E-07232-2017

1/7 Expediente Nº: E/07232/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CRUZ ROJA ESPAÑOLA en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21/11/2017, tuvo entrada en esta Agencia escrito de D./Dña. B.B.B. (en lo sucesivo el denunciante), en el que denuncia a CRUZ ROJA ESPAÑOLA (en lo sucesivo CR), por los siguientes hechos:  Ha recibido dos llamadas comerciales procedentes de la entidad denunciada a pesar de estar la línea telefónica receptora incluida en listas Robinson (la línea es titularidad de su madre, A.A.A.)  Afirma no haber sido cliente de la entidad, y en el pasado solicitó a la entidad no volver a recibir llamadas comerciales.  En total fueron dos llamadas telefónicas, que tuvieron lugar el 21/11/2017, con origen en el número F.F.F. y destino el número G.G.G.: en la primera llamada, efectuada a las 14:38, el denunciante descolgó el teléfono, no así en la segunda (realizada a las 14:40).  La llamada era “con destinatario ciego”, es decir, impersonal, ya que al descolgar el operador preguntó por la identidad de la titular del número, siendo el motivo la difusión de una campaña comercial de Tele-asistencia CR ***LOC.

1.  El denunciante afirma que su línea telefónica no está incluida en Páginas Blancas ni forma parte de ningún listado de acceso público. El denunciante aporta copia de la siguiente documentación:  Certificado del servicio de Lista Robinson expedido por ASOCIACION ESPAÑOLA DE LA ECONOMIA DIGITAL “ADIGITAL” con fecha 23/09/2015 acreditando que el teléfono fijo G.G.G. de el denunciante se encuentra desde 01/09/2015 en el canal de la Lista Robinson para no recibir llamadas.  Factura del operador de telefonía MOVISTAR, emitida el 04/11/2017 cubriendo el periodo de 18/09/2017 a 17/10/2017, a nombre de su madre, y relativa, entre otras, a la línea fija de número G.G.G..  Fotografías de la pantalla del teléfono móvil donde se muestra el número telefónico origen de las llamadas, a saber, F.F.F., y la hora de una de ellas, 14:38 del 21 de Noviembre.  Escrito de CR ***LOC.1 dirigido al correo ***EMAIL.1, con fecha 29/11/2017, en la que acusan recepción de una reclamación interpuesta por el denunciante, y exponen los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 o En el contexto de la realización de una campaña de un servicio de teleasistencia domiciliaria en el ámbito de Castilla y León, han verificado que la entidad que efectúa las llamadas telefónicas para CR contactó el 21 de Noviembre a las 14:38 con el número de teléfono G.G.G. a pesar de encontrarse este número incluido en Listas Robinson. o La entidad les ha informado de que el error se debió a un problema técnico del sistema de marcación automática, consistente en un fallo en el aplicativo de llamadas que no bloqueó correctamente la numeración del denunciante y permitió al sistema informático realizar la llamada. o A raíz del incidente, han dado las instrucciones precisas a la empresa que gestiona la campaña, para que no se vuelva a repetir este hecho, obteniendo la confirmación de la implementación de medidas para evitarlo, entre ellas una doble comprobación de la numeración telefónica antes de efectuar cualquier llamada. o Terminan pidiendo disculpas por los inconvenientes generados por esta situación, ajena a su voluntad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: -La empresa LEAST COST ROUTING TELECOM S.L. (en lo sucesivo LEAST COST) ha remitido la siguiente información pertinente a los efectos de la investigación:  El número F.F.F. ha sido comercializado por la empresa/reseller TECSIBLE S.L. (en lo sucesivo TECSIBLE) siendo el usuario final del número la empresa CELLCOM ESPAÑA 2000 S.L. (en lo sucesivo CELLCOM).  Aportan contrato de tratamiento de carácter personal entre LEAST COST y TECSIBLE. -La empresa CELLCOM ha remitido la siguiente información pertinente a los efectos de la investigación:  Con fecha 21/11/2017 sobre las 14:38 horas realizaron una llamada telefónica mediante un sistema de carga automático de números de teléfono proporcionado por la empresa TECSIBLE, llamado DialApplet. Adjuntan la transcripción del contenido de la llamada, para acreditar que el tele-operador desconoce la identidad del receptor de la misma.  CR ***LOC.1 se puso en contacto con ellos por motivo de la reclamación del denunciante, a raíz de lo cual iniciaron las correspondientes investigaciones. Consultaron a TECSIBLE empresa dueña del aplicativo automático utilizado para las llamadas, DialApplet, sobre la posible causa de la incidencia. Aportan los correos electrónicos que cruzaron con CR ***LOC.1 y TECSIBLE.  TECSIBLE contestó que la causa de la incidencia fue el desbordamiento de la tabla del motor SQL donde se encuentra la tabla de teléfonos de la “lista negra”, causado por la introducción de dos teléfonos con un formato incorrecto, dañándose el índice de la tabla y afectando a varios registros, entre los que se encontraba el identificador de contacto del denunciante. Por este motivo, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 sistema de marcación no encontró el registro en la lista negra antes de realizar la llamada, y siguió adelante con la misma. CELLCOM en su contestación expresa que “TECSIBLE revisa su aplicativo y contesta asumiendo un error de carga en los números, y las mejoras realizadas”.  La empresa encargada de tratamiento de CR es DAN WORLD TELECOM S.L. (en lo sucesivo DAN WORLD), empresa del grupo EOSMK a la que también pertenece CELLCOM. Se aporta el contrato de acceso a datos por cuenta de terceros para la prestación de los servicios de captación de usuarios Teleasistencia entre CRUZ ROJA y DAN WORLD. Sin embargo, se observa lo siguiente: o El objeto del contrato (pág. 2) es “la prestación de los servicios de marketing D2D (“Domicilio a domicilio”, se entiende) consistente en la realización de visitas e instalación a personas físicas tendente a su incorporación como usuarios privados del Servicio de Teleasistencia Domiciliaria de Cruz Roja Española”. Las visitas domiciliarias van dirigidas a personas físicas de entornos rurales o capitales de provincias. El ámbito territorial de la campaña se ajustará a las provincias de la Comunidad Autónoma de Castilla y León”. No se hace mención a captación de futuros usuarios del servicio a través de llamadas telefónicas. o En la pág. 18 se lee que “el Encargado del tratamiento (DAN WORLD) no podrá subcontratar todo o parte de los servicios objeto del contrato sin la autorización de Cruz Roja Española. “. No se incluye evidencia de dicha autorización.  DAN WORLD subcontrata la ejecución material del servicio con CELLCOM perteneciendo ambas al mismo grupo. Aportan el documento del contrato de sub-encargo entre DAN WORLD y CELLCOM, que se encuentra firmado por la misma persona por parte de ambas compañías, E.E.E.. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 III El artículo 6.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), el cual dispone que: ”
2. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
3. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Por otra parte el artículo 30 de la LOPD Tratamientos con fines de publicidad y de prospección comercial, en su apartado 1, establece que: “
4. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. Y el artículo 49 del Reglamento de desarrollo de la LOPD, relativo a Ficheros comunes de exclusión del envío de comunicaciones comerciales, señala que: “
5. Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7
6. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial.
7. La entidad responsable del fichero común podrá tratar los datos de los interesados que hubieran manifestado su negativa u oposición al tratamiento de sus datos con fines de publicidad o prospección comercial, cumpliendo las restantes obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento.
8. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”. IV En el caso examinado el afectado ha manifestado que ha recibido llamadas comerciales de la CR sin que tengamos relación con la citada entidad y a pesar de que la línea asociada al número receptor se halla incluida en la lista de exclusión de llamadas comerciales o publicitarias. De la documentación aportada al expediente y de la actuaciones de investigación realizadas por los servicios de inspección se ha verificado que la línea cuyo titular es la madre del denunciante se encuentra registrada en la lista Robinson, que no es cliente de la citada entidad y que se dirigió a CR motivado por la llamada recibida y la entidad el 29/11/2017 le respondía que todo se había debido a un error en el sistema de marcación automática, habiendo dado instrucciones a la empresa que gestiona la campaña publicitaria para que no se volviera a repetir, lamentando la situación creada y solicitándole disculpas. Se ha constatado que CR llevaba a cabo las campañas de telemarketing a través de la empresa DAN WORLD, quien a su vez había subcontratado con la entidad CELLCOM. Esta última ha admitido la realización de la llamada, si bien la causa de la incidencia fue debida al desbordamiento de la tabla del motor SQL, donde se encontraba la tabla de teléfonos de la lista de exclusión comercial y publicitaria, causado por la introducción de teléfonos en un formato incorrecto; un fallo en el sistema de llamadas que no bloqueo los números de exclusión permitiendo al sistema informático realizar la llamada. Este fallo técnico ha sido certificado por la entidad que tiene el operativo informático. Por tanto, hay que señalar que estamos ante comunicaciones comerciales no solicitadas ya que el denunciante no tenía relación comercial con la entidad y, además, figuraba incluido en la lista de exclusión Robinson lo que conllevaría la concurrencia de una actuación infractora por parte de CR. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Por otra parte, como se ha señalado anteriormente CR al tener noticia de los hechos a través de la reclamación del denunciante, actuó con diligencia dando respuesta al mismo, informándole sobre lo ocurrido y solicitándole disculpas. En el presente caso, los hechos acaecidos implicarían un resultado no perseguido, que fue motivado por un fallo del programa utilizado y por tanto, la comisión de un error. Hemos de tener en cuenta que, como pone de manifiesto la Audiencia Nacional, y en la medida en que no concurre voluntariedad en el acto, que no se ha producido un resultado especialmente lesivo, y que no consta la falta de cuidado en la actuación de la empresa denunciada en sus actividades y funciones, sería contrario a la naturaleza del ámbito sancionador administrativo, sujeto a los principios de intervención mínima y proporcionalidad, imponer una sanción al respecto del hecho acaecido, no merecedor de actuación sancionadora al no concurrir el elemento de la culpabilidad. En este mismo sentido, la Sentencia de la Audiencia Nacional de 14 de diciembre de 2006, recurso nº 1363/2005, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 130.1 de la Ley 30/1.992 de 26 de noviembre , que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho". Por todo ello, teniendo en cuenta que todo se ha debido a una incidencia provocada por un fallo en el sistema de llamadas al no bloquear los números de exclusión y que dicho fallo técnico ha sido certificado por la entidad que tiene el operativo informático, en armonía con el pronunciamiento de la Audiencia Nacional recogido deber acordarse el archivo de las actuaciones de investigación practicadas. Por tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a CRUZ ROJA ESPAÑOLA y B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es