tenido
conocimiento, previamente a la grabación que siempre realiza MIRACLIA de sus datos en
sus sistemas, de las circunstancias que la normativa establece que deben conocer.

El afectado responde a una llamada de teléfono, que va a ser grabada, no sólo sin
haber podido prestar su consentimiento, sino sin haber sido informado, en ese momento, de
manera que tenga conocimiento del tratamiento que se pretende llevar a cabo con sus datos
personales y de las circunstancias que precisa la normativa de protección del derecho
fundamental. Entre estas circunstancias cabe destacar la prevista en la letra c) del apartado
1 de dicho artículo 13 del RGPD: el interesado deberá ser informado en el momento de
obtención de sus datos personales, entre otras circunstancias, de la base jurídica del
tratamiento, a lo que cabe añadir lo establecido en la letra d), esto es, que cuando el
tratamiento se base en el art. 6, apartado 1, letra f) -interés legítimo-, deberá informarse al
interesado cuáles son los intereses legítimos del responsable o de un tercero que se alegan
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/61

como base jurídica del tratamiento.

Esa falta de información sobre cuál es la base jurídica del tratamiento o en caso de
alegar interés legítimo, cuáles son dichos intereses legítimos, es de gran importancia. El
RGPD pretende que el interesado (el abromado) pueda tener conocimiento en ese momento
(en el momento de recogida de sus datos personales) de cuáles son los intereses legítimos
que se alegan hipotéticamente por el responsable para tratar sus datos personales sin
necesidad de su consentimiento. Es en este momento cuando habrá de realizarse por el
responsable del tratamiento la ponderación entre los intereses legítimos que se pudieran
alegar por el responsable y los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de sus datos personales, en particular cuando el
interesado sea un niño. Dicha ponderación no puede realizarse en un momento posterior,
unilateralmente por el responsable, sin tener en cuenta los derechos, libertades e intereses
del propio abromado, pues simplemente basta decir que se le negaría no sólo su derecho de
información, sino su derecho a realizar alegaciones, a ser oído ante la pretensión del
responsable de utilizar sus datos personales sin contar con su consentimiento (pues eso es
precisamente la virtualidad de la utilización del interés legítimo como base jurídica del
tratamiento, y lo que pretende aquí MIRACLIA como responsable del tratamiento).

La sentencia del TJUE de 29 de julio de 2019, C-40/17, Fashion ID, establece las
pautas de a quién correspondería, en cualquier caso, solicitar el consentimiento del
interesado en el caso de que hubiere dos, o más, responsables del tratamiento. Así como
igualmente determina a quién corresponde la obligación de información al interesado, y
cuándo ha de darse esta información. Y de dicha sentencia resulta que, aplicándola al
presente caso, correspondería a MIRACLIA.

El apartado 102 a 104 de la sentencia Fashion ID establecen:

“102 Por lo que respecta al consentimiento mencionado en los artículos 2, letra h), y 7, letra a), de
la Directiva 95/46, resulta que este debe darse con anterioridad a la recogida y a la comunicación por
transmisión de datos del interesado. En estas circunstancias, incumbe al administrador del sitio de
Internet, y no al proveedor del módulo social, solicitar dicho consentimiento, en la medida en que es
el hecho de que un visitante consulte ese sitio de Internet lo que desencadena el proceso de
tratamiento de datos personales. En efecto, como señaló el Abogado General en el punto 132 de sus
conclusiones, no sería coherente con una protección eficaz y oportuna de los derechos del interesado
que el consentimiento solamente se diera al corresponsable del tratamiento que interviene
posteriormente, a saber, al proveedor de dicho módulo. No obstante, el consentimiento que debe
prestarse al administrador se refiere únicamente a la operación o al conjunto de las operaciones de
tratamiento de datos personales cuyos fines y medios determina efectivamente dicho administrador.
103 Lo mismo cabe decir respecto de la obligación de información establecida en el artículo 10 de
la Directiva 95/46.
104 De la redacción de dicha disposición se desprende, a este respecto, que el responsable del
tratamiento o su representante deben comunicar a la persona de quien se recaben los datos por lo
menos la información mencionada en la citada disposición. Por lo tanto, resulta que el responsable
del tratamiento debe dar dicha información inmediatamente, a saber, en el momento en el que se
recaban los datos (véanse, en este sentido, las sentencias de 7 de mayo de 2009, Rijkeboer,
C-553/07, EU:C:2009:293, apartado 68, y de 7 de noviembre de 2013, IPI, C-473/12, EU:C:2013:715,
apartado 23)”.

Como es sabido, no existe ningún derecho ilimitado y el derecho a la información del
interesado, como parte esencial del derecho fundamental a la protección de sus datos
personales, no es ajeno a dicho principio. Ahora bien, en cuanto excepción habrá de ser
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/61

interpretada con carácter estricto, de manera que únicamente en los casos establecidos por
la ley podrá entenderse que pueda haber una excepción al derecho de información.

Tal y como establece el apartado 39 de la STJUE de 7 de noviembre de 2013, C-
473/12, Institut professionnel des agents immobiliers (IPI) contra Geoffrey Englebert y otros,
a la que luego haremos referencia más extensa:

39 Conforme a reiterada jurisprudencia, la protección del derecho fundamental a la intimidad exige
que las excepciones a la protección de los datos personales y las restricciones a dicha protección se
establezcan sin sobrepasar los límites de lo estrictamente necesario (sentencias de 16 de diciembre
de 2008, Satakunnan Markkinapörssi y Satamedia, C-73/07, Rec. p. I-9831, apartado 56, y de 9 de
noviembre de 2010, Volker und Markus Schecke y Eifert, C-92/09 y C-93/09, Rec. p. I-11063,
apartados 77 y 86).

Las únicas limitaciones al derecho de información se encuentran en el artículo 23 del
RGPD y se necesitan medidas legislativas expresas para acordarlas, respetando en todo
caso lo esencial de los derechos y libertades, y siempre que se den los supuestos tasado
que se relacionan en dicho precepto.

Aunque en referencia al consentimiento, MIRACLIA ha señalado que no puede
atender algunas previsiones normativas porque se desvirtuaría el hecho mismo de gastar
una broma o el efecto sorpresa. Ahora bien, nada se ha alegado respecto de las limitaciones
señaladas, ni tampoco parece que sean aplicables al presente caso. MIRACLIA no
menciona ninguna medida legislativa que conlleve la posibilidad de excepcionar en el caso
de la aplicación ***APLICACIÓN.1 el derecho fundamental a la protección de los datos
personales del interesado, el abromado, por lo que cualquier análisis posterior carecería de
sentido. Además, la posibilidad de excepcionar mediante medidas legislativas los derechos
fundamentales de los particulares son de tal importancia como la seguridad del estado, la
defensa, la seguridad pública, la prevención, investigación, detección o enjuiciamiento de
infracciones penales etc. De manera que en ningún caso dicha posibilidad de exceptuar el
derecho de información del interesado se anuda a la posibilidad de gastar bromas a través
de una aplicación on-line, y tampoco a un interés comercial, por lo que no puede haber
intereses comerciales que sirvan de justificación para que al interesado-abromado se le
deniegue su derecho a ser informado en los términos del artículo 13 RGPD.

Por tanto, la actuación de MIRACLIA no se encuentra excluida de la obligación de
proporcionar a los interesados el derecho de información, con el contenido establecido en el
artículo 13 RGPD, en el momento en que los datos personales se obtengan del interesado.
Cuando los datos personales se obtienen del interesado en ningún caso dicha información
puede proporcionarse después, ni mucho menos no darse nunca, como es el caso que aquí
nos ocupa. En definitiva, los interesados deberán en todo caso ser informados para que el
tratamiento pueda considerarse lícito, lo que no ha sido ciertamente el caso.

Lo mismo puede decirse sobre el cumplimiento de lo establecido en el artículo 14 del
RGPD, que regula la información que deberá ofrecerse al interesado cuando los datos no
sean recabados directamente del mismo, como ocurre en relación al número de telefonía
móvil del abromado, que es facilitado a MIRACLIA por un tercero, el bromista.

En general, ninguna información ofrece MIRACLIA al interesado/ afectado (persona
que recibe la llamada de broma) en los documentos “Términos y Condiciones de Uso del
Servicio” y “Política de Privacidad”, más allá de indicar que “Miraclia no recoge datos de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/61

destinatarios de las bromas”, cosa que, como se ha visto, no es cierto.

La única información dirigida al abromado resulta de la locución que se reproduce al
final de la llamada de broma, con el mensaje siguiente:

"Un amigo suyo le ha gastado una broma. En caso de que no quiera que su amigo pueda
escuchar, descargar o difundir la broma, o en caso de que no quiera recibir más bromas,
pulse 5 con su teclado después de la señal. Beeep”.

Como puede verse, en dicha locución no se especifica que la broma haya sido
grabada y que, mediante la acción indicada, sea borrada de los sistemas de la entidad. No
se incluye, por lo demás, el detalle sobre ninguno de los aspectos establecidos en los
artículos 13 y 14 del RGPD.

Por otra parte, en ningún momento a lo largo de la conversación telefónica se
identifica a la aplicación ***APLICACIÓN.1 como gestor de la llamada ni a la compañía
desarrolladora MIRACLIA como propietaria de la plataforma, de modo que el receptor de la
broma desconoce dónde debe dirigirse para obtener más información sobre la llamada o
ejercitar sus derechos; en ningún momento se cita a la persona bromista; y tampoco se
informa en ningún momento, durante el desarrollo de la broma, que la conversación esté
siendo o pueda ser grabada.

En consecuencia, los hechos expuestos suponen una vulneración del principio de
transparencia regulado en los artículos 13 y 14 del RGPD, que da lugar a la aplicación de
los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia
Española de Protección de datos.

Finalmente, cabe señalar que MIRACLIA ha alegado que, con motivo de las
presentes actuaciones, conocida la imputación realizada por primera vez en relación con los
defectos de información, ha procedido de inmediato a su subsanación completando la
información ofrecida al final de la conversación de la broma como sigue:
- Que alguien ha gastado una broma para pasar ambos un buen rato.
- Que para la misma ha utilizado la aplicación ***APLICACIÓN.1 propiedad de
MIRACLIA TELECOMUNICACIONES, S.L.
- Que para oponerse a que dicha broma llegue al bromista y para suprimirla puede
pulsar la tecla 5.
- Que tiene más información pulsando la tecla 1.

Y al pulsar la tecla 1 se ofrece la explicación detallada, también incluida en la web.
De este modo, de la información que no facilitaba al interesado, ahora ha incluido:
- La identidad de MIRACLIA
- Los datos de contacto del Delegado de Protección de datos
- El plazo de conservación
- La base de legitimación
- El ejercicio de los derechos al completo que si bien se garantizaban los de oposición y
supresión (y también el de acceso cuando se solicitaba) se especifican ahora
formalmente.

No aporta, sin embargo, ninguna prueba sobre ello; ni siquiera el texto o grabación
de la locución insertada al final de la conversación, de modo que pueda valorarse
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/61

correctamente la supuesta información ofrecida. Y tampoco señala MIRICLIA nada respecto
de las cautelas adoptadas para asegurarse de que el interesado ha accedido efectivamente
a la información o sobre las medidas que aplicará en aquellos casos en que se interrumpiera
la comunicación antes de la reproducción de la locución.

VIII

Por otra parte, los artículos 6 y 7 del mismo RGPD se refieren, respectivamente, a la
“Licitud del tratamiento” y las “Condiciones para el consentimiento”:

Artículo 6 del RGPD.
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios
fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para
la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable
del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el
ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los
intereses o los derechos y libertades fundamentales del interesado que requieran la protección de
datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las
autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de
adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en
cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de
tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras
situaciones específicas de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al
tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación
de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del
tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal
comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las
operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un
tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor
del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés
público y será proporcional al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales
no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados
miembros que constituya una medida necesaria y proporcional en una sociedad democrática para
salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/61

objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines
del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la
relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos
personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones
penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”.

Artículo 7 del RGPD.
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser
capaz de demostrar que aquel consintió el tratamiento de sus datos personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se
refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga
claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro
y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente
Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del
consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su
retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el
consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida
posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un
servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios
para la ejecución de dicho contrato”.

Se tiene en cuenta lo expresado en los considerandos 32, 39, 40 a 44 y 47 del RGPD
en relación con lo establecido en los artículos 6 y 7 antes reseñados.

Procede tener en cuenta, igualmente, lo establecido en el artículo 6 de la LOPDGDD:

“Artículo 6. Tratamiento basado en el consentimiento del afectado
1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende
por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e
inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una
pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho
consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los
datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control
de la relación contractual”.

De acuerdo con lo expresado, el tratamiento de datos requiere la existencia de una
base legal que lo legitime, como el consentimiento del interesado prestado válidamente,
necesario cuando no concurra alguna otra base jurídica de la mencionadas en el artículo 6.1
del RGPD o el tratamiento persiga un fin compatible con aquel para el que se recogieron los
datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/61

El artículo 4 del RGPD define el “consentimiento” en los términos siguientes:

“Artículo 4 Definiciones
A efectos del presente Reglamento se entenderá por:
11. «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e
inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción
afirmativa, el tratamiento de datos personales que le conciernen”.

El consentimiento se entiende como un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con
garantías suficientes para acreditar que el interesado es consciente del hecho de que da su
consentimiento y de la medida en que lo hace. Y debe darse para todas las actividades de
tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento
tenga varios fines, debe darse el consentimiento para todos ellos de manera específica e
inequívoca, sin que pueda supeditarse la ejecución del contrato a que el afectado consienta
el tratamiento de sus datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación negocial. A este respecto, la licitud del
tratamiento exige que el interesado sea informado sobre los fines a que están destinados los
datos (consentimiento informado).

El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no
es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o
retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le permita autorizar por
separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado
en el caso concreto, o cuando el cumplimiento de un contrato o prestación de servicio sea
dependiente del consentimiento, aún cuando éste no sea necesario para dicho
cumplimiento. Esto ocurre cuando el consentimiento se incluye como una parte no
negociable de las condiciones generales o cuando se impone la obligación de estar de
acuerdo con el uso de datos personales adicionales a los estrictamente necesarios.

Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un
verdadero control sobre sus datos personales y el destino de los mismos, y ello haría ilegal
la actividad del tratamiento.

El Grupo de Trabajo del Artículo 29 analizó estas cuestiones en su documento
“Directrices sobre el consentimiento en virtud del Reglamente 2016/679”, revisadas y
aprobadas el 10/04/2018; que ha sido actualizado por el Comité Europeo de Protección de
Datos el 04/05/2020 mediante el documento “Directrices 05/2020 sobre el consentimiento
con arreglo al Reglamento 2016/679”. De lo indicado en este documento, interesa ahora
destacar algunos aspectos relacionados con la validez del consentimiento, en concreto
sobre los elementos “específico”, “informado” e “inequívoco”:

<<3.2. Manifestación de voluntad específica
El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de
sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con
respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico»
tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha
sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de
consentimiento «informado». Al mismo tiempo, debe interpretarse en línea con el requisito de
«disociación» para obtener el consentimiento «libre». En suma, para cumplir con el carácter de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/61

«específico» el responsable del tratamiento debe aplicar:

i) la especificación del fin como garantía contra la desviación del uso,
ii) la disociación en las solicitudes de consentimiento, y
iii) una clara separación entre la información relacionada con la obtención del consentimiento para las
actividades de tratamiento de datos y la información relativa a otras cuestiones.

Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del
consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y
legítimo para la actividad de tratamiento prevista. La necesidad del consentimiento específico en
combinación con la noción de limitación de la finalidad que figura en el artículo 5, apartado 1, letra b),
funciona como garantía frente a la ampliación o difuminación gradual de los fines para los que se
realiza el tratamiento de los datos una vez que un interesado haya dado su autorización a la recogida
inicial de los datos. Este fenómeno, también conocido como desviación del uso, supone un riesgo
para los interesados ya que puede dar lugar a un uso imprevisto de los datos personales por parte del
responsable del tratamiento o de terceras partes y a la pérdida de control por parte del interesado.
Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los interesados
deberán siempre dar su consentimiento para un fin específico para el tratamiento de los datos. En
consonancia con el concepto de limitación de la finalidad, con el artículo 5, apartado 1, letra b), y con
el considerando 32, el consentimiento puede abarcar distintas operaciones, siempre que dichas
operaciones tengan un mismo fin. Huelga decir que el consentimiento específico solo puede
obtenerse cuando se informa expresamente a los interesados sobre los fines previstos para el uso de
los datos que les conciernen.
Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el consentimiento debe ser
específico para cada fin. Los interesados darán su consentimiento entendiendo que tienen control
sobre sus datos y que estos solo serán tratados para dichos fines específicos. Si un responsable trata
datos basándose en el consentimiento y, además, desea tratar dichos datos para otro fin, deberá
obtener el consentimiento para ese otro fin, a menos que exista otra base jurídica que refleje mejor la
situación…
Ad. ii) Los mecanismos de consentimiento no solo deben estar separados con el fin de cumplir el
requisito de consentimiento «libre», sino que también deben cumplir con el de consentimiento
«específico». Esto significa que un responsable del tratamiento que busque el consentimiento para
varios fines distintos, debe facilitar la posibilidad de optar por cada fin, de manera que los usuarios
puedan dar consentimiento específico para fines específicos.
Ad. iii) Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de
consentimiento separada, información específica sobre los datos que se tratarán para cada fin, con el
objeto de que los interesados conozcan la repercusión de las diferentes opciones que tienen. De este
modo, se permite a los interesados dar un consentimiento específico. Esta cuestión se solapa con el
requisito de que los responsables faciliten información clara, tal y como se ha expuesto anteriormente
en la sección 3.3>>.

<<3.3. Manifestación de voluntad informada
El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el
artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales,
estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los
interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones
informadas, comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar
su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será
ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos.
Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será
válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD.

3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado»
Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos
que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al menos, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/61

información siguiente para obtener el consentimiento válido:
i) la identidad del responsable del tratamiento,
ii) el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento,
iii) qué (tipo de) datos van a recogerse y utilizarse,
iv) la existencia del derecho a retirar el consentimiento,
v) información sobre el uso de los datos para decisiones automatizadas de conformidad con el
artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi) información sobre los posibles riesgos de transferencia de datos debido a la ausencia de una
decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo 46>>.

En el presente caso, MIRACLIA afirma en sus alegaciones que el consentimiento no
puede ser la base jurídica para gastar una broma, entendiendo con ello que el tratamiento
de los datos personales de los abromados que realiza se ampara en el interés legítimo del
artículo 6.1.f) del RGPD.

Sin embargo, no es eso lo que se desprende de la información insertada en el
documento denominado “Términos y Condiciones de Uso del Servicio” (Hecho Probado
Segundo), en el que se indica hasta en tres ocasiones que el usuario debe contar con el
consentimiento expreso e inequívoco de la persona que ha recibido la broma para que
pueda realizarse la grabación y compartir posteriormente el fichero de audio, como requisito
de funcionamiento del servicio (“El funcionamiento del Servicio evita que se pueda generar
una Grabación si el usuario de ***APLICACIÓN.1 no acepta expresamente tal condición
previa”). En dicho documento, MIRACLIA declara expresamente que “no se responsabiliza
de las consecuencias del incumplimiento de la obtención de los consentimientos necesarios
para compartir la Grabación”.

Es decir, MIRACLIA basa el tratamiento de datos personales directamente en el
consentimiento del “abromado”, que he de ser recabado por el propio “bromista”.

MIRACLIA es consciente, entonces, de que dicha base jurídica del tratamiento es
meramente formal, ficticia. Si considera que una broma no puede basarse nunca en el
consentimiento del propio abromado, no se entiende lo indicado en su documento reseñado,
sabiendo que el bromista nunca procederá a recabar el consentimiento del abromado.

Por otra parte, el tratamiento de datos personales que lleva a cabo el responsable del
tratamiento MIRACLIA en ningún caso puede ser considerado “lícito” puesto que no se
provee al interesado de la información a la que, con arreglo a las normas de protección de
datos personales, tiene derecho, según quedó concluido en el Fundamento de Derecho
anterior.

Tampoco puede ser considerado lícito desde el momento en que, como falta dicha
información, el interesado se ve privado de su derecho a conocer la base jurídica del
tratamiento alegada por el responsable, y en concreto, al referirse al interés legítimo, se ve
privado de su derecho a conocer cuáles son dichos intereses legítimos alegados por el
responsable o de un tercero que justificarían el tratamiento sin tener en cuenta su
consentimiento.

Del mismo modo, el interesado se ve privado de su derecho a alegar por qué causas
dicho interés legítimo alegado por el responsable podría ser contrarrestado por los derechos
o intereses del interesado. No habiéndosele dado oportunidad al interesado de alegarlos
frente al responsable, cualquier sopesamiento que realice el responsable sin tener en cuenta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/61

las circunstancias que pudiera alegar el interesado a quien no se la ha permitido hacerlo
estaría viciado, por ser un acto contrario a una norma imperativa.

Si la norma requiere que se informe al sujeto de sus derechos, y no se hace, la
consecuencia ha de ser la nulidad de los actos posteriores (la misma ponderación realizada
estaría viciada de nulidad de plenos derecho, así como el mismo tratamiento de datos
personales realizado sobre una ponderación nula y sin valor alguno).

No existe por otra parte ninguna medida legal que exceptúe dicha obligación de
proporcionar la citada información por el responsable, según quedó expuesto.

Por ello, no puede entenderse que sea aplicable como base jurídica del tratamiento
de datos personales la del interés legítimo previsto en el artículo 6.1.f) del RGPD.

No obstante, aunque entendemos que el interés legítimo no es aplicable, interesa
analizar hipotéticamente los términos en que debe llevarse a cabo la ponderación que prevé
dicho artículo entre el legítimo interés del responsable de los datos y la protección de datos
de carácter personal del interesado, es decir, cómo juega dicho interés legítimo, si fuera
aplicable.

Pues bien, si este fuera el caso, el TJUE, ya en su sentencia de 4 de mayo de 2017,
C-13/16, Rigas Satskime, apartado 28 a 34, determinó cuáles son los requisitos para que un
tratamiento pueda resultar lícito sobre la base del interés legítimo. La sentencia TJUE de 29
de julio de 2019, C-40/17, Fashion ID, haciéndose eco de la sentencia citada, recoge dichos
requisitos.

28 A tal respecto, el artículo 7, letra f), de la Directiva 95/46 -(actual artículo 6.1.f) del RGPD)- fija
tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito: primero, que el
responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un
interés legítimo; segundo, que el tratamiento sea necesario para la satisfacción de ese interés
legítimo y, tercero, que no prevalezcan los derechos y libertades fundamentales del interesado en la
protección de los datos.

En cuanto al primero de los requisitos, es decir, que el responsable del tratamiento o
terceros persigan un interés legítimo, nos encontramos ante un interés mercantil, que podría
considerarse legítimo en sí mismo, concretado en ganar dinero mediante la venta de bromas
a terceros. Ahora bien, dichos beneficios se obtienen a costa de afectar los derechos e
intereses legítimos a la protección de sus datos personales de los interesados (abromados),
por lo que habrá de ser ponderado dicho interés con el de los particulares

Por lo que hace el segundo de los requisitos, sin embargo, consideramos que el
tratamiento de datos personales que se realiza por el recurrente no es necesario o
estrictamente necesario para la satisfacción de su interés legítimo (la sentencia citada de 4
de mayo de 2017, C-13/16, Rigas Satskime, en su apartado 30, declara “Por lo que atañe al
requisito de que el tratamiento de datos sea necesario, procede recordar que las
excepciones y restricciones al principio de protección de los datos de carácter personal
deben establecerse sin sobrepasar los límites de lo estrictamente necesario”).

Este principio de que el tratamiento debe ser estrictamente necesario para la
satisfacción del interés legítimo hay que interpretarlo de conformidad con lo establecido en
el artículo 5.1.c) RGPD, que hace referencia al principio de minimización de datos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/61

señalando que los datos personales serán “adecuados, pertinentes y limitados a lo
necesario en relación con los fines para los que son tratados”.

Dejando aparte, como ya hemos mencionado, el tema de que el
interesado/abromado no conoce para qué fines o con qué base jurídica se han recogido sus
datos, se entiende que la grabación de la voz de los interesados en los sistemas de
MIRACLIA, que se realiza en todo caso y en toda circunstancia, así como igualmente, como
se ha puesto de manifiesto en el expediente administrativo, el que los teléfonos de los
interesados se guarden en dichos sistemas hasta la realización de la llamada, supone un
tratamiento excesivo. Si el interés legítimo perseguido es el cobrar para que una persona, el
bromista, pueda gastar una broma, no parece necesario, como requisito intrínseco de dicho
tratamiento, (i) el que se guarden los datos personales (teléfono y voz). Tampoco puede
considerarse legítimo, y por lo tanto consideramos que sería un tratamiento excesivo, la
posibilidad de que el bromista se (ii) descargue la voz del abromado para poder acudir a
dicha grabación cuantas veces quiera y poderla difundir sin restricción alguna, por lo que
además (iii) faltarían medidas de seguridad que impidieran dicho tratamiento posterior por el
bromista. Si lo que pretende MIRACLIA, con interés puramente mercantil, es cobrar por
gastar una broma, dicho tratamiento podría hacerse sin necesidad de grabar la voz o el
número de teléfono, y sin tener que dar la posibilidad, omnímoda e ilimitada, al bromista de
descargarse en su terminal la voz del abromado para poderla difundir posteriormente sin
limitación alguna. Por lo tanto, no existiría el segundo requisito relativo a un uso no excesivo
o necesario.

En tercer lugar, por lo que hace al sopesamiento o ponderación, es decir, que no
prevalezcan los derechos y libertades fundamentales del interesado en la protección de los
datos, el TJUE ha entendido (sentencia Rigas Satskime) que depende de las circunstancias
del caso particular de que se trate.

En relación con esta ponderación, el Grupo de Trabajo del art. 29 de la Directiva
95/46 emitió el Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del
tratamiento. Dicho Grupo, en su Dictamen dice que

“…dicho examen requiere una consideración completa de una serie de factores, con el fin de
garantizar que se tienen en cuenta debidamente los intereses y los derechos fundamentales de los
afectados. Al mismo tiempo, se trata de una prueba modulable, que puede variar desde sencilla hasta
compleja, y no es necesario que resulte indebidamente onerosa.
Los factores que deben considerarse cuando se efectúe dicha prueba de sopesamiento
comprenderán:
- la naturaleza y la fuente del interés legítimo, y si el tratamiento de datos es necesario para el
ejercicio de un derecho fundamental, resulta de otro modo de interés público o se beneficia del
reconocimiento de la comunidad afectada;
- la repercusión para el interesado y sus expectativas razonables sobre qué sucederá con sus datos,
así como la naturaleza de los datos y la manera en la que sean tramitados;
- las garantías adicionales que podrían limitar un impacto indebido sobre el interesado, tales como la
minimización de los datos, las tecnologías de protección de la intimidad, el aumento de la
transparencia, el derecho general e incondicional de exclusión voluntaria y la portabilidad de los
datos.

(a) En cuanto a la naturaleza y la fuente del interés legítimo alegado, este es un interés de
carácter mercantil, como ya se ha puesto de manifiesto. El TS, en su sentencia STS
1921/2017, de 5 de mayo de 2017, Rec. 407/2016, ya puso de manifiesto que no puede
prevalecer el interés de las comercializadoras de gas frente al interés de los consumidores
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/61

titulares de los contratos de suministro eléctrico, dado que estos últimos tienen un derecho
fundamental frente a un interés meramente mercantil, por lo que la persona, el consumidor
en este caso, tiene el poder jurídico de imponer a terceros el deber de abstenerse de toda
intromisión en su esfera íntima y la prohibición a estos de hacer uso de las y conocido, (con
cita de las sentencias del TC 73/1982, 89/1987, 231/1988, 134/1999 y 115/2000).

(b) Cabe añadir, siguiendo con la lista de requisitos recomendados para la ponderación, que
el tratamiento de datos que pretende llevar a cabo el recurrente no es en absoluto necesario
para el ejercicio de un derecho fundamental, por lo que habrá de decaer frente a la
necesidad de protección de su derecho fundamental por los interesados.

(c) Tampoco cabe considerar que el tratamiento de datos personales propuesto por
MIRACLIA resulte del interés público o que se beneficien del reconocimiento de la
comunidad afectada.

(d) En cuanto a las expectativas razonables para el interesado respecto de la utilización de
sus datos personales y las repercusiones para él, basta mencionar que con el tratamiento de
datos personales que pretende realizar la recurrente, el interesado pierde todo poder de
disposición sobre los mismos, ya que los datos se registran por sistema, antes de poder dar
su consentimiento o siquiera de ser informado, por lo que el bromista-usuario podrá hacer
uso de los datos personales del abromado, su voz, descargándola en su propio terminal y
posteriormente difundiéndola entre otros terceros cuando quiera y como quiera, y ello con
independencia de que el interesado-abromado pueda hacer uso de un hipotético derecho al
bloqueo o supresión de sus datos frente a MIRACLIA, que como fácilmente puede
observarse de la mecánica de la aplicación del sistema, no será efectivo en ningún caso si el
bromista ya se ha descargado la voz en su terminal, puesto que su difusión ya no
dependería de esa entidad.

(e) En cuanto a la naturaleza de los datos, consideramos que la voz es un dato
particularmente sensible. Y lo es por cuanto que todos sabemos que la voz identifica
unívocamente a un sujeto entre una comunidad más o menos amplia. Pero a mayor
abundamiento, la voz también puede ser considerada un dato sensible en otro sentido, y es
que el RGPD permite considerar la voz como un dato biométrico, siempre y cuando se le
apliquen, o se le puedan aplicar, técnicas dirigidas a permitir identificar de manera unívoca a
una persona física (art. 9.1 RGPD). No parece que el tratamiento de datos que el
responsable pretende llevar a cabo con la aplicación ***APLICACIÓN.1 vaya dirigido a
aplicarle a la voz técnicas de tratamiento que la convierta en un dato biométrico, pero
aunque ése no sea el objetivo del tratamiento de datos que lleve a cabo el responsable, no
cabe duda de que la voz sí puede constituir la materia prima, el dato en bruto, a partir del
cual se podría llegar a aplicar una técnica para que dicho dato personal, la voz, resultare ser
un dato biométrico. Tal y como el TS ha tenido ocasión de considerar en la ya citada
anteriormente sentencia STS 1921/2017, de 5 de mayo de 2017, Rec. 407/2016, el criterio
del “riesgo” es un criterio a tener en cuenta cuando un dato personal, junto con otros, y con
infracción del principio de información o de acceso, puede dar lugar a la identificación del
interesado.

(f) En cuanto al último de los criterios de ponderación mencionados, a saber, las garantías
adicionales que podrían limitar un impacto indebido sobre el interesado, tales como la
minimización de los datos, las tecnologías de protección de la intimidad, el aumento de la
transparencia, consideramos que es absolutamente necesario el aumento de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/61

transparencia en el sentido de proporcionar a los posibles abromados, con antelación al
registro de su voz o de su teléfono, todas las circunstancias a que hace referencia el artículo
13 RGPD. Y además de ello, el hecho de grabar la voz del abromado en los sistemas del
recurrente se considera excesivo, en el sentido del art. 5.1.c) RGPD.

En definitiva, y para acabar con este punto, no resulta del tratamiento de datos
personales realizado por MIRACLIA que concurra, más allá de su propio interés mercantil,
ninguna circunstancia que justifique la grabación de la voz de los abromados utilizando
como base jurídica para el tratamiento el interés legítimo del artículo 7.f) de la Directiva. El
tratamiento de datos personales que realiza MIRACLIA no es necesario para la satisfacción
de un interés legítimo, y además no prevalece el interés legítimo de la recurrente frente los
derechos y libertades fundamentales del interesado en la protección de sus datos
personales.

En consecuencia, no cabe considerar que el tratamiento de datos personales que
lleva a cabo MIRACLIA esté amparado por el interés legítimo que prevé el artículo 6.1.f) del
RGPD. Y tampoco el interesado presta su consentimiento para dicho tratamiento de datos,
el cual resulta ilícito, además, al haberse prescindido totalmente del derecho de información
del interesado en los términos previstos en la normativa de protección de datos personales.

De conformidad con lo expuesto, los citados hechos suponen una vulneración del
artículo 6 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo
58 del RGPD otorga a la Agencia Española de Protección de datos.

En sus alegaciones a la propuesta de resolución, MIRACLIA señala que los
argumentos contenidos en los fundamentos de derecho anteriores no son válidos para
“***APLICACIÓN.1”, que se encuentra en un escenario técnico y de tratamiento de datos
distinto al que presentaba en actuaciones anteriores de la Agencia y la Justicia ordinaria.
Para el presente caso, según MIRACLIA, “***APLICACIÓN.1” se ajusta a la definición de
servicios de comunicaciones electrónicas interpersonales basado en numeración, definido
en el artículo 2, apartados 5 y 6, de la Directiva (UE) 2018/1972, por la que se establece el
Código Europeo de Comunicaciones Electrónicas (versión refundida).

Partiendo de esta consideración, MIRACLIA entiende que sólo intervine facilitando
los medios necesarios para prestar el servicio que ha contratado el usuario, único
responsable del tratamiento de los datos de la persona que recibe la llamada de broma; que
la conversación que tiene lugar por la prestación del servicio es personal o doméstica, en la
medida en que el objeto del servicio es establecer una comunicación iniciada por el
bromista, limitándose MIRACLIA a facilitar los medios para la transmisión; y que no realiza
tratamiento de los datos del destinatario de la llamada de broma más allá del cumplimiento
de las obligaciones de conservación que impone la Ley 25/2007, de conservación de datos
relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.

Por el mismo motivo, entiende MIRACLIA que no está obligada a facilitar la
información a la que se refiere el RGPD, al resultar aplicable lo previsto en el Considerando
173 y el artículo 95 de dicho Reglamento, en relación con la Directiva 2002/58/CE, sobre la
privacidad y las comunicaciones electrónicas. Según dicho artículo, el RGPD no impondrá
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/61

obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el
marco de la prestación de servicios públicos de comunicaciones electrónicas en redes
públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones
específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE, y, de acuerdo
con esta Directiva, no puede exigirse a los servicios de comunicaciones electrónicas
interpersonales basados en recursos públicos de numeración que identifique al gestor de la
llamada ni a la propietaria de la plataforma o que indique dónde obtener información sobre la
llamada o sobre el ejercicio de derechos. Asimismo, debe respetarse el derecho del usuario
del servicio a no identificarse y a grabar de forma personal la llamada.

Estas alegaciones deben rechazarse, al no existir todavía en el ordenamiento interno
ninguna disposición que transponga la Directiva (UE) 2018/1972, cuyo plazo de
transposición aún no ha transcurrido. Siendo así, no puede decirse que la actividad que
desarrolla mediante la aplicación “***APLICACIÓN.1” se ajuste a una categoría de servicios
de comunicaciones electrónicas que, en este momento, no existe en nuestro ordenamiento
jurídico.

Por otro lado, tampoco es aplicable al presente caso el artículo 95 del RGPD, que
prohíbe la imposición de “obligaciones adicionales a las personas físicas o jurídicas en
materia de tratamiento en el marco de la prestación de servicios públicos de
comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en
los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la
Directiva 2002/58/CE”, la cual no figura entre las Directivas que quedarán derogadas por la
Directiva (UE) 2018/1972 con efectos a partir del 21/12/2020. El presente acto no está
referido a la Directiva 2002/58/CE ni supone la imposición de obligaciones específicas con el
mismo objetivo pretendido por esta Directiva

En todo caso, cabe añadir que MIRACLIA basa estas alegaciones en el resultado de
la auditoría realizada sobre la aplicación “***APLICACIÓN.1” por un ingeniero de
telecomunicaciones en julio de 2020, muy posterior al período analizado por los Servicios de
Inspección de esta Agencia. Aunque la entidad responsable afirma que la versión de la
aplicación auditada corresponde a la versión vigente en el momento en que se formularon
las denuncias, no existe ninguna prueba que así lo acredite. Además, esta alegación ni si
quiera se planteó en sus alegaciones a la apertura del procedimiento y supone un enfoque
diferente a la posición que MIRACLIA ha mantenido durante las fases anteriores, en la que
mostraba su disposición a subsanar algunas de las deficiencias puestas de manifiesto y
defendía el interés legítimo de la entidad para el tratamiento de datos que realiza.

Además, parte de premisas y tiene por constatados hechos que no pueden ser
aceptados, principalmente los relacionados con la existencia de una conversación entre un
usuario de “***APLICACIÓN.1”, que la inicia, y un tercero. Se afirma que “la persona que
inicia la conversación debe ser el usuario que contrata el servicio ***APLICACIÓN.1” y que
“una vez establecida la conexión entre el usuario de ***APLICACIÓN.1 y el destinatario de la
conversación se permite el intercambio directo de información interpersonal a través de
redes de comunicaciones electrónicas entre ambos”. Sin embargo, según ha quedado
acreditado, el usuario de la aplicación simplemente programa una llamada, en la que no
participa, la cual se realiza desde los sistemas de MIRACLIA con el propósito de reproducir
al destinatario una locución (la correspondiente a la broma seleccionada por el usuario), de
modo que tampoco esa llamada pone en comunicación a dos personas ni se produce ningún
“intercambio directo de información interpersonal”. De producirse una llamada entre el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/61

usuario y el destinatario de la broma, esa conversación en ningún caso tendría lugar con la
intermediación de “***APLICACIÓN.1”.

De la misma forma, no puede admitirse que el usuario de “***APLICACIÓN.1” sea el
que decide realizar la grabación del contenido del mensaje que él mismo edita. La llamada
de broma queda en todo caso en los sistemas de MIRACLIA, sin que sea necesaria para
ello la participación del usuario de “***APLICACIÓN.1”, que se limita a utilizar los medios
que facilita la propia entidad para acceder al fichero de audio que genera el sistema, sin que
dicho usuario realice ninguna acción para editar su contenido.

Respecto de esta cuestión, tampoco puede aceptarse el planteamiento recogido en
el informe de auditoría aportado por MIRACLIA, según el cual la calificación de servicio de
comunicaciones electrónicas que se incluye en las Condiciones de Uso de la aplicación
supone un reconocimiento implícito de la naturaleza del servicio (en el Anexo II al informe de
auditoría se llega a afirmar literalmente lo siguiente: “En las condiciones de uso de la
aplicación ***APLICACIÓN.1 en el artículo 6 se indica que “como con cualquier servicio de
telecomunicaciones, es ilegal el uso de los servicios de ***APLICACIÓN.1 con el propósito
de acosar o dañar a nadie”. Existe por tanto una declaración contractual de que
***APLICACIÓN.1 es un servicio sujeto a la regulación de telecomunicaciones y, por ello, un
reconocimiento implícito de que se trata de un servicio de comunicaciones electrónicas en
tal caso”).

Es obvio que la posición que ocupa MIRACLIA en todo lo relativo al funcionamiento
de la aplicación “***APLICACIÓN.1” no puede venir determinada por un pacto entre
particulares o una declaración contractual, sino por las determinaciones legales que resulten
aplicables.

Puede decirse, incluso, que las referidas alegaciones deben ser desestimadas
aunque considerásemos lo dispuesto en el Código Europeo de Comunicaciones
Electrónicas, que define los servicios de comunicaciones interpersonal incluyendo en este
concepto el transporte de señales y otros tipos de servicios que permiten la comunicación.
Distingue “tres tipos de servicios que pueden solaparse parcialmente, a saber: servicios de
acceso a internet definidos en el artículo 2, punto 2, del Reglamento (UE) 2015/2120 del
Parlamento Europeo y del Consejo (1); servicios de comunicaciones interpersonales, como
se definen en la presente Directiva, y servicios que consisten total o principalmente en el
transporte de señales” (Considerando 15 de la Directiva (UE) 2018/1972, por la que se
establece el Código Europeo de Comunicaciones Electrónicas).

De acuerdo con su artículo 2 “Definiciones”, a efectos de la citada Directiva:

<<se entenderá por:

4) “servicio de comunicaciones electrónicas”: el prestado por lo general a cambio de una
remuneración a través de redes de comunicaciones electrónicas, que incluye, con la excepción de los
servicios que suministren contenidos transmitidos mediante redes y servicios de comunicaciones
electrónicas o ejerzan control editorial sobre ellos, los siguientes tipos de servicios:

a) el “servicio de acceso a internet”, entendido según la definición del punto 2) del párrafo
segundo del artículo 2 del Reglamento (UE) 2015/2120;

a) el “servicio de comunicaciones interpersonales”, y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/61

b) servicios consistentes, en su totalidad o principalmente, en el transporte de señales, como
son los servicios de transmisión utilizados para la prestación de servicios máquina a máquina
y para la radiodifusión;

5) “servicio de comunicaciones interpersonales”: el prestado por lo general a cambio de una
remuneración que permite un intercambio de información directo, interpersonal e interactivo a través
de redes de comunicaciones electrónicas entre un número finito de personas, en el que el iniciador de
la comunicación o participante en ella determina el receptor o receptores y no incluye servicios que
permiten la comunicación interpersonal e interactiva como una mera posibilidad secundaria que va
intrínsecamente unida a otro servicio;

6) “servicio de comunicaciones interpersonales basados en numeración”: servicio de comunicaciones
interpersonales que bien conecta o permite comunicaciones con recursos de numeración pública
asignados, es decir, de un número o números de los planes de numeración nacional o internacional, o
permite la comunicación con un número o números de los planes de numeración nacional o
internacional;>>.

En relación con estas definiciones, debe considerarse lo expuesto en los
Considerandos 17 y 18 de la misma Directiva:

(17) Los servicios de comunicaciones interpersonales son servicios que permiten el intercambio
interpersonal e interactivo de información y que comprenden servicios como las llamadas de voz
tradicionales entre dos personas, así como también todo tipo de correos electrónicos, servicios de
mensajería o charlas en grupo. Los servicios de comunicaciones interpersonales solo abarcan las
comunicaciones entre un número finito, es decir, potencialmente no ilimitado, de personas físicas, que
está determinado por el remitente de la comunicación. Las comunicaciones en las que intervengan
personas jurídicas deben entrar en el ámbito de aplicación de la definición cuando las personas
físicas actúan en nombre de esas personas jurídicas o intervienen al menos en un lado de la
comunicación. La comunicación interactiva supone que el servicio permite que el receptor de la
información responda. Los servicios que no cumplan esos requisitos, como la radiodifusión lineal, el
vídeo a la carta, los sitios web, las redes sociales, los blogs o el intercambio de información entre
máquinas, no deben ser considerados servicios de comunicaciones interpersonales. En
circunstancias excepcionales, un servicio no debe ser considerado un servicio de comunicaciones
interpersonales si el dispositivo de comunicación interpersonal e interactiva es una característica
menor y puramente auxiliar de otro servicio y, por razones técnicas objetivas, no puede utilizarse sin
dicho servicio principal y su integración no es un medio para eludir la aplicabilidad de las normas que
regulan los servicios de comunicaciones interpersonales. Como elementos para que se dé la
exclusión de la definición, los términos “menor” y “puramente auxiliar” deben interpretarse de manera
restrictiva y desde una perspectiva objetiva de usuario final. Una característica de comunicaciones
interpersonales puede considerarse menor cuando su utilidad objetiva para un usuario final es muy
limitada y cuando, en realidad, apenas es utilizada por los usuarios finales. Un ejemplo de una
característica que puede considerarse queda fuera del ámbito de aplicación de la definición de
servicios de comunicaciones interpersonales podría ser, en principio, un canal de comunicación de un
juego en línea, dependiendo de las características del dispositivo de comunicación del servicio.

(18) Los servicios de comunicaciones interpersonales que utilizan números de un plan nacional e
internacional de numeración conectan con recursos de numeración de asignación pública. Esos
servicios de comunicaciones interpersonales basados en numeración engloban tanto los servicios en
los que los números de los usuarios finales se asignan para garantizar la conectividad extremo a
extremo, como los servicios que posibilitan que los usuarios finales entren en contacto con las
personas a las que se han asignados esos números. No debe considerarse que la mera utilización de
un número en tanto que identificador equivale a la utilización de un número para conectar con
números de asignación pública y, por lo tanto, no debe considerarse suficiente por sí misma para
calificar un servicio como servicio de comunicaciones interpersonales basado en números. Los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/61

servicios de comunicaciones interpersonales independientes de la numeración solo deben estar
sujetos a obligaciones cuando el interés público exija la aplicación de obligaciones reglamentarias
específicas a todos los tipos de servicios de comunicaciones interpersonales, con independencia de
que utilicen números para la prestación de su servicio. Está justificado dar un trato diferente a los
servicios de comunicaciones interpersonales basados en numeración, ya que participan en un
ecosistema interoperable garantizado públicamente y, por consiguiente, también se benefician de él.

Por tanto, un servicio de comunicaciones electrónicas interpersonales basados en
numeración debe permitir un intercambio de información directo, interpersonal e interactivo
entre personas, sin que esta comunicación interpersonal e interactiva se incluya en el
servicio de que se trate como una mera posibilidad secundaria.

En consecuencia, MIRACLIA no es un proveedor de redes y comunicaciones
electrónicas ni suministra servicios de comunicaciones electrónicas.

Por otra parte, por las circunstancias expuestas, entiende esta Agencia que no es
aplicable al presente supuesto la doctrina del Tribunal Constitucional alegada por
MIRACLIA, que admite la grabación de una conversación entre personas por uno de los
participantes. Y tampoco considera esta Agencia que el presente supuesto suscite
controversia alguna que afecte al derecho a la libertad de expresión de los ciudadanos.

También en sus alegaciones a la propuesta de resolución, señala MIRACLIA como
falso el Hecho Probado 1, en el que se indica que dicha entidad es propietaria de una
aplicación móvil denominada “***APLICACIÓN.1”, marizando que se trata de un servicio al
que se accede mediante una aplicación móvil. Sin embargo, en relación con esta esta
cuestión nos, remitimos a las muchas referencias que el documento “Términos y
Condiciones de Uso del Servicio” contiene sobre la aplicación “***APLICACIÓN.1” (ej.:
“Definición del servicio: ***APLICACIÓN.1 es una aplicación…”).

Y considera, asimismo, errónea la referencia al alojamiento de las bromas en un sitio
público, por cuanto el acceso al audio se realiza a través de una URL privada a la que sólo
tienen acceso el emisor de la broma y el destinatario de la misma, si aquél así lo quiere.
Pues bien, entiende esta Agencia que lo indicado en el Hecho Probado 4 no resulta contrario
a lo indicado por MIRACLIA cuando señala que no existe “una plataforma en la que se
publiquen las bromas realizadas para que pueda acceder cualquier tercero, pero las
grabaciones de las bromas se encuentran alojadas en un sitio público, lo que posibilita el
acceso a las mismas mediante el enlace al archivo de audio, que puede ser difundido
indiscriminadamente por el usuario bromista”.

En relación con lo expuesto en el Hecho Probado 5, se alega que el enlace al que
accedieron los Servicios de Inspección de la Agencia para comprobar que
“***APLICACIÓN.1” opera en otros países del Espacio Económico Europeo corresponde a
una plataforma de preproducción que nunca ha funcionado. No obstante, según consta en
Diligencia de Inspección, el acceso se realizó desde las oficinas de la propia Agencia a
información que en ese día se encontraba en producción, a disposición de cualquier tercero
usuario de la red, es decir, información de acceso público. Los Servicios de Inspección no
han realizado ningún acceso a sistemas de MIRACLIA en desarrollo. En todo caso, esta
entidad no niega la información contenida en el citado Hecho Probado, sobre el
funcionamiento de la aplicación “***APLICACIÓN.1” en los países que se indican y la
disponibilidad al público de los términos y condiciones de uso en los idiomas reseñados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/61

Sobre las reclamaciones que constan reseñadas en los Antecedentes,
reiteradamente advierte MIRACLIA que no debieron admitirse a trámite, teniendo en cuenta
que los respectivos reclamante no se dirigieron previamente a la entidad ejercitando los
derechos reconocidos por la normativa de protección de datos personales.

A este respecto, por un lado, cabe señalar que esta Agencia, en uso de las
facultades y prerrogativas que tiene atribuidas, determinó como objeto de las actuaciones el
análisis global de la aplicación “***APLICACIÓN.1” desde el punto de vista de la normativa
de protección de datos personales y en relación con las personas que reciben las llamadas
de broma, con independencia de las incidencias específicas de las reclamaciones
planteadas, que sirvieron para motivar el inicio de las investigaciones oportunas en relación
con el tratamiento de los datos personales de las personas que reciben las llamadas de
broma, que coincide que el objeto de las reclamaciones; y, por otro lado, que el ejercicio de
aquellos derechos no está establecido como un presupuesto necesario para poder formular
una reclamación ante esta Agencia. La decisión sobre formular o no esta reclamación o el
uso de cualquier otra vía para la defensa de sus derechos es exclusiva del reclamante. En
todo caso, se estima conveniente señalar que la decisión que se adopta resulta de los
hechos declarados probados, sin que se haya atribuido ningún alcance a las cuestiones
destacadas por MIRACLIA en relación con las manifestaciones realizadas por los
reclamantes sobre el envío de la grabación por whatsapp, la realización de llamadas
distintas a la llamada de broma, el envío de correos electrónicos o la atención prestada por
MIRACLIA a las solicitudes de ejercicios de derechos.

A diferencia con el presente caso, el precedente que cita MIRACLIA, en el que se
trata el caso de una persona que recibió una llamada de broma de una emisora de radio, se
refiere a una reclamación de tutela de derechos por la no atención de la solicitud de
cancelación de datos que previamente había planteado ante el responsable, y como tal fue
tramitada por esta Agencia.

Finalmente, solicita MIRACLIA un trámite de audiencia presencial para aclarar ante
los instructores/inspectores de la Agencia los puntos expuestos y advierte que, en caso de
no ver atendidos sus intereses, se reserva el derecho de acudir a otras instancias superiores
y/o judiciales en España y en Europa. Dicha audiencia no está prevista en la normativa
procesal aplicable, de modo que no resulta obligado realizar ese trámite ni ello perjudica el
derecho de defensa de la entidad interesada, la cual, obviamente, dispondrá de la
posibilidad de impugnar la resolución en las todas las vías previstas en la citada normativa.

Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como
autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes:

“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(...)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/61

d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento
se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
anterior es compatible con la sanción consistente en multa administrativa.

En el presente caso, ha quedado acreditado el tratamiento de datos personales que
la entidad MIRACLIA realiza sin haber informado previamente al titular de los datos y sin
legitimación para ello.

El interesado no conoce si quiera que sus datos personales están siendo tratados
por esta entidad, que emplea una aplicación diseñada para utilizar datos personales
proporcionados por un tercero y por el propio interesado. La aplicación se crea con un fin
que requiere el tratamiento de datos personales. Gracias a la aplicación se somete a
tratamiento la línea de telefonía a la que se envía la comunicación, se graba y reproduce la
conversación mantenida por los interlocutores.

De conformidad con las constataciones obtenidas, se considera que los hechos
expuestos podrían incumplir el principio de trasparencia establecido en los artículos 12, 13 y
14 del RGPD, así como el principio de licitud del tratamiento regulado en el artículo 6 del
RGPD, lo que, de confirmarse, podrían suponer la comisión de sendas infracciones
tipificadas en el artículo 83.5 del RGPD, que bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone lo siguiente:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con
multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una
cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio
financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor
de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;(…)”.

A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83
del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.

A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:

“Artículo 72. Infracciones consideradas muy graves.
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy
graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/61

artículos mencionados en aquel y, en particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del
tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
(…)
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales
conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley
Orgánica”.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo
al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6
sean en cada caso individual efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual,
a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h)
y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se
tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o
propósito de la operación de tratamiento de que se trate así como el número de interesados
afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y
perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las
medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y
mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente
contra el responsable o el encargado de que se trate en relación con el mismo asunto, el
cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación
aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los
beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la
infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679
se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado
artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán
tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/61

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no
puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de
resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre
aquellos y cualquier interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las
sanciones de multa a imponer en el presente caso al reclamado, como responsable de
infracciones tipificadas en el artículo 83.5.a) y b) del RGPD, procede graduar la multa que
correspondería imponer por cada una de las infracciones imputadas.

Se estima que concurren en calidad de agravantes, aplicables a las dos infracciones
del RGPD de las que se responsabiliza a MIRACLIA, los siguientes factores que revelan una
mayor antijuridicidad y/o culpabilidad en la conducta de la entidad:

. La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de las operaciones de tratamiento de que se trata: la gravedad de la
infracción viene determinada por las propias operaciones de tratamiento que realiza
MIRACLIA, que incluyen la recogida de datos personales para ponerlos a disposición de
terceros, ofreciéndoles, además, funcionalidades o herramientas para la difusión de dichos
datos personales, pese a que su tratamiento sea contrario al RGPD. La duración de la
infracción, considerando que está ligada al propio funcionamiento de la aplicación
“***APLICACIÓN.1” viene determinada por el período de explotación de dicha aplicación.

. La intencionalidad o negligencia apreciada en la comisión de la infracción: esta
circunstancia resulta del propio diseño de la aplicación, que no ha previsto en modo alguno
el cumplimiento de la normativa de protección de datos personales. Es una agravante
especialmente significativa pues la reclamada, sin ningún género de duda, conocía los
defectos apreciados por esta Agencia en el funcionamiento de la aplicación a partir de
diversos precedentes, en los que se sancionó por la infracción del principio del
consentimiento. MIRACLIA no ignora que su conducta entraña una vulneración del RGPD y
decidió seguir adelante con él.

. El carácter continuado de la infracción: resultado de la explotación ininterrumpida de la
aplicación “***APLICACIÓN.1”.

. La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales y beneficios obtenidos como consecuencia de la comisión de la infracción: todas
las operaciones que constituyen la actividad comercial o mercantil desarrollada por la
reclamada implican operaciones de tratamiento de datos personales, y todas ellas afectadas
por los mismos incumplimientos normativos. Así pues, todos los beneficios de este negocio
son fruto y consecuencia de la infracción permanente de la normativa de protección de datos
de la que la reclamada es responsable

. El volumen de datos y tratamientos que constituye el objeto del expediente; y número de
interesados: se tiene en cuenta que los defectos apreciados en los tratamientos de datos
afectan a todas las personas que reciban una llamada de broma sirviéndose de la aplicación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/61

“***APLICACIÓN.1”.

. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas:
los perjuicios que pueden derivarse del tratamiento de los datos y su difusión son
impredecibles, sin que MIRACLIA haya adoptado cautela alguna al respecto.

. La entidad imputada no tiene implantados procedimientos adecuados de actuación en la
recogida y tratamiento de los datos de carácter personal, de modo que la infracción no es
consecuencia de una anomalía en el funcionamiento de dichos procedimientos sino un
defecto del sistema de gestión de los datos personales diseñado por la responsable.

Considerando los factores expuestos, la valoración inicial de la multa recogida en el
acuerdo de apertura ascendió a 50.000 euros por casa una de las infracciones imputadas.

No obstante, la empresa ha solicitado en su escrito de alegaciones una reducción de
esa multa, por cuanto representa el 25% de su facturación, que ascendió a 476.000 euros
en el año 2018, en el que se produjeron pérdidas.

La información económica de la que se dispone relativa a MIRACLIA corresponde al
año 2018, último ejercicio presentado. Consta una cifra de negocios para ese ejercicio de
475.823 euros y un resultado del ejercicio de -7.364 euros. Asimismo, se comprueba que se
trata de una microempresa, con 2 empleados. Según la información que consta en el
Registro Mercantil Central, el “Capital suscrito” asciende a 6.000 euros

Considerando esta circunstancia, se estima procedente proponer la imposición de
una multa por importe de 20.000 euros por cada una de las infracciones cometidas
[infracción del principio de transparencia por incumplimiento de lo establecido en los
artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.b) y calificada como muy grave a
efectos de prescripción en el artículo 72.h) de la LOPDGDD; e infracción por incumplimiento
de lo establecido en el artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como
muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD].

XII

De acuerdo con lo establecido en el artículo 58.2.d) del RGPD, cada autoridad de
control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado…”.

En este caso, considerando las circunstancias expresadas en relación con los
defectos apreciados en el funcionamiento de la aplicación “***APLICACIÓN.1”, desde el
punto de vista de la normativa de protección de datos, procede requerir a MIRACLIA para
que, en el plazo que se determine, adecúe a la normativa de protección de datos personales
las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el
procedimiento mediante el que los mismos prestan su consentimiento para la recogida y
tratamiento de sus datos personales; estableciendo, además, mecanismos que permitan
acreditar que el interesado ha accedido efectivamente a la información ofrecida y que
prestaron su consentimiento para la recogida y tratamiento de los datos personales. Todo
ello con el alcance y en el sentido expresado en los Fundamentos de Derecho de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/61

presente resolución.

En aquellos casos en los que el interesado no fuera debidamente informado sobre
las circunstancias reguladas en los artículos 13 y 14 del RGPD o el interesado no hubiese
prestado su consentimiento, MIRACLIA no podrá llevar a cabo la recogida y tratamiento de
los datos personales.

Por otra parte, procede que la entidad MIRACLIA cese en la utilización ilícita de los
datos de carácter personal que consten en sus sistemas de información relativos a
interesados que no hubiesen prestado su consentimiento informado para ello

Estas medidas serán de aplicación en todos los países del Espacio Económico
Europeo en los que MIRACLIA opere a través de la aplicación “***APLICACIÓN.1” y
respecto de interesados que residan en dichos países.

Se advierte que no atender los requerimientos de este organismo puede ser
considerado como una infracción administrativa grave al “no cooperar con la Autoridad de
control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la hora de
la apertura de un procedimiento administrativo sancionador con multa pecuniaria.

Por lo tanto, de acuerdo con lo anteriormente expuesto, la Directora de la Agencia
Española de Protección de Datos RESUELVE:

PRIMERO: Sancionar a la entidad MIRACLIA TELECOMUNICACIONES, S.L., por una
infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.b) y calificada
como muy grave a efectos de prescripción en el artículo 72.h) de la LOPDGDD, con una
multa por importe de 20.000 euros (veinte mil euros).

SEGUNDO: Sancionar a la entidad MIRACLIA TELECOMUNICACIONES, S.L., por una
infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy
grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, con una multa por
importe de 20.000 euros (veinte mil euros).

TERCERO: Requerir a la entidad MIRACLIA TELECOMUNICACIONES, S.L para que, en el
plazo de tres meses, adecúe a la normativa de protección de datos personales las
operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el
procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida
y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de
Derecho XII. Tal adecuación deberá implantarse igualmente en todos los países del Espacio
Económico Europeo en los que MIRACLIA opere a través de la aplicación
“***APLICACIÓN.1”.

CUARTO: NOTIFICAR la presente resolución a MIRACLIA TELECOMUNICACIONES, S.L.

QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la
ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido
en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/61

939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre,
mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que
figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000
0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en
período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario
será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los
días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del
segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el
caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la
Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico
de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.

Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

AEPD (Spain) - PS/00416/2019

Karar metni