A continuación, presentamos un resumen de la Resolución del Procedimiento Sancionador número PS/00142/2021 de la Agencia Española de Protección de Datos (AEPD) contra Vodafone. La compañía fue sancionada por infringir el Reglamento General de Protección de Datos (RGPD) y la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) al enviar comunicaciones comerciales sin el consentimiento del destinatario, pese a haber solicitado no recibirlos previamente. Todo ello, a pesar de que fue una empresa subcontratada por otra empresa subcontratada la que hizo el envío.
Vodafone argumentó que la dirección de correo electrónico utilizada no debía ser considerada un dato personal por ser del tipo «dpd@…». Sin embargo, la AEPD determinó que, según el artículo 4 del RGPD, la dirección de correo electrónico sí es un dato personal, ya que puede identificar directa o indirectamente a una persona física.
En cuanto a la relación entre Vodafone y Cablanol, S.L., la AEPD analizó la imputación de la infracción del artículo 21 del LSSI. Cablanol fue subcontratada por Vesaleads, S.L., empresa del Grupo Solivesa, que tenía un contrato con Vodafone para promocionar sus servicios. Aunque Vodafone argumentó que Cablanol actuó fuera de su relación, la AEPD estableció que, según el artículo 4 del RGPD, Vodafone sigue siendo responsable del tratamiento de datos personales y que Cablanol es el encargado del tratamiento.
La AEPD también determinó que el responsable del tratamiento debe garantizar el cumplimiento de los derechos de las personas respecto a sus datos personales y que el encargado del tratamiento será considerado responsable si infringe el RGPD al determinar los fines y medios del tratamiento.
Como resultado, Vodafone fue sancionada con una multa de 20.000 euros por la infracción del artículo 21 de la LSSI y con una multa de 50.000 euros por la infracción del artículo 21 del RGPD. La AEPD consideró criterios agravantes como la intencionalidad, la duración de la infracción, la negligencia en la gestión del derecho de oposición y el carácter continuado de la infracción, así como la vinculación de la actividad de Vodafone con el tratamiento de datos personales.