E-01709-2018

1/12 Expediente Nº: E/01709/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante las entidades HUARIS CALL CENTER S.L., IBERIS DATA MEDIA S.L., SOLUCIONES TELEFONICAS AVANZADAS S.L., y T-FORMA S.L., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha Con fecha de 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación en relación a la siguiente información recibida en la Agencia. “Una persona que se ha identificado como que trabajaba para la empresa TForma ofreciendo la implantación de la Protección de Datos para nuestra empresa a coste 0, a través del curso de Delegado de Protección de Datos. Según ella llamaba de parte de la Agencia Española de Protección de Datos con información sobre los ficheros tenemos comunicados, y garantizando que no cumplimos con la Ley de Protección de Datos ni con la formación necesaria. A lo que le he contestado que sin auditar mi empresa ni conocer mi formación, no puede saber si lo cumplimos o no… Al informarle de que se había sacado un comunicado con Fundae y la AGPD sobre la ilegalidad de la implantación a coste 0 me ha colgado. Ha llamado desde el teléfono ***TELEFONO.1 y dice llamarse A.A.A..” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 14 de mayo de 2018, ATIUM COMUNICACIONES S.L.U., operador de la línea de teléfono ***TELEFONO.1, ha informado a esta Agencia de que el titular de la línea es la empresa CC&CC BEMBIBRE, S.L., con domicilio en calle los Barredos s/n, 14318 San Roman de Bembibre, provincia de León. Con fecha 16 de mayo de 2018 se realiza una inspección en la empresa TFORMA CURSOS DE FORMACION S.L., en la que se pone de manifiesto lo siguiente:

1. T-FORMA CURSOS DE FORMACION, S.L. (en adelante T-FORMA) es una empresa que surge en el año 2013, especializada en formación y asesoramiento para empresas y particulares, entre los cursos que imparte se encuentran los relacionados con la legislación vigente en materia de protección de datos. La sociedad cuenta con un total de 8 trabajadores.
2. La sociedad es responsable de un total de once ficheros que contienen datos de carácter personal, inscritos en el Registro General de Protección de Datos.
3. Los datos que se tratan en la Sociedad, corresponden a empresas y a alumnos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 que realizan los cursos impartidos, todos ellos en modalidad on-line, también tienen datos de empresas o autónomos que han solicitado información sobre los servicios que ofertan, o bien que prestan servicio como trabajadores de la entidad. Todos los datos que se tratan son de nivel básico, excepto el que contiene datos de morosos que se ha declarado como de nivel medio.
4. La mayoría de los cursos impartidos pertenecen a la formación de la Fundación Tripartita, de los que la empresa es colaboradora, para lo cual se han homologado y dado de alta como entidad colaboradora y les han dado acceso a la plataforma de la Fundación mediante certificado de firma electrónica.
5. Los servicios de formación on-line se prestan a través de una plataforma informática que contiene los temarios de los cursos y a la que tienen acceso los alumnos mediante usuario y contraseña.
6. La sociedad es titular de la página web www.t-forma.es, a través de la cual ofrece sus servicios y recaba datos de las personas interesadas en ellos, para lo cual pueden facilitar sus datos a través de un formulario existente en la misma.
7. Los datos que se facilitan en los citados formularios: nombre y apellidos, empresa, teléfono y correo electrónico, se reciben en la empresa a través de correo electrónico en los buzones info@t-forma.es y formulariot-forma@tforma.es. Con los datos recibidos del usuario, se da respuesta, bien por teléfono o por correo electrónico.
8. Las direcciones de correo electrónico no se utilizan para el envío de información sobre la empresa, solo se utilizan para la relación con los clientes y alumnos. Aunque las acciones de marketing realizadas por la empresa son a través de llamadas telefónicas, en la información que se facilita en el web se informa sobre la posibilidad de enviar información sobre las actividades de la empresa mediante correos electrónicos.
9. La sociedad publicita sus cursos y servicios además de en su página web, mediante llamadas telefónicas, utilizando los números de teléfono de las personas que lo han facilitado a través de la página web o los números de teléfono que se obtienen de las páginas amarillas de las guías de abonados que contiene datos de empresas.
10. Así mismo, con fecha 1 de julio de 2016, suscribieron un contrato con la empresa SOLUCIONES TELEMATICAS AVANZADAS S.L. (STA) para la realización de acciones de marketing telefónico. En la Inspección se recaba copia del citado contrato y del acuerdo de colaboración, en los que se hace constar que:  La responsable del fichero es SOLUCIONES TELEMATICAS AVANZADAS S.L. y ha contratado a T-FORMA para la prestación de los servicios de asesoramiento sobre las ventajas de los cursos de Formación continuada por el sistema de Bonificación, además de otras líneas para Asesorías que puedan ser de su interés.  El encargado de tratamiento (T-FORMA) tendrá acceso a los ficheros de los que es titular el responsable (SOLUCIONES TELEMATICAS AVANZADAS S.L.). (no se detallan los datos a tratar ni los ficheros que los contienen). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12  T-FORMA se compromete a asesorar a los clientes por medio de consultas telefónicas para informar sobre las ventajas de los cursos de Formación continuada por el sistema de Bonificación y dispondrá de un acceso personalizado para facilitar a los clientes los índices y temarios de las acciones formativas.
11. Del análisis del contrato y ante las preguntas que se formularon en la inspección, el representante de la empresa inspeccionada manifestó que el contrato no era correcto y que remitiría a la Agencia un nuevo contrato.
12. Respecto al número de teléfono ***TELEFONO.1, según confirmaron, es uno de los utilizados por la empresa SOLUCIONES TELEMATICAS AVANZADAS S.L., para publicitar los servicios de T-FORMA.
13. Para la adaptación de la empresa a la nueva normativa de Protección de Datos, la empresa ha suscrito un contrato con INSTITUTO EUROPEO DE NORMALIZACION DE EMPRESAS S.L., ubicado en Valencia, de fecha 25 de mayo de 2016; en el contrato se especifica que el tratamiento consistirá en la prestación de servicios profesionales de consultoría, implantación y mantenimiento.
14. Aunque en el contrato citado en el punto anterior, no se especifican los tratamientos a realizar por la prestadora del servicio ni los ficheros a los que tiene acceso, el representante de INSTITUTO EUROPEO DE NORMALIZACION DE EMPRESAS S.L., presente en la Inspección manifestó que los servicios a los que se refiere el contrato son los de adaptación de la empresa a la LOPD. A este respecto aportó copia del contrato suscrito con LOPD SOLUCIONES PARA EMPRESA S.L. (empresa que le prestaba los citados servicios con anterioridad a T-FORMA CURSOS DE FORMACIÓN S.L.) de fecha 13 de marzo de 2018, en el que se incluye a T-FORMA para la realización de dicha implantación.
15. Así mismo, T-FORMA ha suscrito un contrato de prestación de servicios con la empresa SISMONKEYS 2014, S.L., de fecha 30 de octubre de 2015, para la prestación del servicio de mantenimiento de la herramienta informática “CRM de Telemarketing”, en el contrato, cuya copia han aportado, se especifica que:  SISMONKEYS, S.L. tratará los datos del Responsable del fichero (TFORMA) en los locales de la primera y tendrá la obligación de elaborar un documento de seguridad en los términos exigidos en el artículo 88 del Reglamento de desarrollo de la LOPD o completar el que ya hubiera elaborado, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación con dicho tratamiento.  No obstante, lo indicado en el punto anterior, en el punto 4º del contrato se indica que T-FORMA no delega en SISMONKEYS 2014, la llevanza del documento de seguridad de T-FORMA.  T-FORMA autoriza al prestador del servicio para que, si fuese necesario, subcontrate con la empresa OVH HISPANO S.L. el alquiler de servidores dedicados y/o el almacén de los servicios de hosting web.
16. Para la implantación de la LOPD y todas las obligaciones que conlleva C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 (notificación de ficheros a la Agencia y creación del documento de seguridad), la empresa ha suscrito un contrato de prestación de servicios, de fecha 26 de junio de 2015, con la empresa LOPD SOLUCIONES PARA EMPRESAS S.L. En la inspección han aportado copia del contrato, aunque según manifestaron esta empresa ya no tiene actividad por lo que, como se ha indicado anteriormente, estos servicios se prestan ahora por INSTITUTO EUROPEO DE NORMALIZACION DE EMPRESAS, S.L.
17. Respecto a la información que se facilita a los usuarios de la página web de TFORMA: en la leyenda informativa que se incluye en la página web, en el apartado “AVISO LEGAL”, se informa de que: a. La empresa es la titular de la página. b. Los datos personales que se recaban a través del formulario disponible en la página, serán tratados por la empresa. c. La finalidad del tratamiento es responder las cuestiones planteadas, envío de publicaciones y promociones de productos y/o servicios. d. Se pueden ejercer los derechos ARCO a través de una dirección de correo electrónico: info@t-forma.es o a la dirección de la empresa.
18. Así mismo, se incluye otra leyenda informativa, en el apartado “POLITICA DE PRIVACIDAD”, en la que se informa de que: e. El suministro de datos a través de la página web requiere una edad mínima de 14 años. f. Los datos se tratarán con la finalidad de facilitar la prestación de servicios que la empresa proporciona a través de la web y para enviarle comunicaciones de los servicios y actividades de la empresa, incluso por medios electrónicos si marca la casilla de aceptación. g. En el caso de darse de alta en la bolsa de empleo, el usuario acepta el tratamiento de los datos y la cesión a cualquiera de las entidades asociadas que participan en la Bolsa de Empleo
19. En la inspección se ha recabado copia del documento de seguridad de la empresa, de fecha 6 de enero de 2016, que contiene los apartados previstos en la normativa de protección de datos.
20. En la inspección se ha tenido acceso al correo electrónico, realizando las siguientes comprobaciones: a. Se accede a los buzones de correo electrónico info@t-forma.es y formulariot-forma@t-forma.es. ubicados en el ordenador de Administración, verificando que la mayoría de los mensajes de sus bandejas de entrada son de alumnos relacionados con el acceso a cursos de formación y algunos relacionados con el impago de cursos.
21. En el departamento desde el que se realizan las llamadas comerciales se han realizado las siguientes comprobaciones: a. Se verifica que las dos trabajadoras del departamento (comerciales) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 disponen de una aplicación informática (CRM Marketing) en la que constan los datos de las empresas con las que han contactado o van a contactar para ofrecer sus productos (Cursos de Formación), los datos que figuran son nombre de la empresa, CIF, domicilio y teléfono. b. Los datos de las empresas se obtienen de las páginas amarillas de abonados a servicios de telefonía. Según manifiestan desde Administración les facilitan un fichero que contiene dichos datos y que se incluyen en el CRM para contactar con ellos. c. Se obtiene copia parcial del fichero citado en el punto anterior, comprobando que contiene los datos de: nombre de la empresa, CIF, número de empleados, Actividad y número de teléfono. Según manifiestan los datos del CIF y resto de detalles de la empresa, se completan en las llamadas telefónicas que realizan o en algunos casos ya disponen de dichos datos por contactos anteriores.
22. En el caso de que la empresa esté interesada en algún curso de los que se ofertan, se da traslado de los datos a Administración y se imprime el contrato o contratos a suscribir. Se firma un contrato por cada uno de los alumnos que va a realizar el curso. El contrato incluye un apartado de “Política de Privacidad” en la que se informa de que: “En T-Forma Cursos de Formación S.L., tratamos la información que tú nos facilites conforme a lo expuesto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. Con los datos personales de esta ficha, la empresa agrupada consiente y acepta expresa e inequívocamente que sus datos sean incorporados a una base de datos titularidad de T-Forma Cursos de Formación S.L., a efectos de que la Entidad Organizadora pueda eventualmente ponerse en contacto con la empresa agrupada ahora o en el futuro asegurando que dicha información no será cedida a terceros”. De conformidad con la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de carácter personal T-Forma Cursos de Formación S.L. te informa de tus derechos de acceso, rectificación, cancelación y oposición dirigiéndote a (domicilio de la empresa) o al correo electrónico info@t-forma.es.
23. En la inspección se tiene acceso a la plataforma informática en la que se tratan los datos de las empresas y de los alumnos que realizan los cursos de formación, verificando que la aplicación se denomina (CRM Formación), realizando las siguientes comprobaciones: h. Se accede con un usuario y contraseña del Departamento de Administración. i. La aplicación permite gestionar los contratos de los clientes y se dispone de todos los datos de las empresas y los alumnos. Según manifiestan, cuando se firma el contrato se dan de alta los datos en la aplicación, la cual genera automáticamente el usuario y la contraseña del alumno que se le comunica mediante correo electrónico. Según manifiestan la empresa no conserva las contraseñas de los alumnos, en el caso de que el alumno la solicite, tienen que generar una nueva que se le envía por el mismo procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12
24. Por otra parte, sea comprobado que en la oficina donde se realiza la inspección hay dos armarios metálicos cerrados con llave, donde se guardan los contratos y el resto de documentación en papel de los clientes y también la existencia en el local, de una trituradora de documentos.
25. Así mismo, se verifica que en el establecimiento no ha sido instalado un sistema de video-vigilancia. Con fecha 8 de junio de 2018, se realiza una inspección en la empresa SOLUCIONES TELEFONICAS AVANZADAS, S.L. (en adelante STA), en la que se pone de manifiesto lo siguiente: 1 Respecto al contrato y acuerdo de colaboración suscritos con T-FORMA, los documentos que muestran en la inspección coinciden con los aportados por TForma. 2 Los servicios que prestan a T-Forma consisten en la realización de llamadas telefónicas para captación de clientes, siempre empresas, que estén interesadas en los cursos de formación para sus trabajadores, que imparte TForma. Entre los cursos de formación que ofrecen hay cursos sobre normativa y adecuación de las empresas en materia de protección de datos. 3 STA, a su vez, tiene suscrito un contrato con la empresa HUARIS CALL CENTER S.L. (en adelante HUARIS), con domicilio en San Roman de Benbibre (León), que les proporciona el software necesario desde el que se realizan las llamadas y también dispone de los números de teléfono de las empresas a las que STA ofrece los cursos de T-FORMA. El procedimiento es que las llamadas se realizan automáticamente desde HUARIS y cuando algún receptor atiende la llamada se pasa a un agente de STA que ofrece la información sobre los cursos de formación. 4 En el caso de que la empresa esté interesada en contratar la formación que se ofrece, el agente de STA cumplimenta un formulario con los datos que proporciona la empresa y el formulario se envía al CRM (base de datos de clientes) de T-FORMA a la que STA tiene acceso para desarrollar los servicios que le presta. En la inspección, se ha recabado copia del contrato suscrito con HUARIS, de fecha 1 de septiembre de 2016 y la actualización del mismo, de fecha 1 de abril de 2018, de acuerdo con la nueva normativa de protección de datos. 5 Según manifestaron, el origen de la información de empresas (números de teléfono) utilizada para la realización de las llamadas, se obtiene por parte de HUARIS a varios proveedores de bases de datos, entre ellos IBERISDATA. 6 Todas las llamadas atendidas por los agentes de STA se graban y las grabaciones se conservan con objeto de acreditar la contratación y el consentimiento prestado por la empresa. Así mismo, por parte de administración de STA se realizan controles de calidad sobre las grabaciones. 7 En la inspección se ha recabado copia del “argumentario” que se utiliza por los agentes en las llamadas telefónicas, no constando en el mismo ninguna referencia a la Agencia Española de Protección de Datos. 8 Así mismo, según manifiestan los responsables de la empresa, con respecto a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 la información facilitada por los Agentes en las conversaciones que mantienen con las empresas, no tienen constancia de que se haga ninguna referencia a la Agencia Española de Protección de Datos y en ningún caso han dado instrucciones a los Agentes de utilizar el nombre de la Agencia. Las dos empresas inspeccionadas han remitido a la Agencia en fechas posteriores, copias de los contratos suscritos entre ambas y todos ellos coinciden con los aportados en las Inspecciones. STA consta responsable del fichero y T-FORMA es la encargada del tratamiento. Con fecha 3 de julio de 2018, HUARIS CALL CENTER S.L. (en adelante HUARIS), ha remitido a esta Agencia la siguiente información: 1 La actividad de la empresa es la prospección comercial y marketing mediante la realización de llamadas telefónicas a posibles clientes. 2 La empresa dispone de ficheros propios ubicados en su plataforma de gestión relativos a sus clientes, proveedores y personas de contacto. 3 Los datos de los números de teléfono a los que se realizan llamadas comerciales, se obtienen de bases de datos que adquieren a la empresa IBERISDATA MARKETING S.L. 4 Aportan copia parcial de uno de los ficheros recibidos de IBERISDATA denominado IGM_111219_entrega_hosteleria, que contiene datos de empresas del sector de Hosteleria, con la denominación social, el domicilio y el número de teléfono. 5 Según manifiestan, la empresa ha establecido un procedimiento, en el que se establece el filtrado de los datos que forman parte de la “Lista Robinson”, se trata de un segundo filtro, dado que el primer filtro lo realiza IBERISDATA. Aportan copia impresa de las pantallas correspondientes a este procedimiento. 6 En el contrato suscrito con IBERISDATA se especifican como origen de los datos que comercializa: a. Fuentes de acceso público. b. Listado de usuarios de la Comisión Nacional de los Mercados. c. Personas que han prestado su consentimiento expreso a través de descargas de APP en sus dispositivos móviles o a través de participación en concursos/sorteos o inscripciones en promociones a través de formularios. Con fecha 14 de agosto de 2018, IBERIS DATA MEDIA, S.L., ha remitido a esta Agencia la siguiente información: 1 Se trata de una empresa especializada en la obtención de bases de datos cualificadas para sus clientes. 2 El origen de los datos que se incluyen en sus bases de datos, tal y como se especifica en el contrato suscrito con HUARIS, tienen tres posibles procedencias, según se hace constar en el contrato suscrito entre ambas entidades, del que aportan copia: a. Datos procedentes de fuentes de acceso público (Boletín Oficial del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Estado, Registros Mercantiles, Directorios de internet como Páginas Blancas). b. Datos procedentes del listado de usuarios de la Comisión Nacional de los Mercados y la Competencia, de los distintos operadores telefónicos, que hayan consentido en el tratamiento de sus datos para fines comerciales/publicidad. c. Datos de personas que voluntariamente han consentido expresamente el uso de sus datos a través de descargas de APP´s en sus terminales móviles, o a través de su participación en concursos/sorteos, o inscripciones en promociones mediante formularios. Estos registros han sido cedidos por una tercera entidad en sistema de explotación conjunta. Respecto a esta tercera entidad, la empresa dispone por escrito, a través de contrato, que garantiza el cumplimento de la LOPD y la LSSI, que los datos han sido obtenidos de los interesados y han consentido la cesión de sus datos a terceras empresas con el fin de recibir promociones comerciales. d. En particular, los datos facilitados a HUARIS corresponden a personas jurídicas y proceden de fuentes públicas como “Páginas Amarillas”, Infocid, Infoempresa, QDQ, Infobel etc… e. Por tanto, dichos datos se han obtenido de listados de acceso público y de una base de datos cedida por una tercera entidad: BELEADER INTERNET MARKETING, con la que han suscrito el correspondiente contrato, del que aportan copia y donde se especifica que los datos han sido obtenidos de los propios interesados y que han consentido la cesión de sus datos a terceras empresas con la finalidad de recibir promociones comerciales y que se hace un filtrado de los mismo con la “Lista Robinson”. f. Así mismo, la empresa realiza filtraciones de todas las bases de datos obtenidas con la “Lista Robinson con la finalidad de excluir a los destinatarios que se hayan opuesto al tratamiento de sus datos con fines comerciales. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD); y de conformidad con lo establecido en el artículo 84.3) de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGT), la competencia para resolver el presente Procedimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Las presentes actuaciones previas de investigación se iniciaron de oficio al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 recibir la Agencia Española de Protección de Datos una información que indicaba que T-Forma había llamado a una persona (parece que representante de una empresa) para ofrecerle la adecuación a la nueva normativa de protección de datos a coste 0, e indicar que estaba llamando de parte de esta Agencia. La Ley 9/2014, de 9 de mayo, dedica el Capítulo V del Título III a los “Derechos de los usuarios finales” y les otorga, entre otros, el derecho a oponerse a las llamadas no deseadas con fines publicitarios o comerciales. Así, el artículo 48 de la LGT, bajo la rúbrica “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas”, dispone, en su apartado 1.b): “
26. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos: (…) b) A oponerse a recibir llamadas no deseadas con fines de comunicación comercial que se efectúen mediante sistemas distintos de los establecidos en la letra anterior y a ser informado de este derecho.” (El subrayado es de la Agencia Española de Protección de Datos) La normativa de protección de datos contempla dos vías para que los particulares puedan oponerse al tratamiento de sus datos con fines publicitarios: a) dirigiendo una solicitud a la persona física o jurídica que utiliza los datos con fines publicitarios, o b) registrando los datos que no se desea que sean utilizados con tal finalidad en un fichero de exclusión publicitaria. La primera de las modalidades se contempla en el artículo 30.4 de LOPD que dispone: “los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. En cuanto a la segunda modalidad, el artículo 49 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) prevé la creación de ficheros comunes de exclusión publicitaria de carácter general o sectorial en los que se podrán registrar las personas que no deseen recibir comunicaciones comerciales, precepto que dispone: “Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado”. El efecto jurídico que deriva de que el afectado incluya sus datos en un fichero de exclusión publicitaria lo recoge el apartado 4 del artículo 49 conforme al cual “Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento” A día de hoy solo existe un fichero común de exclusión publicitaria creado al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 amparo del artículo 49.1 del RLPOD: el Fichero “Servicio de Listas Robinson” de ADIGITAL. El Reglamento interno de funcionamiento de este fichero precisa que la inclusión en el mismo evita la publicidad de las entidades con las que el afectado no mantenga o haya mantenido ningún tipo de relación y advierte que el registro en el “Servicio Lista Robinson” será efectiva en el plazo de tres meses desde el día siguiente a la inscripción. III En las actuaciones previas de investigación realizadas se ha podido constatar que los datos de las personas a las que se llama por teléfono para ofertar sus cursos provienen de solicitudes previas o de fuentes de acceso público. Asimismo, en el argumentario que utilizan los agentes en las llamadas telefónicas no hacen ninguna referencia a la Agencia Española de Protección de Datos ni han recibido indicaciones en este sentido. También se ha verificado que tienen establecido un procedimiento para filtrar los datos que forman parte de la Lista Robinson. Al no tener los datos del destinatario de la llamada que comunicó que le habían llamado desde T-Forma de parte de esta Agencia, la información obtenida con motivo de las actuaciones de investigación reseñadas no ha permitido obtener la concreta grabación efectuada, si el destinatario estaba incluido en Lista Robinson, si el teléfono estaba en fuentes de acceso público y establecer una posible vinculación del operador denunciado con las llamadas telefónicas comerciales no deseadas objeto de denuncia. La consideración anterior ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En esta misma línea el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…) b) A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En atención a lo expuesto, habida cuenta de que no existen elementos probatorios o indicios razonables que permitan determinar la responsabilidad de TFORMA en la realización de las llamadas publicitarias no deseadas efectuadas desde la línea estudiada, procede acordar el archivo de las actuaciones de investigación practicadas. IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” No obstante, la Agencia Española de Protección de Datos, ante la posibilidad de que los hechos denunciados pudiesen afectar a las competencias de otros organismos, procede al traslado de esta Resolución a los mismos para su conocimiento y a los efectos oportunos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a HUARIS CALL CENTER S.L., IBERIS DATA MEDIA S.L., SOLUCIONES TELEFONICAS AVANZADAS S.L., y TFORMA S.L.  COMUNICAR a los efectos oportunos la Resolución al Organismo Estatal Inspección de Trabajo y Seguridad Social; al Servicio Público de Empleo Estatal; a la Fundación Estatal para la Formación en el Empleo; a la Agencia Estatal de Administración Tributaria; y a la Comisión Nacional de los Mercados y de la Competencia. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es