1/9 Expediente Nº: E/07140/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad GESACTINEX SERVICIOS, S.L.U., y en consideración a los siguientes HECHOS PRIMERO: Con fecha 25/11/2013 el Director de la Agencia Española de Protección de Datos (AEPD) dictó resolución de archivo en el marco del E/07314/2012 fundada en la caducidad de las actuaciones previas de inspección -de conformidad con lo prevenido en el artículo 122.4 del Real Decreto 1720/2007, por el que se aprueba el desarrollo de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (RLOPD)- y, al tiempo, toda vez que no habían prescrito las presuntas infracciones sobre las que versaban las denuncias, acordó la apertura de un nuevo expediente de investigación, el E/7140/2013, con el propósito de analizar si las entidades GESACTINEX SERVICIOS, S.L.U., y MAIL MARKETING SERVICIOS INFORMÁTICOS, S.L., habían vulnerado la normativa de protección de datos. El E/07314/2012, precedente del actual expediente de actuaciones de investigación, tuvo su razón de ser en las numerosas denuncias recibidas en la AEPD durante esos años sobre el envío de comunicaciones comerciales no solicitadas en las que el remitente era MAIL MARKETING SERVICIOS INFORMÁTICOS, SL.,(en lo sucesivo, M.M.S.I. o la denunciada) y el producto ofrecido diferentes bases de datos de direcciones electrónicas comercializadas por GESACTINEX SERVICIOS, S.L.U. (en lo sucesivo GESACTINEX o la denunciada) SEGUNDO: La Subdirección General de Inspección de Datos, en cumplimiento de lo ordenado por el Director de la AEPD en su resolución de 25/11/2013 dictada en el E/07314/2012, practicó las actuaciones de investigación encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Durante los últimos años, en esta Agencia se han recibido numerosas denuncias por el envío de comunicaciones comerciales no solicitadas en las que el remitente era MAIL MARKETING SERVICIOS INFORMATICOS S.L., en adelante MMSI, y el producto ofrecido diferentes bases de datos de correos electrónicos comercializadas por GESACTINEX SERVICIOS SL, en adelante GESACTINEX. El 27 de noviembre de 2012 el Director ordenó la apertura de las actuaciones previas de investigación en relación con la venta de bases de datos que contenían entre otros datos direcciones de correo electrónico, con el fin de “determinar qué información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 facilitan a los compradores sobre la legalidad de las bases de datos, la licitud de su utilización conforme a la LSSI y LOPD y la posible vulneración por parte de estas empresas de las citadas normas”. La venta de bases de datos realizada por GESACTINEX a través de MMSI fue una de las actividades investigadas en el expediente identificado con el código E/07314/2012 en la que también se incluyó la denuncia de hechos similares presentada por el Grupo de Delitos Telemáticos de la Guardia Civil. Las actuaciones previas del expediente E/07314/2012 no incluyeron el análisis de los datos contenidos en el fichero del que se obtenían las distintas bases de datos comercializadas por GESACTINEX. Durante la tramitación de dicho expediente se pudieron constatar los siguientes hechos: 1. El 20 de febrero de 2013 se remitió una solicitud de información a MMSI dirigido a la domicilio proporcionado por su administrador durante las actuaciones previas del expediente E/07165/2012, que fue recogida el 1 de abril de 2013. 2. El 25 de marzo de 2013 se remitió una solicitud de información a GESACTINEX dirigido al domicilio que figura en el directorio “Páginas Amarillas” que es carretera 9, Ladrillar (Cáceres), que fue recibido el 1 de abril de 2013. 3. Al no obtener respuesta el subinspector actuante procedió a contactar telefónicamente con ambas sociedades. a. Quien se identificó como A.A.A. (administradora de GESACTINEX) manifestó que habían trasladado su domicilio a Almería y que no tenía conocimiento de la solicitud, confirmó que la dirección ...@.... era correcta y utilizada de forma habitual y solicitó que se contactase con B.B.B. (administrador de MMSI) para aclarar lo ocurrido. b. Quien se identificó como B.B.B. (administrador de MMSI) manifestó que A.A.A. es su esposa y en ese momento residen en el municipio de Vera (Almería). 4. Se remitieron copia de las solicitudes de información a las direcciones de correo electrónico facilitadas por los administradores las sociedades quien confirma su recepción. 5. Se acordó con el administrador de MMSI la celebración de una entrevista en la sede de la Agencia a la que este no acudió y a pesar de reiterar la necesidad de una respuesta telefónicamente y por correo electrónica, nunca se recibió comunicación alguna en respuesta a las solicitudes remitidas. El 25 de noviembre de 2013 el Director de la Agencia firmó la resolución de archivo de las actuaciones del E/07314/2012 en la que se acordaba la apertura de nuevas actuaciones de las que este expediente forma parte. ACTUACIONES PREVIAS 1. El 25 de marzo de 2014 se remitió una primera solicitud de información a GESACTINEX dirigida a la dirección que aparece en el punto 2 de los antecedentes y en la que recogieron un escrito el 1 de abril de 2013. El escrito fue devuelto al ser el destinatario desconocido en el domicilio. 2. El 22 de abril de 2014 se remitió una nueva solicitud de información a GESACTINEX C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 a la dirección de Vera (Almería) que aparece como dirección de instalación del teléfono de MSMSI. Al estar ausente en el reparto el destinatario el servicio de correos dejó aviso en el buzón pero la notificación no fue recogida. 3. El 22 de mayo de 2014 se remitió una nueva solicitud de información a GESACTINEX a la dirección de Vera (Almería). El escrito consta como recibido por la administradora de GESACTINEX el 3 de junio de 2014. A pesar de que en el escrito se informaba de que no proporcionar la información requerida por esta agencia puede ser constitutivo de infracción, no se obtuvo respuesta alguna. 4. El 1 de agosto de 2014 se remitió una nueva solicitud de información a GESACTINEX a la dirección de Vera (Almería). Al estar ausente en el reparto el destinatario el servicio de correos dejó aviso en el buzón pero la notificación no fue recogida. 5. El 22 de agosto de 2014 se remitió una última copia de la solicitud de información a GESACTINEX a la dirección que consta en el registro mercantil como domicilio social en el municipio de Coria, Cáceres. Consta la recepción del escrito el 29 de agosto de 2014 pero a la fecha del presente informe no se ha obtenido respuesta alguna. 6. El 7 de octubre de 2014 se realizó una visita de inspección a la dirección de Vera (Almería) en la que GESACTINEX había recogido la notificación citada en el punto 3. Durante la inspección se pusieron de manifiesto los siguientes hechos: 6.1. Durante la inspección el administrador de MMSI informó a los inspectores actuantes de que la sociedad SERVICIOS VARIOS 8020 SL, de la que también es administrador, adquirió el 4 de agosto de 2014 la sociedad GESACTINEX pero que ello no constaba en el registro mercantil debido a que dicho hecho estaba pendiente de inscripción. Como prueba de lo manifestado aporta copia simple de una “Escritura de cese de administrador y nombramiento de administrador, compraventa de participaciones sociales y declaración de cambio de socio único en sociedad unipersonal”. 6.2. El administrador de MMSI realizó además las siguientes manifestaciones: GESACTINEX tenía entre sus actividades la venta de base de datos que se elaboraban en base a la provincia y código de actividad de las empresas incluidas en dichas bases de datos. Los ficheros se elaboraban en base a la demanda que de ellos hacían los clientes utilizando un programa informático que extraía los datos de las páginas amarillas. La entidad no almacenaba ni almacena copia de dichos ficheros excepto en la cuenta de correo utilizada para remitirlos. Junto con los ficheros adquiridos se emitía una factura en la que se indicaba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 que los datos habían sido obtenidos de Internet. La factura no contenía términos o condiciones de uso del fichero, siendo responsabilidad del cliente el uso que de los datos hiciera. La actividad de venta de base de datos cesó en agosto de 2014 y se va a proceder a la liquidación de la sociedad. La infraestructura tecnológica de la empresa se limitaba a un ordenador portátil que dejó de funcionar aproximadamente en agosto por lo que la sociedad ya no dispone de equipos informáticos. 6.3. Al finalizar la inspección se concedió un plazo de cinco días hábiles para que el inspeccionado remitiese “copia de uno de los ficheros emitidos a uno de clientes y de una factura emitida por GESACTINEX en relación con la venta de esa de las bases de datos.” A fecha del presente informe no se ha recibido respuesta a dicho requerimiento.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 6, bajo la rúbrica “Consentimiento del afectado”, consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley; o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 El precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
- h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 3.
- j)de la LOPD ofrece un concepto legal de las “fuentes de acceso público” que define como “aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación.” Y, seguidamente, hace una enumeración cerrada de los ficheros que tienen la consideración de fuente de acceso público entre los que incluye a “los repertorios telefónicos en los términos previstos por su normativa específica.” De acuerdo con estas disposiciones el tratamiento de los datos personales de un tercero exige contar con su consentimiento inequívoco del que se dispensa al responsable del fichero -entre otros supuestos previstos en la LOPD- cuando los datos tratados proceden de una fuente accesible al público y el tratamiento es necesario para satisfacer un interés legítimo del responsable del fichero siempre que no se vulneren con ello los derechos y libertades fundamentales del interesado. La LOPD tipifica la vulneración del principio del consentimiento (artículo 6) como infracción grave en su artículo 44.3.b). III Debemos comenzar indicando que, si bien el Director de la AEPD acordó en la resolución recaída en el E/07314/2012 la apertura de nuevas investigaciones en el marco del expediente que nos ocupa relativas a la actuación de MMSI y GESACTINEX, la Inspección de la AEPD comprobó con ocasión de las actuaciones efectuadas en otro expediente (E/7165/2012) que en fecha 21/03/2013 no constaba inscrita en el Registro Mercantil Central ninguna sociedad con el nombre de “Mail Marketing Sistemas Informáticos, S.L.” Por tal razón entendemos que las referencias al “administrador de MMSI” que recoge el Informe de Actuaciones de Inspección deben considerarse hechas a la persona física B.B.B. –quien se hace pasar por administrador de MMSI-. Por idénticas razones MMSI no fue objeto de investigación por la Inspección de Datos centrándose las actuaciones realizadas en la sociedad GESACTINEX y en la persona de B.B.B.. A tal efecto cabe recordar que el Real Decreto Legislativo 1/2010, de 2 de julio, por el que se aprueba el Texto Refundido de la Ley de Sociedades de Capital, dispone en su artículo 33, “Efectos de la inscripción”, que “Con la inscripción la sociedad adquirirá la personalidad jurídica que corresponda al tipo social elegido” . A lo que hay C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 que añadir que en su artículo 32.1 establece que “1. Los socios fundadores y los administradores deberán presentar a inscripción en el Registro Mercantil la escritura de constitución en el plazo de dos meses desde la fecha del otorgamiento y responderán solidariamente de los daños y perjuicios que causaren por el incumplimiento de esta obligación.” Los motivos que aconsejaron la apertura del expediente de investigación que nos ocupa fueron, en esencia, analizar si el tratamiento de los datos (las direcciones electrónicas) incluidos en las bases de datos que GESACTINEX comercializaba a través de MMSI era respetuoso con la LOPD y normas reglamentarias de desarrollo. La Inspección de Datos logró contactar con B.B.B. quien facilitó una copia de la Escritura Pública Notarial otorgada ante el Notario de Vera el 04/08/2014, de “cese de administrador y nombramiento de administrador, compraventa de participaciones sociales y declaración de cambio de socio único en sociedad unipersonal”. De la citada Escritura Notarial resulta que D.ª A.A.A., residente en España y de nacionalidad rusa, era la dueña de la totalidad de las participaciones sociales de la entidad GESACTINEX. La Escritura Pública recoge la venta a la sociedad SERVICIOS VARIOS 8020, SOCIEDAD LIMITADA (cuyo administrador único es B.B.B.) de la totalidad de las participaciones sociales de GESACTINEX, quedando como socio único SERVICIOS VARIOS 8020, SOCIEDAD LIMITADA (en adelante SERVICIOS VARIOS). Asimismo en la Escritura se acuerda el cese del último Administrador de SERVICIOS VARIOS con cargo inscrito, A.A.A., y el nombramiento como nuevo administrador de la sociedad adquirente, SERVICIOS VARIOS, de B.B.B.. No obstante, debe advertirse que no se facilitó a los inspectores actuantes documentación que acreditara la inscripción en el Registro Mercantil de los acuerdos sociales adoptados, inscripción que exige el artículo 215 del Real Decreto Legislativo 1/2010, por el que se aprueba el Texto Refundido de la Ley de Sociedades de Capital. Por lo que respecta a la actividad desarrollada por GESACTINEX, B.B.B. –quien a tenor de la Escritura Pública citada es el administrador único de SERVICIOS VARIOS, socio único de GESACTINEX- informó a los inspectores que entre las actividades que desarrollaba esta sociedad figuraba la venta de bases de datos de empresas y que estas bases de datos se elaboraban tomando como criterio la provincia y el código de actividad de la empresa. Respecto a la elaboración de los ficheros objeto de la venta y sobre el origen de los datos tratados manifestó que se extraían de las Páginas Amarillas utilizando un programa informático y añadió que al adquirente de la base de datos se le remitía, junto con los ficheros, una factura en la que se informaba de que los datos habían sido obtenidos de Internet. Las manifestaciones efectuadas por B.B.B. en relación a la actividad de GESACTINEX y al origen de los datos que se incluían en los ficheros que comercializaban no pudieron ser verificadas por la Inspección de la AEPD. Como se recoge en el Acta de la Inspección efectuada el 07/10/2014, en esa fecha había desaparecido la estructura tecnológica de la empresa cuyo examen habría permitido a la Inspección de Datos hacer las oportunas comprobaciones. Se añade a lo anterior que B.B.B. comunicó a los Inspectores de la AEPD que los ficheros que GESACTINEX comercializaba se elaboraban en función de la demanda que hacían los clientes, sin que en ningún caso hubieran llegado a almacenar copia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 éstos y que esa actividad de la sociedad GESACTINEX había cesado meses antes –en agosto de 2014- por lo que en la actualidad había desaparecido la infraestructura tecnológica. Así las cosas, partiendo de la premisa de que, conforme a lo declarado por B.B.B., los datos incluidos en los ficheros objeto de comercialización procedían de la guía Páginas Amarillas, es posible que el tratamiento de datos que GESACTINEX realizó en el desarrollo de su actividad no exigiera recabar el consentimiento de sus titulares, por lo que aquella actividad podría haber sido respetuosa con la normativa de protección de datos y, en particular, con el principio de consentimiento, artículo 6.1 de la LOPD. Como se deduce de los preceptos trascritos en el Fundamento precedente el artículo 6.2 de la LOPD dispensa de la obligación de recabar el consentimiento “cuando los datos figuren en fuentes accesibles al público”. Y en la relación cerrada de fuentes accesibles al público que hace el artículo 3.
- j)de la LOPD se incluyen “los repertorios telefónicos en los términos previstos por su normativa específica”. En definitiva, por una parte, las explicaciones ofrecidas por B.B.B. sobre la actividad desarrollada por la denunciada son, al menos aparentemente, ajustadas a la LOPD y, por otra, la Inspección de Datos de la AEPD no ha podido obtener pruebas relativas a la actividad de GESACTINEX -como una copia de los ficheros que comercializaba- que permitieran determinar si su actividad vulneraba o no la normativa de protección de datos, pues como se pone de manifiesto en el Acta de la Inspección realizada el 07/10/2014 había desaparecido la estructura tecnológica de la citada empresa. Llegados a este punto debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26/10/1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En consecuencia, toda vez que en relación con los hechos objeto de la investigación no se han obtenido pruebas que acrediten que la actuación de GESACTINEX y/o de B.B.B. vulneraron la LOPD y normas reglamentarias de desarrollo, al amparo del principio de presunción de inocencia que impide impide imputar una infracción administrativa cuando no se haya obtenido una prueba de cargo que acredite los hechos que motivan la imputación, procede acordar el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a GESACTINEX SERVICIOS, S.L.U., y a B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es