AEPD: Multa de 10.000 euros por llamada de spam de 46 segundos
10.000 euros de sanción por realizar una llamada de spam de 46 segundos: la AEPD endurece el control sobre el telemarketing
La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 10.000 euros a la empresa de instalación de placas solares Más Sol Energía por una llamada comercial de apenas 46 segundos a un usuario inscrito en la Lista Robinson. La resolución, identificada como EXP202416818, establece un precedente contundente sobre las obligaciones de verificación del consentimiento en campañas de telemarketing. El caso demuestra que los certificados genéricos de proveedores de bases de datos no eximen al responsable del tratamiento de su propia diligencia.
El usuario afectado recibió la llamada en cuestión cuando el operador de Más Sol Energía le dirigió su nombre y preguntó por el tipo de vivienda que poseía. Ante la sorpresa, el destinatario interrogó al operador sobre si habían consultado la Lista Robinson, el servicio gratuito de exclusión publicitaria gestionado por la Asociación Española de Marketing Digital (Adigital) en colaboración con la AEPD. La respuesta del operador fue reveladora: simplemente "trabajamos con una base de datos", sin mayor justificación.
La defensa de Más Sol Energía y por qué la AEPD la desestimó por completo
La empresa intentó justificar la llamada alegando que había adquirido los datos a un proveedor de marketing directo que le garantizaba la existencia del consentimiento. Para respaldar esta tesis, presentó un registro de hacía dos años que incluía una dirección IP, una marca temporal, la web de origen y las casillas de verificación supuestamente aceptadas por el usuario.
La AEPD desestimó estos argumentos por tres vías concurrentes. En primer lugar, consideró que un formulario genérico y una dirección IP son insuficientes para acreditar que el reclamante específico prestó su consentimiento de forma libre, informada e inequívoca, conforme exige el artículo 7 del Reglamento General de Protección de Datos (RGPD). En segundo lugar, recordó que la carga de la prueba sobre la licitud del tratamiento recae siempre sobre el responsable del tratamiento, independientemente de que los datos procedan de terceros. En tercer lugar, sancionó expresamente la falta de diligencia al no verificar la validez del consentimiento y al no informar al interesado del origen de sus datos.
El episodio posterior a la llamada agravó la situación de la empresa. Cuando el usuario contactó con el servicio de atención al cliente, le respondieron que sus datos podrían haberse obtenido por "aceptación de cookies", una explicación que la AEPD no consideró válida ni siquiera como hipótesis alternativa. El reclamante aportó finalmente a la agencia el audio de la llamada, el historial de llamadas y el comprobante de su inscripción en la Lista Robinson.
El precedente EXP202416818: qué exige la AEPD para probar el consentimiento
La resolución consolida una doctrina que la AEPD venía perfilando en los últimos años: el certificado de un proveedor de base de datos no sustituye la obligación del responsable de demostrar quién, cuándo y cómo se otorgó el consentimiento. Este estándar de prueba, más exigente que el mero traslado de garantías contractuales, obliga a las empresas a mantener registros de consentimiento individualizados y verificables.
Para los despachos de protección de datos y los departamentos de compliance, el caso tiene implicaciones operativas inmediatas. Las empresas que externalizan la captación de leads o la gestión de campañas de telemarketing deben implementar mecanismos de verificación independiente del consentimiento, no limitarse a la recepción de certificados del proveedor. La AEPD deja claro que la responsabilidad penalizada es la del usuario final de los datos, no la del intermediario.
La cuantía de 10.000 euros, situada en el tramo medio-bajo del espectador sancionador de la AEPD para infracciones del RGPD, refleja la naturaleza leve del perjuicio concreto (una sola llamada de menos de un minuto) pero también la reincidencia potencial que supone utilizar una base de datos sin contraste con la Lista Robinson. La agencia no aplicó agravantes por reincidencia, pero la resolución advierte implícitamente que estructuras de captación deficientes pueden generar sanciones acumulativas si afectan a múltiples usuarios.
Te puede interesar
AEPD multa con 6000 euros a dueño por cámaras en piso compartido
La Lista Robinson y el telemarketing en España: un mecanismo de exclusión con respaldo regulatorio
La Lista Robinson opera en España desde 1993 como sistema de exclusión voluntaria de publicidad por medios electrónicos, gestionada actualmente por Adigital con la supervisión de la AEPD. Su inscripción es gratuita para los consumidores y vincula a las empresas adheridas, que se comprometen a no realizar comunicaciones comerciales no solicitadas a los usuarios incluidos. La AEPD puede sancionar tanto a empresas adheridas que incumplan como a no adheridas que vulneren el principio de consentimiento previo.
El sector del telemarketing en España ha experimentado una intensificación del control regulatorio desde la entrada en vigor del RGPD en 2018 y la posterior adaptación de la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). La AEPD ha publicado múltiples resoluciones en el ámbito del marketing directo, con sanciones que oscilan desde los 1.500 euros por infracciones leves hasta los 50.000 euros o más cuando concurran agravantes de reincidencia o afectación masiva.
El caso de Más Sol Energía ilustra una tensión estructural del sector: la dependencia de proveedores de leads de dudosa procedencia y la escasa inversión en sistemas de verificación propios. El mercado de la energía solar, particularmente dinámico desde los incentivos del Plan de Recuperación, Transformación y Resiliidad y la escalada de precios energéticos de 2022-2023, ha generado una proliferación de campañas agresivas de captación donde la calidad del dato suele ceder ante la presión por volumen.
Próximos pasos: la AEPD publicará la resolución en su registro público y el plazo de recurso
Más Sol Energía dispone de un mes a contar desde la notificación de la resolución para interponer recurso de reposición ante la propia AEPD, o de dos meses para acudir directamente a la Audiencia Nacional en vía contencioso-administrativa. La práctica sancionadora de la agencia indica que el porcentaje de resoluciones confirmadas en vía administrativa es elevado cuando la fundamentación de hechos y derecho es tan detallada como en el presente caso.
La resolución EXP202416818 se incorporará al registro de resoluciones de la AEPD, accesible públicamente, donde servirá como referencia para futuras actuaciones del regulador y para la doctrina de los tribunales. Para los operadores del sector, la publicación supone una señal de alerta adicional sobre los estándares de diligencia exigidos.
¿Ha revisado tu despacho o departamento de legal la última base de datos adquirida para telemarketing? La pregunta no es retórica: la AEPD ya no acepta que la responsabilidad se externalice por contrato.
Preguntas frecuentes
¿Qué plazo tiene una empresa para recurrir una sanción de la AEPD?
Un mes para recurso de reposición ante la propia AEPD, o dos meses para demanda contencioso-administrativa ante la Audiencia Nacional.
¿Es suficiente un certificado del proveedor de base de datos para acreditar el consentimiento?
No. La AEPD exige que el responsable del tratamiento demuestre quién, cuándo y cómo otorgó el consentimiento. Los certificados genéricos no cumplen este estándar de prueba.
¿Qué artículo del RGPD fundamenta esta sanción?
El artículo 7, sobre condiciones para el consentimiento, y el artículo 5, sobre principios de licitud y lealtad del tratamiento. La LOPDGDD desarrolla estas infracciones en su artículo 83.
Información publicada originalmente por Confilegal.