A-00071-2013

1/10 Procedimiento Nº: A/00071/2013 RESOLUCIÓN: R/02600/2013 En el procedimiento A/00071/2013, instruido por la Agencia Española de Protección de Datos a la entidad GRUPOINTERMARK96 S.L., vista la denuncia presentada por Dña. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 16/05/2012 tiene entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que declara lo siguiente: Con fecha 22 de diciembre de 2011, remitió un correo electrónico a su empresa distribuidora de gas natural en Murcia, HIDROCANTABRICO ENERGIA, S.A.U. (en lo sucesivo HC ENERGIA), solicitando el bloqueo de sus datos en sus ficheros y oponiéndose a la cesión de los mismos a terceros y su utilización con fines comerciales. Con fecha 23 de diciembre de 2001, remitió la misma solicitud a través de burofax. (Aporta copia de las dos solicitudes) Al no recibir contestación a su solicitud, envió con fecha 16 de marzo de 2012, un nuevo burofax a la compañía, del que aporta copia, solicitando la fecha en que sus datos habían sido bloqueados. Con fecha 27 de marzo de 2012, la compañía le informa mediante escrito, de que el bloqueo de sus datos para fines comerciales, se realizó con fecha 20 de enero de 2012. No obstante, con fecha 15 de febrero de 2012, recibe en su domicilio un envío publicitario de GAS NATURAL FENOSA, del que aporta copia, y con el que le remiten dos ejemplares de un contrato, parcialmente cumplimentado con su nombre y apellidos y dirección, solicitándole que cumplimentara el resto de los datos del contrato y remitiera una de las copias firmada. Con fecha 17 de febrero de 2012, remitió un burofax a GAS NATURAL FENOSA, cuya copia aporta, en el que solicitan información sobre el origen de sus datos que se han utilizado para el envío de publicidad, solicitando a su vez la cancelación de los mismos. Con fecha 29 de enero de 2012, recibió un escrito de GAS NATURAL FENOSA en el que le informan de que sus datos han sido obtenidos de la base de datos de puntos de suministro de su empresa y comunicándole el bloqueo de los mismos para no volver a ser utilizados con fines publicitarios. Así mismo, con fecha 4 de octubre de 2012, ha recibido un correo publicitario de su propia empresa distribuidora, HC ENERGIA, del que aporta copia, remitido desde la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 dirección hcenergia@.............., por lo que considera que no han bloqueado sus datos con fines publicitarios. Por otra parte, la denunciante manifiesta que ha recibido en su domicilio, con fechas 19 y 23 de abril de 2012, la visita de dos Agentes comerciales de GAS NATURAL FENOSA, con objeto de promocionar personalmente la oferta comercial de la compañía. Los agentes comerciales, según declara, la identificaron con su nombre y apellidos y dichos datos no figuran ni en su puerta ni en ningún buzón SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones conforme al informe de actuaciones de inspección E/6257/2012 que se transcribe: “ACTUACIONES PREVIAS Con fecha 14 de diciembre de 2012, GAS NATURAL SERVICIOS SDG S.A. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Tal y como se informó a la denunciante mediante escritos de febrero de 2012 y de 10 de abril de 2012, los datos incluidos en el contrato que se le remitió por correo fueron obtenido de datos de puntos de suministro de su empresa distribuidora. 2. De acuerdo con lo establecido en el artículo 43 del Real Decreto 1434/200, diciembre, por el que se regulan las actividades de transporte, comercialización, suministro y procedimientos de autorización de instalación de gas natural, las empresas distribuidoras deben disponer de un sistema de información con los transportistas, comercializadores y consumidores debiendo, además, como soporte a dicho sistema de intercambio de disponer de una base de datos referida a todos los puntos de suministro o sus redes y a las redes de transporte de su zona, permanentemente actualizada, en la que consten al menos los datos relativos al punto de sur figuran detallados en dicho artículo, y que son, entre otros: Ubicación del punto de suministro, nombre y apellidos o denominación social del titular y dirección completa del titular. Asimismo, según dispone el propio apartado 4 de dicho artículo 43: “Las empresas distribuidoras y comercializadoras deberán dotarse de los sistemas informáticos necesarios que permitan la conexión entre sistemas y el intercambio de la información, de manera que se posibilite la consulta de datos de la base de datos referenciada y la recepción y validación informática de solicitudes y comunicaciones con los sujetos relacionados con la contratación. Las empresas distribuidoras deberán garantizar el acceso a las bases de datos de puntos de suministro a través de medios telemáticos. En particular, las empresas distribuidoras deberán contar con los medios necesarios para que cualquier comercializador o la Oficina de Cambio de Suministrador, de acuerdo con la norma reguladora de su funcionamiento, pueda descargar y proceder al tratamiento de los datos referidos a la totalidad de los puntos de suministro conectados a las redes del distribuidor y a las redes de transporte de su zona, así como llevar a cabo una selección detallada de los puntos de suministro respecto a los cuales quiere acceder a sus datos, en función de las diferentes categorías de datos que componen las citadas bases.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 3. De esta forma, todas las empresas comercializadoras y la Oficina del cambio de Suministrador tienen acceso a las citadas bases de datos de puntos de suministro de las empresas distribuidoras, pudiendo descargar dicha base de datos y proceder al tratamiento de los datos contenidos en la misma. 4. Así mismo, en el envío publicitario recibido por la denunciante, se informaba sobre el origen de sus datos (Base de datos de puntos de suministro), mediante una leyenda incluida en el pie de la comunicación. 5. Aportan copia de los escritos remitidos por la compañía a la denunciante en respuesta a sus reclamaciones, y en los que le informan de nuevo del origen de sus datos (base de datos de puntos de suministro) y le indican que debe solicitar la cancelación a su compañía distribuidora de gas. 6. Así mismo con fecha 29 de febrero de 2012, le aportan copia de los datos que figuran en dicha base de datos, entre los que constan: nombre y apellidos, dirección, distribuidora y CUPS). 7. Sin embargo, en los datos que figuran en la citada base de datos relativos al punto de suministro de la denunciante, cuya copia aportan, ya no consta su nombre y apellidos. 8. Respecto al tratamiento que realizan con los datos obtenidos de la citada base de datos manifiestan que la entidad se descarga dicha información periódicamente y procede a destruirla una vez se han llevado a cabo las acciones precisas que originaron su descarga. Por su parte, HIDROCANTABRICO ENERGIA S.A.U (empresa distribuidora de gas del punto de suministro de la denunciante) ha remitido a esta Agencia en su escrito de fecha 18 de enero de 2013, la siguiente información en relación con los hechos denunciados: 1. Aportan copia impresa con los datos relativos a nombre, apellidos, domicilio y dirección de contacto, dirección de correo electrónico: ....@..... y cuenta bancaria de la denunciante que figuran en sus ficheros. 2. Los ficheros en los que han procedido a bloquear los datos de la denunciante, de acuerdo con su solicitud, son los de “Clientes” y “Clientes potenciales”, en fecha 20 de enero de 2012. 3. En ningún momento se ha procedido a solicitar la exclusión de los datos personales de la denunciante de la base de datos de puntos de suministro, pues la única solicitud que la compañía recibió de la interesada, fue la de cancelar los datos obrantes en su ficheros. (Sin embargo, en la información remitida por GAS NATURAL SERVICIOS SDG S.A. a esta Agencia en diciembre de 2012, y que se detalla en este informe, se constata que los datos de nombre y apellidos de la denunciante ya no constan en la base de datos de puntos de suministro). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 (Así mismo, se constata que en las solicitudes de cancelación de sus datos con fines publicitarios remitidas por la denunciante a la compañía con fechas 22 y 23 de diciembre de 2011, solicita “que procedan a cancelar mis datos personales de sus ficheros, y que en lo sucesivo se abstengan de cualquier tipo de tratamiento propio de dichos datos para actividades de carácter publicitario, comercial o de cualquier otra clase, así como de su cesión a terceros”) 4. En relación a la remisión de publicidad de la compañía a la denunciante, mediante correo electrónico de fecha 4 de octubre de 2012, con posterioridad al bloqueo de sus datos, manifiestan que desde el momento del mismo, la compañía procedió a eliminarlos de las bases de datos que le remite periódicamente a la empresa encargada de realizar los envíos publicitarios: GRUPOINTERMARK 96 S.L., con la que tienen suscrito un contrato al efecto de fecha 1 de enero de 2010, del que aportan copia. 5. Sin embargo, fue dicha empresa quien utilizó, por error, una base de datos equivocada para realizar el envío publicitario que recibió la denunciante en el mes de octubre de 2012. A este respecto, aportan copia del escrito remitido a la compañía por parte de GRUPOINTERMARK 96 S.L., en el que ésta reconoce que el envío del Boletín informativo de octubre de 2012 se realizó utilizando, por un error, una base de datos equivocada, en lugar de la denominada “HC_Clientes” se utilizó la denominada “HC_Productos”. 6. Así mismo, aportan un CD que contiene la base de datos remitida a GRUPOINTERMARK 96 S.L, para la realización del envío publicitario de octubre de 2012 y en el que se ha constatado que no figuran los datos de la denunciante.” TERCERO: Con fecha 14/11/2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00071/2013 por presunta infracción del artículo 6.1 de la LOPD. Dicho acuerdo fue notificado a la denunciante y GRUPO INTERMARK 96, S.L. CUARTO: Con fecha 05/06/2012 se recibe en esta Agencia escrito de GRUPO INTERMARK 96, S.L. en el que alega inexistencia de infracción del artículo 6.1 de la LOPD ya que el envío a la denunciante del correo electrónico publicitario fue consecuencia de un error puntual sin mediar culpa o imprudencia al seleccionar para el envío una base de datos que no era la destinada para la campaña publicitaria y en la que los datos de la denunciante habían sido suprimidos HECHOS PROBADOS PRIMERO: En fecha 01/01/2010 HC ENERGÍA e INTERMARK 96, S.L. suscribieron un acuerdo por el cual INTERMARK 96, S.L. realiza trabajos de mailing (publicidad) por cuenta de HC ENERGÍA, para lo cual ésta comunica a INTERMARK 96, S.L. información que se encuentra en determinados de sus ficheros (folios 97-107) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 SEGUNDO: En fecha 20/01/2012 HC ENERGÍA procedió al bloqueo de los datos de la denunciante existentes en sus ficheros “Clientes” y “Clientes potenciales” conforme a la solicitud de ésta de cancelación de datos y utilización de los mismos con fines publicitarios o comerciales (folios 6-7, 13, 92-96) TERCERO: En fecha 13/09/2012 HC ENERGIA encargó a GRUPO INTERMARK 96, S.L. la confección del “Boletín de Novedades” (envío publicitario) para el mes de octubre (folios 127, 144) CUARTO: En fecha 02/10/2012 HC ENERGIA remitió a GRUPO INTERMARK 96, S.L. la base de datos “HC clientes” en la cual no figuraba la denunciante (folios 92-93, 108, 128, 145-151) QUINTO: En fecha 04/10/2012 la denunciante recibió el correo electrónico publicitario conteniendo el “Boletín de Novedades” de HC ENERGIA. GRUPO INTERMARK 96, S.L. utilizó para el envío de dicho correo (por cuenta de HC ENERGIA), la base de datos “HC Productos” en lugar de la base de datos “HC clientes” (folios 55-57, 92-93, 97-98, 128-129) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II La disposición final quincuagésima sexta “cuatro” de la Ley 2/2011, de 4/03, de Economía Sostenible, (LES), BOE 5 marzo 2011, ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
2. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
3. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 La Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. Teniendo en cuenta que en el presente supuesto se cumplen los requisitos recogidos en los apartados
4. a)y
5. b)del citado apartado 6, y que se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de su actividad con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y que no constan beneficios obtenidos como consecuencia de la comisión de la infracción. la denunciada no tiene como objeto social ni como actividad principal el tratamiento de datos, se aplica el procedimiento de apercibimiento. III La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
6. c)y 3,
7. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. IV El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y entre esas excepciones contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la STAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. V De acuerdo con las disposiciones trascritas en el Fundamento de Derecho II de esta propuesta, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, - entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Es un hecho probado que GRUPOINTERMARK, 96, S.L., trató los datos personales de la denunciante al enviarle, el 04/10/2012, un correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 conteniendo información comercial de HC ENERGÍA, utilizando para ello la base de datos “HC Productos” que obraba en su poder, en lugar de la base de datos “HC clientes” en la que no se encontraba incluida la denunciante y que es la que HC ENERGIA le facilitó para la campaña publicitaria VI Corresponde examinar a continuación si la conducta de GRUPOINTERMARK, 96, S.L que estimamos vulnera el artículo 6.1 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3.
8. b)y si, en tal caso, la infracción es Imputable a la operadora mencionada. A) Respecto a la primera de estas cuestiones, constatado que la entidad realizó la acción típica – infracción del principio del consentimiento –, se debe verificar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. En ese sentido la Audiencia Nacional, Sentencia de 17 de octubre de 2007 (Rec. 63/2006), expone que “....el ilícito administrativo previsto en el artículo 44.3.
9. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la Sentencia anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Trasladando las consideraciones precedentes al supuesto que analizamos, se verifica que, en este caso, el elemento subjetivo de la culpabilidad se concreta en la grave falta de diligencia demostrada por GRUPOINTERMARK, 96, S.L al tratar los datos de la denunciante para enviarle un correo electrónico publicitario, por cuenta de HC ENERGIA, utilizando, no el fichero (HC clientes) que ésta le facilitó al efecto y en el que no se encontraba incluida la denunciante, sino el fichero HC Productos, creado para una campaña específica distinta a la objeto de denuncia. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
10. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”, mientras que el artículo 3.
11. g)considera “encargado del tratamiento” a “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. Ha quedado acreditado que GRUPOINTERMARK, 96, S.L. actuaba como encargado de tratamiento por cuenta del responsable del fichero HC ENERGIA, cuando el 04/10/2012 envío a la denunciante un correo electrónico publicitario. Ahora bien también ha quedado acreditado que para dicho envío utilizó un fichero que no era el facilitado a tal efecto por HC ENERGIA y en el que no encontraba incluida la denunciante. En este punto recordar lo establecido en el artículo 12.4 de la LOPD al especificar que “En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” Conforme a lo señalado anteriormente GRUPOINTERMARK, 96, S.L. se configura como responsable del tratamiento sin consentimiento de los datos de la denunciante al incumplir lo estipulado por HC ENERGIA para llevar a efecto la campaña publicitaria en la que se incluye la comunicación publicitaria que recibió la denunciante, en la medida en que utilizó para los envíos un fichero que no era el facilitado por HC ENERGIA, contraviniendo lo estipulado por ésta. Por tanto GRUPOINTERMARK, 96, S.L. en su condición de responsable del fichero es responsable de la infracción del artículo 6.1 de la LOPD. VII El artículo 44.3.
12. b)de la LOPD en su redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible (Disposición final quincuagésimo sexta), tipifica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. GRUPOINTERMARK, 96, S.L. trató los datos personales de la denunciante sin su consentimiento por lo que ha vulnerado el principio del consentimiento previsto en el artículo 6 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.b). De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00071/2013) a GRUPOINTERMARK, 96, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
13. b)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a GRUPOINTERMARK 96 S.L.. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es