1/19
Procedimiento Nº: PS/00448/2020
- RESOLUCIÓN R/00180/2021 DE TERMINACIÓN DEL PROCEDIMIENTO
POR PAGO VOLUNTARIO
En el procedimiento sancionador PS/00448/2020, instruido por la Agencia Española de
Protección de Datos a XFERA MÓVILES, S.A., vista la denuncia presentada por
A.A.A., y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 12 de febrero de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a XFERA MÓVILES,
S.A. (en adelante, el reclamado), mediante el Acuerdo que se transcribe:
<<
Procedimiento Nº: PS/00448/2020
935-240719
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
la entidad, XFERA MÓVILES, S.A., con CIF.: A82528548, (en adelante, “la entidad
reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el
reclamante”), y teniendo como base los siguientes:
HECHOS
PRIMERO: Con fecha 16/10/20, tiene entrada en esta Agencia, denuncia presentada
por el reclamante en la que indicaba, entre otras, lo siguiente:
“Inicie una reclamación con ustedes con fecha 19/07/20, Nº: E/06604/2020; donde me
indicaban que la compañía había atendido el derecho de oposición y no se admitía a
trámite, (por entender que ellos habían tomado las medidas oportunas).
A día de hoy, este operador sigue enviando SMS a mi línea de teléfono, (se adjuntan
los pantallazos en archivo adjunto), de más de 60 SMS en los últimos 30 días, por lo
que se entiende que este operador no ha tomado las medidas que ha indicado”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/19
Al escrito de denuncia se acompañaba los siguientes documentos:
- Pantallazos de 26 SMS desde el 22/09/20 hasta el 15/10/20, enviados desde la
compañía Yoigo con mensajes publicitarios, invitando al usuario a que acceda
a determinadas páginas web como, http//shorturi.kairos365.com/MjkxNDM2 y
http//:yoigo.kairos365.com/coronavirus; o que llamase a los números de
teléfono, ***TELEFONO.1 o ***TELEFONO.2 para contratar las promociones
ofrecidas por la compañía.
SEGUNDO: Con fecha 31/10/20, tuvo entrada en esta Agencia, un segundo escrito de
denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente:
“EL 24/09/20 envié un correo electrónico a Yoigo (Más-Móvil), informando que estaba
recibiendo una gran cantidad de SMS en mi línea de móvil con información
confidencial de terceras personas, el cual me respondieron que habían tomado nota y
no volvería a suceder. Pues bien, esta empresa, a día de hoy, me ha enviado a mi
línea de teléfono, un SMS con mi número de teléfono y una clave de seguridad para
acceder a su plataforma (“Mi Yoigo”), a la cual he accedido, dado que lleva mi número
de teléfono y he podido verificar que he accedido a datos personales de una tercera
persona ajena, con la cual yo no tengo nada que ver, he visto sus facturas y la
posibilidad y de realizar cualquier trámite en su perfil”.
Al escrito de denuncia se acompañaba los siguientes documentos:
- Correo electrónico enviado desde la dirección ***EMAIL.1, con fecha 24/09/20
a la dirección ***[email protected] denunciado la recepción de envíos
masivos de SMS publicitarios y otros con datos personales de terceras
personas.
- Correo electrónico de contestación al reclamante, desde la dirección
***[email protected], con fecha 24/09/20, indicándole, entre otras, que,
han atendido su solicitud de oposición, con la fecha 13/08/20 y que, respecto
de las comunicaciones comerciales que ha recibió con posterioridad a dicha
fecha, le informan que han sido efectuadas por un agente de MASMOVIL,
quien realiza operaciones con su propia base de datos, comprometiéndose a
dar la orden a dicho agente para que elimine sus datos personales de sus
bases de datos y deje de enviarle publicidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/19
- Aporta captura de pantalla: “Mi Yoigo Cuenta - Gestiona tu información
personal y datos de acceso” de la dirección web:
https://miyoigo.yoigo.com/datos-personales”, con fecha 31/10/20, donde se
puede apreciar que, con el número de teléfono del reclamante, introducido en
la casilla de “usuario”, aparece los datos personales, dirección y número de
cuenta bancaria de una tercera persona ajena al reclamante. Además, se
adjunta factura del mes de octubre de 2020, de los servicios prestados por la
compañía a dicha tercera persona, donde aparecen datos como: el nombre, la
dirección, el número de cuenta corriente, y números de teléfono de contacto.
TERCERO: Con fecha 10/11/20, tuvo entrada en esta Agencia, un tercer escrito de
denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente:
“Se amplía la denuncia presentada ante esa Agencia, con fecha 31 de octubre de
2020, contra el operador de Yoigo (MásMóvil), por la utilización de datos de manera
fraudulenta y reiterada, inclusive, después de haberle sido notificados estos hechos”.
Al escrito de denuncia se acompañaba los siguientes documentos:
- Pantallazos de 16 SMS, enviados desde el día 18/10/20 al día 09/11/20, desde
la compañía Yoigo, informando al usuario de la existencia de problemas
técnicos para la gestión de sus solicitudes y la posterior subsanación de los
mismos.
CUARTO: Con fecha 30/11/20, por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de las denuncias
presentadas por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (LPDGDD).
FUNDAMENTOS DE DERECHO
I- Competencia.
a).- Respecto del tratamiento de los datos personales:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/19
Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de
la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2
del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16,
relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de
Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada
Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de
los Derechos Digitales (LOPDGDD).
Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los
poderes de investigación y correctivos que la autoridad de control puede disponer al
efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del
tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de:
“imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada
caso.”.
b).- Respecto del envío de SMS publicitarios sin el consentimiento del interesado:
Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de
la Agencia Española de Protección de Datos, de conformidad con lo establecido en el
art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la
Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar
y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de
Protección de Datos.
II
Del expediente Nº: E/06604/2020, seguido en esta Agencia como consecuencia de la
primera denuncia presentada por el reclamante contra la entidad reclamada, se debe
tener presente los siguientes puntos:
Con fecha 17/07/20, el reclamante presentó escrito de denuncia en esta Agencia,
indicando en el mismo que: “estaba recibiendo mensajes de publicidad en su teléfono
móvil, desde la compañía denunciada, los cuales no había autorizado”.
Con fecha 14/09/20, como contestación al requerimiento hecho desde esta Agencia
con motivo de los hechos denunciados, la compañía indicó, que: “confirmamos que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/19
hemos gestionado el derecho de oposición del reclamante en relación con todas las
bases de datos de las que somos responsables del tratamiento con fecha 13 de
agosto de 2020 (…)”.
Con fecha 25/09/20, la entidad reclamada, como contestación al requerimiento de
información adicional hecho desde esta Agencia, informó que: “En relación con la
ampliación realizada por el reclamante, como puede comprobarse en los mensajes
aportados por este, apuntan a una “url” con dominio hazmeclic.es, el cual no es
titularidad de mi representada, tal como se acredita a través de red.es., no estando la
base de datos de esta empresa bajo responsabilidad de Xfera Móviles”.
Vector Software Factory, S.L. es un distribuidor de MASMOVIL, con quien tiene un
contrato de Agencia, que realiza campañas comerciales por su propia iniciativa y
sobre su propia base de datos, la cual, como hemos indicado, no está bajo
responsabilidad, ni hemos proporcionado desde MASMOVIL. No obstante, lo anterior,
procederemos a contactar con este agente con la finalidad de trasladarle la oposición
del Sr. A.A.A. con la finalidad de atender el derecho del interesado.
Mediante correo de fecha 24 de septiembre de 2020, a las 15:25, hemos procedido a
informar al interesado de lo siguiente: “Le escribimos a su correo electrónico, al que
hemos tenido acceso en el marco del procedimiento seguido por la Agencia Española
de Protección de Datos E/06604/2020. con la finalidad de informarle de cómo hemos
procedido en la atención de su derecho de oposición. Por la presente le informamos
de que procedimos a gestionar su derecho de oposición respecto de la numeración
XXX XXX XXX, por parte de Xfera Móviles, S.L. (Más Móvil) con fecha 13 de agosto
de 2020.
En relación con las comunicaciones que nos indica la Agencia Española de Protección
de Datos ha recibido con posterioridad a esa fecha, le informamos que hemos
comprobado que las mismas han sido remitidas por un agente de la marca
MASMOVIL, quien realiza acciones comerciales sobre sus propias bases de datos. En
este sentido, le informamos que vamos a transmitir su solicitud de ejercicio de sus
derechos de oposición a este agente, tras lo que esperamos deje de recibir nuestra
publicidad.
Pues bien, con fecha 01/10/20, una vez analizadas las razones expuestas por la
entidad reclamada, y considerar que el responsable había atendido la reclamación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/19
presentada, esta Agencia acordó la no admisión a trámite de la reclamación
presentada, notificando la misma a los interesados.
No obstante, con fecha 16/10/20, tiene entrada en esta Agencia, una segunda
denuncia presentada por el reclamante donde se indicaba que, el operador seguía
enviando SMS a su línea de teléfono, y adjuntaba los pantallazos de más de 60 SMS
recibidos hasta ese día, por lo que consideraba que el operador no había atendido
satisfactoriamente la primera reclamación, y que la AEPD había inadmitido a trámite al
considerar lo contrario.
Unos días después, el 31/10/20, el reclamante se vuelve a presentar escrito de
denuncia ante esta Agencia, indicando que, se había puesto en contacto con la
entidad reclamada, el 24/09/20, para informales que, aunque había ejercido ante ellos
el derecho de oposición seguía recibiendo una ingente cantidad de SMS publicitarios,
recibiendo como respuesta de la entidad que habían atendido su solicitud de oposición
con fecha 13/08/20 y que no volvería a ocurrir, pero el reclamante vuelve a justificar
que sigue recibiendo SMS de la compañía después de dicha fecha, aportando copia
de todos ellos. Con fecha 10/11/20, vuelve a presentar un nuevo escrito ante esta
Agencia aportando SMS publicitarios de la entidad reclamada, hasta 16 SMS, desde el
día 18/10/20 al día 09/11/20.
A parte de todo lo anterior, el reclamante también denuncia que ha recibido un SMS de
la compañía, a su número de teléfono con una clave de seguridad para acceder a la
plataforma, (“Mi Yoigo”), en la cual, una vez accedido, ha podido comprobar que el
perfil pertenece a otro usuario, pero tiene acceso a los datos personales de esta
persona, a sus facturas, e incluso tiene la posibilidad y de realizar cualquier trámite
con los datos de esta persona.
III- Sobre el incumplimiento del derecho de supresión de los datos personales.
En el presente apartado se examina el presunto incumplimiento, por parte de la
entidad reclamada, de la supresión de todos los datos personales de sus bases de
datos, que fue solicitada por el reclamante.
El artículo 17.1.c) del RGPD, establece, sobre el derecho de supresión de los datos
personales del interesado, («el derecho al olvido»), que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/19
“El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la supresión de los datos personales que le conciernan, el cual estará
obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna
de las circunstancias siguientes: (…)
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no
prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al
tratamiento con arreglo al artículo 21, apartado 2;”.
De la documentación existente en el expediente seguido en esta Agencia, por los
mismos hechos denunciados (E/06604/2020), de la documentación presentada por el
reclamante en el presente procedimiento sancionador (PS/00448/2020) y de las
contestaciones realizadas por la entidad reclamada, a los requerimientos realizados
por esta Agencia, expuestos en el punto II, se constata, que, los hechos conocidos
podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del
artículo 17.1.c) del RGPD, por incumplimiento del derecho de supresión de los datos
personales del interesado, cuando éste había ejercido el derecho de oposición ante la
entidad y está había incluso confirmado que había gestionado correctamente dicho
derecho.
El artículo 72.1.k) de la LOPDGDD, considera muy grave, a efectos de prescripción,
“El impedimento o la obstaculización o la no atención reiterada del ejercicio de los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.”.
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en
el presente caso, se considera que procede graduar la sanción a imponer de acuerdo
con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/19
- La duración de la infracción, teniendo en cuenta el alcance o propósito de la
operación de tratamiento de los datos, así como, los perjuicios causados al
interesado, pues la entidad afirmó que había procedido a borrar los datos del
reclamante de sus bases de datos el 13/08/20 y siguió enviando SMS
publicitarios hasta el 09/11/20, (apartado a).
- La negligencia en la infracción, al constatar la falta de diligencia debida de la
entidad reclamada en el cumplimiento de sus obligaciones con respecto a la
gestión de los datos personales los usuarios, (apartado b).
- La forma en que la autoridad de control tuvo conocimiento de la infracción,
pues esta se produjo a través de varias denuncias interpuestas por el
reclamante, (apartado h).
- La existencia de una denuncia previa, que no fue admitida a trámite por esta
Agencia, al afirmar la entidad reclamada que había procedido
satisfactoriamente a atender el derecho de supresión de los datos personales
del interesado, (apartado k).
Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto
en el artículo 83.2.k) del RGPD, se tendrá en cuenta, como factores agravantes de la
sanción, los siguientes:
- El carácter continuado de la infracción, pues, aunque la entidad reclamada
afirma que ha procedido al borrado de los datos personales del reclamante de
sus bases de datos el 13/08/20, sigue enviando SMS publicitarios en su móvil,
incluso después del 08/11/20, (apartado a).
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 17 del
RGPD, permite fijar una sanción inicial de 50.000 euros, (cincuenta mil euros).
IV- Sobre la falta de medidas de seguridad en los sistemas de la compañia.
En el presente apartado se examina el presunto incumplimiento, por parte de la
entidad reclamada, de la seguridad en el tratamiento de los datos personales de sus
clientes, ya que el reclamante denuncia haber recibido un SMS de la compañía, con su
número de teléfono y una clave de seguridad para acceder a la plataforma (“Mi
Yoigo”), en la cual, ha podido comprobar que el perfil pertenece a otro usuario, que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/19
tiene acceso a los datos personales de esta persona, a sus facturas, e incluso existe la
posibilidad de realizar cualquier trámite con sus datos personales.
La seguridad de los datos personales viene regulado en el artículo 32 del RGPD,
donde se establece que:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
(…)”
El RGPD define las violaciones de seguridad de los datos personales como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o
alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos”.
De la documentación obrante en el expediente se ofrecen indicios evidentes de que el
reclamado ha vulnerado el artículo 32 del RGPD, al producirse una brecha de
seguridad en sus sistemas al remitir un SMS al reclamante con las claves de acceso a
la plataforma “Mi Yoigo”, perteneciente a otro cliente de la compañía.
Hay que señalar que el RGPD en el citado precepto no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que establece que el responsable y el encargado del tratamiento
aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve
el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.
El artículo 73.g) de la LOPDGDD, considera grave, a efectos de prescripción, “El
quebrantamiento, como consecuencia de la falta de la debida diligencia, de las
medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido
por el artículo 32.1 del Reglamento (UE) 2016/679”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/19
Esta infracción puede ser sancionada con multas administrativas de 10.000.000 EUR
como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía de acuerdo con el artículo 83.4.a) del RGPD.
De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en
el presente caso, se considera que procede graduar la sanción a imponer de acuerdo
con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD:
- La duración de la infracción, teniendo en cuenta el alcance o propósito de la
operación de tratamiento de que se trate, (apartado a).
- La negligencia en la infracción, al constatar la falta de diligencia debida de la
entidad reclamada en el cumplimiento de sus obligaciones con respecto a la
gestión de la seguridad de los datos personales de sus clientes, (apartado b).
- La forma en que la autoridad de control tuvo conocimiento de la infracción,
pues ha sido a través de la denuncia interpuesta por el reclamante, (apartado
h).
Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto
en el artículo 83.2.k) del RGPD, se tendrá en cuenta, como factores agravantes de la
sanción, los siguientes:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 32 del
RGPD, permite fijar una sanción inicial de 30.000 euros, (treinta mil euros).
V- Sobre las consecuencias de la falta de medidas de seguridad adecuadas.
En el presente apartado se examina el presunto incumplimiento, por parte de la
entidad reclamada, de la seguridad en el tratamiento de los datos personales de sus
clientes, ya que el reclamante denuncia que ha recibido un SMS de la compañía, con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/19
su número de teléfono y una clave de seguridad para acceder a la plataforma (“Mi
Yoigo”), en la cual, ha podido comprobar que el perfil pertenece a otro usuario, que
tiene acceso a los datos personales de esta persona, a sus facturas, e incluso existe la
posibilidad y de realizar cualquier trámite con sus estos personales que no son los
suyos.
El RGPD establece, en el artículo 5, los principios que han de regir el tratamiento de
los
datos personales y menciona entre ellos el de “integridad y confidencialidad”.
El artículo señala, en su punto 1.f) que: “Los datos personales serán tratados de tal
manera que se garantice una seguridad adecuada de los datos personales, incluida la
protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción
o daño accidental, mediante la aplicación de medidas técnicas u organizativas
apropiadas («integridad y confidencialidad»)”.
Pues bien, de conformidad con las evidencias de las que se dispone en el presente
momento, el hecho de que la entidad reclamada posibilitara la visualización de datos
personales de una tercera persona ajena al reclamante, permiten constatar que el
reclamado no ha podido garantizar la seguridad en el tratamiento de los datos
personales de sus clientes, mostrando con ello una grave falta de diligencia debida e
incurriendo por tanto, en la vulneración del artículo 5.1 f) del RGPD, que establece los
principios de integridad y confidencialidad de los datos personales, así como la
responsabilidad proactiva del responsable del tratamiento de demostrar su
cumplimiento.
El artículo 72.1.a) de la LOPDGDD considera muy grave, a efectos de prescripción: “El
tratamiento de datos personales vulnerando los principios y garantías establecidos en
el artículo 5 del Reglamento (UE) 2016/679”
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/19
De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en
el presente caso, se considera que procede graduar la sanción a imponer de acuerdo
con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD:
- La duración de la infracción, teniendo en cuenta el alcance o propósito de la
operación de tratamiento de los datos, así como, los perjuicios causados al
interesado y a terceras personas, (apartado a).
- La negligencia en la infracción, al constatar la falta de diligencia debida de la
entidad reclamada en el cumplimiento de sus obligaciones con respecto a la
gestión de los datos personales los usuarios, (apartado b).
- La forma en que la autoridad de control tuvo conocimiento de la infracción,
pues esta se produjo a través de varias denuncias interpuestas por el
reclamante, (apartado h).
- La existencia de una denuncia previa, que no fue admitida a trámite por esta
Agencia, al afirmar la entidad reclamada que había procedido
satisfactoriamente el problema planteado, (apartado k).
Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto
en el artículo 83.2.k) del RGPD, se tendrá en cuenta, como factores agravantes de la
sanción, los siguientes:
- El carácter continuado de la infracción, pues, aunque la entidad reclamada
afirma que procedió a solucionar los problemas ocasionados el 13/08/20, sigue
existiendo el enviando SMS con datos pertenecientes a otras personas ajenas
al interesado, (apartado a).
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 5.1.f) del
RGPD, permite fijar una sanción inicial de 50.000 euros, (cincuenta mil euros).
VI- Sobre el envío de SMS publicitarios sin el consentimiento del interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/19
En el presente apartado se examina el presunto incumplimiento, por parte de la
entidad reclamada, del artículo 21 de la LSSI, donde se establece la prohibición de
enviar comunicaciones publicitarias o promocionales, por medios de comunicación
electrónica, que previamente no hubieran sido solicitadas o expresamente autorizadas.
El artículo 21 de la LSSI, sobre las comunicaciones comerciales no consentidas,
establece que:
“1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por
correo electrónico u otro medio de comunicación electrónica equivalente que
previamente no hubieran sido solicitadas o expresamente autorizadas por los
destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de
aplicación cuando exista una relación contractual previa, siempre que el prestador
hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara
para el envío de comunicaciones comerciales referentes a productos o servicios de su
propia empresa que sean similares a los que inicialmente fueron objeto de
contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la
posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante
un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos
como en cada una de las comunicaciones comerciales que le dirija. Cuando las
comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá
consistir necesariamente en la inclusión de una dirección de correo electrónico u otra
dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido
el envío de comunicaciones que no incluyan dicha dirección.”
De la documentación existente en el expediente seguido en esta Agencia, por los
mismos hechos denunciados (E/06604/2020), de la documentación presentada por el
reclamante en el presente procedimiento sancionador (PS/00448/2020) y de las
contestaciones realizadas por la entidad reclamada, a los requerimientos realizados
por esta Agencia, expuestos en el punto II, se constata, que, los hechos conocidos
podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del
artículo 21 de la LSSI, por el envío de una gran cantidad de SMS publicitarios o
comerciales, sin la autorización del interesado y después de que la entidad reclamada
afirmara que habían atendido la solicitud de del interesado de no volverle a enviar
SMS.
La citada infracción se encuentra tipificada como leve en el art. 38.4.d) de dicha
norma, que califica como tal, “El envío de comunicaciones comerciales por correo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/19
electrónico u otro medio de comunicación electrónica equivalente cuando en dichos
envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya
infracción grave”.
A tenor de lo establecido en el artículo 39.1.c) de la LSSI, las infracciones leves podrán
sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su
graduación en el artículo 40 de la misma norma.
Tras las evidencias obtenidas, y sin perjuicio de lo que resulte de la instrucción, se
considera que procede graduar la sanción a imponer de acuerdo con los siguientes
criterios agravantes, que establece el art. 40 de la LSSI:
- La existencia de intencionalidad, expresión que ha de interpretarse como
equivalente a grado de culpabilidad de acuerdo con la Sentencia de la
Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006,
correspondiendo a la entidad denunciada la determinación de un sistema de
obtención del consentimiento informado que se adecue al mandato de la LSSI.
- Plazo de tiempo durante el que ha venido cometiendo la infracción, pues la
entidad afirmó que había accedido a no enviar más SMS al interesado, el
13/08/20 y siguió enviando SMS hasta el 09/11/20 (último SMS que esta
Agencia tiene conocimiento) (apartado b).
Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada
una sanción de 20.000 euros (veinte mil euros), por la infracción del artículo 21 de la
LSSI, respecto al envío de comunicaciones comerciales a través de SMS sin el
consentimiento del afectado.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad XFERA MÓVILES, S.A.,
con CIF.: A82528548, por las siguientes infracciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/19
- Infracción del artículo de artículo 17 del RGPD, sancionable conforme a lo
dispuesto en el art. 58.2 del citado RGPD, por incumplimiento, de la supresión
de los datos personales de sus bases de datos, solicitada por el reclamante.
- Infracción del artículo de artículo 32 del RGPD, sancionable conforme a lo
dispuesto en el art. 58.2 del citado RGPD, por incumplimiento, de la seguridad
en el tratamiento de los datos personales de sus clientes.
- Infracción del artículo de artículo 5.1.f) del RGPD, sancionable conforme a lo
dispuesto en el art. 58.2 del citado RGPD, por incumplimiento del principio de
integridad y confidencialidad en el tratamiento de datos personales de sus
clientes.
- Infracción del artículo 21 de la LSSI, respecto del envío de SMS comerciales o
publicitarios sin el consentimiento expreso del destinatario.
NOMBRAR: como Instructor a D. R.R.R., y Secretaria, en su caso, a Dª S.S.S.,
indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico
del Sector Público (LRJSP).
INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación
interpuesta por el reclamante y su documentación, todos ellos parte del presente
expediente administrativo.
QUE: a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de:
- 50.000 euros (cincuenta mil euros) por la infracción del artículo de artículo 17
del RGPD, sin perjuicio de lo que resulte de la instrucción del presente
procedimiento sancionador.
- 30.000 euros (treinta mil euros) por la infracción del artículo de artículo 32 del
RGPD, sin perjuicio de lo que resulte de la instrucción del presente
procedimiento sancionador.
- 50.000 euros (cincuenta mil euros) por la infracción del artículo de artículo
5.1.f) del RGPD, sin perjuicio de lo que resulte de la instrucción del presente
procedimiento sancionador
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/19
- 20.000 euros (veinte mil euros) por la infracción del artículo 21 de la LSSI, sin
perjuicio de lo que resulte de la instrucción del presente procedimiento
sancionador.
Por tanto, a los efectos previstos en el art. 64.2 b) citado, la sanción total que pudiera
corresponder sería de 150.000 euros (ciento cincuenta mil euros)
NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad
XFERA MÓVILES, S.A., otorgándole un plazo de audiencia de diez días hábiles para
que formule las alegaciones y presente las pruebas que considere convenientes.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento, equivalente en este caso a 30.000 euros. Con la aplicación
de esta reducción, la sanción quedaría establecida en 120.000 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma, equivalente en este caso
a 30.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida
en 120.000 euros y su pago implicará la terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 90.000 euros (noventa mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/19
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas
anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00
0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de
Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de
referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el
justificante del ingreso a la Subdirección General de Inspección para continuar con el
procedimiento en concordancia con la cantidad ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
>>
SEGUNDO: En fecha 3 de marzo de 2021, el reclamado ha procedido al pago de la
sanción en la cuantía de 90000 euros haciendo uso de las dos reducciones previstas
en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/19
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00448/2020, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A..
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/19
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-031219
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es