← España

PS-00008-2015

1/25 Procedimiento Nº PS/00008/2015 RESOLUCIÓN: R/01930/2015 En el procedimiento sancionador PS/00008/2015, instruido por la Agencia Española de Protección de Datos a las entidades TELEFÓNICA MÓVILES ESPAÑA S.A.U y AFFINION INTERNATIONAL S.L., vista la denuncia presentada por Dña. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 04/02/2014 tiene entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que declara que TELEFÓNICA MÓVILES ESPAÑA S.A.U. (en lo sucesivo TME) ha cedido sus datos a AFFINION INTERNATIONAL S.L., (en lo sucesivo AFFINION) y esta segunda entidad le ha dado de alta un producto denominado “Disfruta y Ahorra”, utilizando su número de cuenta para realizarle un cargo SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades AFFINION y TME, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección E/01019/2014 que se transcribe: “ACTUACIONES PREVIAS Procedimiento seguido por Telefónica Móviles España para ofrecer a sus clientes productos y servicios de Affinion Internacional 1. Con fecha 2 de enero de 2013 de 2013 se suscribió un contrato con Affinion al objeto de ofrecer a sus clientes los productos y servicio de esta entidad, uno de estos servicios era “disfruta y ahorra”. La campaña comercial la realizó Movistar, realizando previamente una selección sobre sus ficheros de aquellos clientes que cumplieran con los siguientes requisitos:  No hubieran manifestado su oposición a recibir llamadas de telemarketing.  No hubieran manifestado su oposición al tratamiento de sus datos de tráfico con la finalidad de recibir promociones comerciales. En relación a la exclusión de clientes que se encuentran dados de alta en la lista Robinson de la FECEMD los representantes de Movistar indican que la operativa que existe para la descarga de los ficheros de personas que utilizan Lista Robinson para solicitar la oposición al tratamiento de datos para envío de publicidad es la siguiente:  El fichero de ADigital (antiguo FECEMD) se solicita al organismo de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 mensual y al inicio de cada mes. Una vez descargado, se usa para que la numeración que el usuario no cliente indique, no se utilice para campañas de captación.  Todos interesados que ya son clientes de la entidad y que se dan de alta en el listado Robinson son excluidos de las campañas comerciales dando cumplimiento a su petición.  Si un interesado se dio de alta en Lista Robinson antes de ser cliente Movistar, su petición no opera cuando pasa a ser cliente, ya que el consentimiento para el tratamiento de datos solicitado en la contratación, anula su deseo anterior de no ser contactado. … Según indican los representantes de la entidad, cuando la contratación es telefónica el operador lee el siguiente texto "TELEFONICA MOVILES ESPAÑA le informa de que sus datos personales serán incorporados en un fichero del que es responsable para prestar el servicio contratado. Puede ejercitar sus derechos de protección de datos, mediante escrito a Telefónica Móviles España. Referencia Datos. Apartado de correos 56. 48080 Bilbao." Finalizada la venta, se informa al cliente de que recibirá en su domicilio una carta de bienvenida, con la siguiente información: “En el link www.movistar.es/contratos se pueden consultar las condiciones que se adjuntan en el anexo.” El cliente puede acceder por internet a las cláusulas de protección de datos detalladas anteriormente. 2. Para realizar la campaña comercial que ofertaba productos de Affinion se utilizaron tres Call Center con los que se suscribieron acuerdos de confidencialidad, actuando éstos como encargados del tratamiento de los datos personales de los clientes por cuenta de Movistar. Las entidades seleccionadas fueron Atento, Transcom World Wide y Extell Contact Center. Movistar entregó a cada Call Center una base de datos en la que figuraba la siguiente información de cada cliente:  Nombre y apellidos,  Teléfono móvil de contacto,  NIF  Cuenta Corriente,  Dirección Postal. Además debían utilizar un argumentario acordado con Affinion para ofrecer el producto “disfruta y ahorra” a los potenciales clientes de esta entidad y recabar el consentimiento para la contratación. Si en cliente estaba interesado, solicitaban además el consentimiento para la cesión de sus datos a Affinion con el objeto de completar la contratación. Una vez que el cliente consiente la cesión de los datos, finaliza la prestación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 servicio de telemarketing contratada por Movistar. 3. Affinion por su lado también suscribe un contrato de prestación de servicios con cada uno de los Call Center contratado por Movistar. De este modo, cuando el cliente del Movistar acepta la cesión de datos a Affinion, el Call Center que realiza la llamada verifica deja de actuar como encargado del tratamiento por cuenta de Movistar y pasa a actuar como encargado del tratamiento por cuenta de Affinion, verificando los datos cedidos con el cliente para formalizar la venta. El personal del Call Center graba los datos de cada nueva contratación en los ficheros de Affinion. 4. Sobre el sistema de información se ha verificado que A.A.A., NIF ***NIF.1 ha ejercitado el derecho de oposición tratamiento de sus datos con la finalidad de evitar la recepción de llamadas de Telemarketing con fecha de alta 31/01/2014 Procedimiento seguido por Affinion para la contratación del producto Disfruta y Ahorra 1. Para recabar los datos personales de sus clientes Affinion ha suscrito contratos de colaboración con diversos colaboradores entre los que se encuentran Movistar, Venca, Club Cortefiel y Centro Deportivo Supera. Affinion acuerda con cada uno de estos colaboradores el argumentario con las cuestiones y los datos necesarios para ofrecer el producto a los potenciales clientes de Affinión y recabar el consentimiento para la contratación. 2. Los colaboradores ofrecen los productos de Affinión a sus propios clientes contactando telefónicamente con ellos. Para ello suscriben un contrato de prestación de servicios con los Call Center que actúan como encargados del tratamiento. Affinion por su lado también suscribe un contrato de prestación de servicios con los mismos Call Center contratados por sus entidades colaboradoras. De este modo, si el cliente del colaborador acepta la contratación de los servicios de Affinion, el Call Center que realiza la llamada verifica lo datos con el cliente y recaba es el consentimiento para transferir los datos de los clientes a Affinion para formalizar la venta. 3. Se ha verificado en grabaciones aleatorias que el interlocutor indica al cliente que llama de parte de Movistar para ofrecer un producto de Affinion Explica detalladamente los términos y condiciones del servicio ofertado. Si el cliente acepta confirman su identidad preguntándole el número de DNI y algún dato más como su segundo apellido, o domicilio. Cuando el cliente pasa la política de seguridad, le solicitan el consentimiento para realizar la cesión de sus datos a Affinion. En caso afirmativo el Call Center comienza a actuar como encargado del tratamiento de Affinion, seguidamente le consultan el medio de pago dándole la opción de utilizar el mismo con el que pagan las facturas que emite Movistar o aportar otro número de cuenta corriente o tarjeta, de modo que si en interesado indica que sí desea que se carguen las facturas de Affinion en el medio de pago utilizado con Movistar, se transfiere directamente este dato. Se verifica la dirección postal y se le solicita una dirección de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 4. Cuando un cliente contrata el servicio Disfruta y Ahorra, dispone de un plazo de 30 días gratuitos. Este periodo comienza a contar 15 días después de la contratación, que es el plazo estimado para la recepción de la documentación en el domicilio del cliente (Wellcome Pack) o en la dirección de correo electrónico facilitada (Wellcome Email) Tanto el Wellcome Pack como el Wellcome Email se consideran por parte de Affinion como copias del contrato ya que en ambos documentos se encuentra toda la información contractual obligatoria. El cliente no debe de devolver nada firmado ya que el consentimiento para la contratación se obtiene durante la llamada. En estos documentos se dan instrucciones para darse de alta en la página web de la entidad, pero esta alta es con la finalidad de solicitar los descuentos a que tienen derecho como clientes, no para confirmar la contratación. También se ha establecido un sistema de control de correos devueltos. De modo que cuando un Wellcome Pack es devuelto se verifica que la dirección es correcta, se intenta contactar telefónicamente con el cliente hasta 3 veces y si no se consigue se le da de baja en el servicio. 5. Se han realizado las siguientes comprobaciones sobre el sistema de información de Afinion en relación con la contratación de los servicios de Disfruta y Ahorra, por parte de A.A.A. DNI ***NIF.1: 5.1. Se verifica que en el sistema de información, en la pantalla de Datos de Cliente figura nombre y apellidos, DNI, teléfono, fecha de nacimiento y correo electrónico 5.2. Se consultan las suscripciones de este cliente verificándose que se ha dado de alta en un servicio: 5.2.1.Servicio Disfruta y Ahorra asociado al número de cliente ***CLIENTE.1, con fechas de alta y baja 28/11/2013 y 27/01/2014. La carta Wellcome Pack fue enviada por correo electrónico el 28/11/2013. La entidad colaboradora que ha contactado con el cliente para ofrecerle los productos de Affinion es Movistar. Se adjunta como Doc. 1 impresiones de pantalla con las comprobaciones realizadas y del Wellcome Pack. 5.2.2.Se escucha la grabación de la contratación a nombre de A.A.A. verificándose: Que el interlocutor solicita el consentimiento para ceder sus datos a AFFINION con la finalidad de contratar el producto “disfruta y ahorra” Le informan de que dispone de un periodo de prueba de 30 días Verifican los 4 últimos dígitos de la cuenta corriente en que se va a realizar el pago La interesada confirma su nombre completo, que es mayor de 18 años y reside en España, la dirección postal y aporta su correo electrónico. También confirma su DNI Al final de la grabación, la interlocutora le indica a la telefonista que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 desea contratar ninguno de los productos de la entidad. Los representantes de la entidad manifiestan, que esta grabación no debería de haber dado lugar a la contratación, y que el call center les ha transmitido que no estuvo dentro del porcentaje de verificaciones de calidad que se realizan, ya que en caso de haberse detectado no se debería de haber incluido en el fichero altas que han de enviar a Affinion. Además la clienta en ningún momento se puso en contacto con la entidad para realizar una reclamación ya que en caso de haberlo hecho igualmente se habría cancelado el contrato.” TERCERO: Con fecha 28/01/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TME y AFFINION y, por presunta infracción de los artículos 11.1 y 6.1 y respectivamente de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. k)y 44.3.
  2. b)y de dicha norma, pudiendo ser sancionada cada una de las entidades con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: En fecha 18/02/2014, la representación de AFFINION presentó escrito de alegaciones, formulando, en síntesis, las siguientes: la sistematización de los tratamiento de datos realizados y esfera de responsabilidad de la partes implicadas; que la denunciante había consentido el tratamiento de los datos por parte de AFFINION tanto en la llamada como con posterioridad al recibir el Welcome pack y no cancelar el producto en el periodo de prueba con lo que su consentimiento ya no era necesario (art. 6.2 LOPD); que la infracción no es imputable a la empresa sino a otros responsables del tratamiento; la diligencia empleada en la verificación del consentimiento obtenido, ausencia de culpabilidad, la proporcionalidad de la sanción a imponer y aplicación de apercibimiento previsto en el 45.6 de la LOPD; subsidiariamente aplicación del artículo 45.5 y 4 de la LOPD. Por su parte la representación de TME en escrito de 25/02/2014 formuló en síntesis las siguientes alegaciones: la denunciante consintió la cesión de datos a AFFINION con lo que no existe infracción del artículo 11.1 de la LOPD como ha sucedido en otros expedientes similares abiertos por la Agencia y que fueron archivados. QUINTO: En fecha 18/06/2015 se emitió propuesta de resolución en el sentido de imponer a TME una multa de 20.000 € por la infracción del artículo 11.1 de la LOPD, y a AFFINION una multa de 20.000 € por la infracción del artículo 6.1 de la LOPD. SEXTO: Notificada la propuesta AFFINION efectuó las siguientes alegaciones: 1ª.Improcedencia de la apertura de procedimiento sancionador por cuanto en el momento de inciiarse el presente proceimiento sancionador la Agencia había iniciado otro procedimeinto sancionadfor que no estaba concluido (PS/630/2014), lo cual vulnera lo diuspuesto en el artículo 4.6 del Real Decreto 1398/1993, de 4 de agosto por el que se aprueba el Reglamento del procedimeinto para el ejercicio de la potetad sancionadora (en lo sucesivo REPEPOS). 2º.Falta de motivación y vulneración del derecho na la tutela judicial efectiva. La propuesta de resolución no motiva ni proporciona argumento laguno que desvirtúe la salegaciones presentadas al acuerdo de inciioo del procedimiento. 3ª.- Ausencia de culpabilidad y prersunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 SEPTIMO: Notificad la propuesta TME reiteró las alegaciones formuladas al acuerdo de inciio del procediiento sancionador. HECHOS PROBADOS PRIMERO: Con fecha 04/02/2014 tiene entrada en esta Agencia un escrito de la denunciante en el que manifiesta que es titular de la línea ***TEL.1 de TME y que dicha entidad ha cedido sus datos a AFFINION y esta segunda entidad mediante engaño le ha dado de alta un producto denominado “Disfruta y Ahorra”, utilizando su número de cuenta para realizarle un cargo (folio 1) SEGUNDO: Consta en el expediente un cargo por importe de 12,99 € efectuado en fecha 21/01/2014 por AFFINION en una cuenta bancaria titularidad de la denunciante (folio 5) TERCERO: En el Acta de Inspección E/01019/2014/I-1, de fecha 18/02/2014, llevada a cabo en las dependencias de AFFINION, se señala que los representantes de la entidad realizan las siguientes manifestaciones a preguntas de los inspectores actuantes: 1. Los inspectores actuantes comunican a los representantes de la entidad que el motivo de las presentes actuaciones previas es la recepción de una serie de reclamaciones relacionadas con los productos Disfruta y Ahorra, y Mi Asesor, realizando las siguientes manifestaciones: 1.1. La actividad de la compañía se centra en el diseño de campañas de fidelización de clientes para otras entidades (colaboradores) y en poner a disposición de esas otras entidades, productos de fidelización que estos a su vez puedan ofrecer a sus c clientes finales. En la actualidad cuentan con 500.000 clientes. La primera actividad no lleva asociado el tratamiento de datos personales. Para recabar los datos personales de sus clientes suscriben contratos de colaboración con diversos colaboradores entre los que se encuentran Movistar (TME), … AFFINION acuerda con cada uno de estos colaboradores el argumentario con las cuestiones y los datos necesarios para ofrecer el producto a los potenciales clientes de AFFINION y recabar el consentimiento para la contratación. (…) Los colaboradores ofrecen los productos de AFFINION a sus propios clientes contactando telefónicamente con ellos. Para ello suscriben un contrato de prestación de servicios con Call Center que actúan como encargados del tratamiento. AFFINION por su lado también suscribe un contrato de prestación de servicios con cada uno de los Call Center contratado por sus entidades colaboradoras. De este modo, si el cliente del colaborador acepta la contratación de los servicios de AFFINION, el Call Center que realiza la llamada verifica lo datos con el cliente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 y recaba es el consentimiento para transferir los datos de los clientes a AFFINION para formalizar la venta. El responsable de la custodia de las grabaciones de las contrataciones son los Call Center contratados con la salvedad del utilizado por TELEFONICA, que debido al volumen, desde diciembre remiten periódicamente a AFFINION las grabaciones que custodia. El personal del Call Center graba los datos de cada nueva contratación en los ficheros de AFFINION. Al día siguiente se hace una verificación de la voluntad de contratación a un intervalo comprendido entre el 50% y el 60%. Según indican los representantes de AFFINION, las entidades de telemárketing contratadas son las siguientes: • Para clientes de TELEFÓNICA, la entidad TRANSCOM y EXTELL, si bien TELEFÓNICA tiene tres call center contratados para la campaña de Disfruta y Ahorra: TRANSCOM, EXTELL y ATENTO, a los reclamantes se les contactó desde las dos primeras,. Como con TRANSCOM ya existía un contrato marco previo, para la campaña con TELEFONICA únicamente se firmó un anexo. Como con EXTELL no habían trabajado con anterioridad, se firmó un contrato de prestación de servicios amplio que pueda dar cabida a varios servicios y luego se firma el anexo de campaña de TELEFÓNICA especifico. • (…) En relación a clientes de TELEFÓNICA MÓVILES, se aporta la siguiente documentación:  Se adjunta como Doc. 2 al acta de inspección E/3740/2013-I/1 una copia del contrato de colaboración suscrito entre TELEFÓNICA MÓVILES ESPAÑA S.L.U. y AFFINION para que la primera entidad promocione entre sus clientes productos de la segunda.  Se adjunta como Doc. 3 al acta de inspección E/3740/2013-I/1 una copia de la adenda al acuerdo de prestación de servicios suscrito entre TRANSCOM y AFFINION para la verificación de llamadas de clientes de TELEFÓNICA que acepten la contratación de productos de AFFINION y copia del contrato de prestación de servicios suscrito entre EXTELL y AFFINION, con su correspondiente Anexo de Campaña de TELEFÓNICA, para la verificación de llamadas de clientes que acepten la contratación de productos de AFFINION  Se adjunta como Doc. 4 al acta de inspección E/3740/2013-I/1 una copia del contrato de prestación de servicios suscrito entre EXTEL CONTACT CENTER y AFFINION para la prestación de servicios de telemárketing telefónico dirigido a clientes de los sponsors con quién AFFINION contrate campañas para comercializar sus servicios. (…) 1.2. Los inspectores actuantes solicitan escuchar grabaciones aleatorias de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 contratos de servicios aceptados por clientes de TELEFONICA, verificando: El interlocutor indica al cliente que llama de parte de TELEFONICA para ofrecer un producto de AFFINION Explica detalladamente los términos y condiciones del servicio ofertado. Si el cliente acepta confirman su identidad preguntándole el número de DNI y algún dato más como su segundo apellido, o domicilio. Cuando el cliente pasa la política de seguridad, le consultan el medio de pago dándole la opción de utilizar el mismo con el que pagan las facturas que emite TELEFONICA o aportar otro número de cuenta corriente o tarjeta. Los representantes de AFFINION manifiestan que no se confirman datos de la cuenta corriente con los clientes de Movistar para que no se quede grabada esta información ya que Movistar es muy precavida con estos datos, de modo que si en interesado indica que sí desea que se carguen las facturas de AFFINION en el medio de pago utilizado con Movistar, se transfiere directamente este dato. Cuando se contacta con el cliente se verifica la dirección postal y se le solicita una dirección de correo electrónico 1.3.Cuando un cliente contrata el servicio Disfruta y Ahorra, dispone de un plazo de 30 días gratuitos. Este periodo comienza a contar 15 días después de la contratación, que es el plazo estimado para la recepción de la documentación en el domicilio del cliente (Wellcome Pack) o en la dirección de correo electrónico facilitada (Wellcome Email) (…) Tanto el Wellcome Pack como el Wellcome Email se consideran copias del contrato ya que en ambos documentos se encuentra toda la información contractual obligatoria. El cliente no debe de devolver nada firmado ya que el consentimiento para la contratación se obtiene durante la llamada, además estos documentos contienen información para utilizar las promociones y descuentos del servicio, pero no se anexa ningún tipo de documento que deban devolver firmado. En estos documentos se dan instrucciones para darse de alta en la página web de la entidad, pero esta alta es con la finalidad de solicitar los descuentos a que tienen derecho como clientes, no para confirmar la contratación. También se ha establecido un sistema de control de correos devueltos. De modo que cuando un Wellcome Pack es devuelto se verifica que la dirección es correcta, se intenta contactar telefónicamente con el cliente hasta 3 veces y si no se consigue se le da de baja en el servicio 2. Se solicita el acceso al sistema de información donde realizan las siguientes comprobaciones en relación con la contratación de los servicios de Disfruta y Ahorra, por parte de A.A.A. DNI ***NIF.1: 2.1 Se verifica que en el sistema de información, en la pantalla de Datos de Cliente figura nombre y apellidos, DNI, teléfono, fecha de nacimiento y correo electrónico. 2.2 Se consultan las suscripciones de este cliente verificándose que se ha dado de alta en un servicio: 2.2.1 Servicio Disfruta y Ahorra asociado al número de cliente ***CLIENTE.1, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 con fechas de alta y baja 28/11/2013 y 27/01/2014. La carta Wellcome Pack fue enviada por correo electrónico el 28/11/2013. La entidad colaboradora que ha contactado con el cliente para ofrecerle los productos de Affinion es Movistar. (…) 2.2.2. Se escucha la grabación de la contratación a nombre de A.A.A. verificándose: Que el interlocutor solicita el consentimiento para ceder sus datos a AFFINION con la finalidad de contratar el producto “disfruta y ahorra” Le informan de que dispone de un periodo de prueba de 30 días Verifican los 4 últimos dígitos de la cuenta corriente en que se va a realizar el pago La interesada confirma su nombre completo, que es mayor de 18 años y reside en España, la dirección postal y aporta su correo electrónico. También confirma su DNI Al final de la grabación, la interlocutora le indica a la telefonista que no desea contratar ninguno de los productos de la entidad. Los representantes de la entidad manifiestan, que esta grabación no debería de haber dado lugar a la contratación, y que el call center les ha transmitido que no estuvo dentro del porcentaje de verificaciones de calidad que se realizan, ya que en caso de haberse detectado no se debería de haber incluido en el fichero altas que han de enviar a Affinion. Además la clienta en ningún momento se puso en contacto con la entidad para realizar una reclamación ya que en caso de haberlo hecho igualmente se habría cancelado el contrato. (…) (folios 8-219) 1. En el Acta de Inspección E/01019/2014/I-2, de fecha 22/04/2014, llevada a cabo en las dependencias de TELEFONICA, se señala que los representantes de la entidad realizan las siguientes manifestaciones a preguntas de los inspectores actuantes: 5. Con fecha 2 de enero de 2013 de 2013 se suscribió un contrato con Affinion al objeto de ofrecer a sus clientes los productos y servicio de esta entidad, uno de estos servicios era “disfruta y ahorra”. La campaña comercial la realizó Movistar, realizando previamente una selección sobre sus ficheros de aquellos clientes que cumplieran con los siguientes requisitos:  No hubieran manifestado su oposición a recibir llamadas de telemarketing.  No hubieran manifestado su oposición al tratamiento de sus datos de tráfico con la finalidad de recibir promociones comerciales. (…) En relación a la exclusión de clientes que se encuentran dados de alta en la lista Robinson de la FECEMD los representantes de Movistar indican que la operativa que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 existe para la descarga de los ficheros de personas que utilizan Lista Robinson para solicitar la oposición al tratamiento de datos para envío de publicidad es la siguiente:  El fichero de ADigital (antiguo FECEMD) se solicita al organismo de forma mensual y al inicio de cada mes. Una vez descargado, se usa para que la numeración que el usuario no cliente indique, no se utilice para campañas de captación.  Todos interesados que ya son clientes de la entidad y que se dan de alta en el listado Robinson son excluidos de las campañas comerciales dando cumplimiento a su petición.  Si un interesado se dio de alta en Lista Robinson antes de ser cliente Movistar, su petición no opera cuando pasa a ser cliente, ya que el consentimiento para el tratamiento de datos solicitado en la contratación, anula su deseo anterior de no ser contactado. En los contratos suscritos por los clientes de la entidad figura una cláusula de protección de datos que informa sobre la posibilidad de oponerse al tratamiento de datos para fines comerciales. El literal de la citada cláusula es el siguiente: “Protección de datos: Telefónica Móviles España, S.A.U., en cumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, informa al cliente de que los datos personales que aporta en este acto junto a los obtenidos durante la vigencia del contrato por Telefónica Móviles España, S.A.U., o su red de distribución, serán incluidos en ficheros informatizados de datos de carácter personal titularidad de esta Empresa, responsable del tratamiento y destinataria de los datos, siendo necesarios para la relación contractual y teniendo el carácter de obligatorio a excepción de los marcados como opcionales. Asimismo, con la intención de ofrecerle nuestra mejor atención e informarle de nuestros servicios de telecomunicaciones, y en cumplimiento de lo dispuesto en el 65.3 del Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios (BOE, 29 abril de 2005), Telefónica Móviles España, S.A.U., solicita su consentimiento para tratar, junto con los datos personales que usted nos facilita, todos los datos de tráfico necesarios para realizar la facturación y pagos de las interconexiones y todos los datos de los servicios de los que sea usuario, para ofrecerle promociones comerciales o para la prestación de servicios con valor añadido, durante la vigencia de la relación contractual, y siempre que no se oponga a este tratamiento en el plazo de un mes a contar desde la firma del contrato dirigiendo escrito a Telefónica Móviles España, S.A.U., Ronda de la Comunicación s/n. Distrito Telefónica. Edificio Sur 3. 2ª planta. 28050 Madrid, llamando al teléfono gratuito 224407 o en www.movistar.es. Asimismo, podrá revocar dicho consentimiento en cualquier momento a través de los medios indicados. No obstante, el consentimiento para el tratamiento de todos los datos de tráfico para la prestación de servicios con valor añadido se considerará otorgado desde el momento de solicitud, uso o acceso a cualquier servicio de este tipo. El cliente consiente que Telefónica Móviles España, S.A.U., en su continuo afán de mejorar la satisfacción de sus clientes, le envíe promociones comerciales, le comunique las ofertas más interesantes, las últimas novedades y toda la información de los productos y servicios de la Compañía que puedan ser de su interés. Si no desea que Telefónica Móviles España, S.A.U., le envíe promociones y ofertas de productos y servicios propios de Movistar que puedan ser de su interés a través de mensajes cortos (SMS) y correos electrónicos, en cumplimiento del art. 21.2 y 22.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, dirija escrito a Telefónica Móviles España, S.A.U., Ronda de la Comunicación s/n. Distrito Telefónica. Edificio Sur 3. 2ª planta. 28050 Madrid, llame al teléfono gratuito 224407 o entre en www.movistar.es. El cliente puede ejercitar los derechos de acceso, rectificación, cancelación y oposición previstos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 la Ley, dirigiéndose por escrito al domicilio social de Telefónica Móviles España, S.A.U., Referencia DATOS, en Ronda de la Comunicación s/n. Distrito Telefónica. Edificio Sur 3. 2ª planta. 28050 Madrid. Telefónica Móviles España, S.A.U., tiene la obligación de secreto de los datos y el deber de guardarlos, y adoptará las medidas necesarias para evitar su alteración, pérdida, tratamiento o acceso no autorizado. En cualquier caso, Telefónica Móviles España, S.A.U., garantiza al cliente que en la utilización de sus datos personales se observarán escrupulosamente las obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, así como en el restante ordenamiento aplicable donde se establecen garantías y cautelas en cuanto al tratamiento de los datos de carácter personal del cliente. El cliente otorga su consentimiento a Telefónica Móviles España, S.A.U., para grabar las llamadas que él mismo pueda realizar al servicio de atención telefónica 1004, o las que se le pudieran hacer desde Telefónica Móviles España, S.A.U., o desde cualquier empresa autorizada por ésta. Dicha grabación se realiza con la finalidad de mejorar la calidad de prestación de los servicios objeto del contrato, con la de verificar la satisfacción de los clientes, así como de acreditar la contratación. (…) Según indican los representantes de la entidad, cuando la contratación es telefónica el operador lee el siguiente texto "TELEFONICA MOVILES ESPAÑA le informa de que sus datos personales serán incorporados en un fichero del que es responsable para prestar el servicio contratado. Puede ejercitar sus derechos de protección de datos, mediante escrito a Telefónica Móviles España. Referencia Datos. Apartado de correos 56. 48080 Bilbao." Finalizada la venta, se informa al cliente de que recibirá en su domicilio una carta de bienvenida, con la siguiente información: “En el link www.movistar.es/contratos se pueden consultar las condiciones que se adjuntan en el anexo.” El cliente puede acceder por internet a las cláusulas de protección de datos detalladas anteriormente. (…) . 6. Para realizar esta campaña comercial se utilizó a tres Call Center con los que se suscribieron acuerdos de confidencialidad, actuando éstos como encargados del tratamiento de los datos personales de los clientes por cuenta de Movistar. Las entidades seleccionadas fueron Atento, Transcom World Wide y Extell Contact Center. Movistar entregó a cada Call Center una base de datos en la que figuraba la siguiente información de cada cliente:  Nombre y apellidos,  Teléfono móvil de contacto,  NIF  Cuenta Corriente,  Dirección Postal. Además debían utilizar un argumentario acordado con Affinion para ofrecer el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 producto “disfruta y ahorra” a los potenciales clientes de esta entidad y recabar el consentimiento para la contratación. Si en cliente estaba interesado, solicitaban además el consentimiento para la cesión de sus datos a Affinion con el objeto de completar la contratación. Una vez que el cliente consiente la cesión de los datos, finaliza la prestación de servicio de telemarketing contratada por Movistar. (…). 7. Affinion por su lado también suscribe un contrato de prestación de servicios con cada uno de los Call Center contratado por Movistar. De este modo, cuando el cliente del Movistar acepta la cesión de datos a Affinion, el Call Center que realiza la llamada verifica deja de actuar como encargado del tratamiento por cuenta de Movistar y pasa a actuar como encargado del tratamiento por cuenta de Affinion, verificando los datos cedidos con el cliente para formalizar la venta. El personal del Call Center graba los datos de cada nueva contratación en los ficheros de Affinion. (…). 8. Se solicita el acceso al sistema de información donde realizan las siguientes comprobaciones en relación con la oposición al tratamiento de datos personales con fines comerciales, por parte de A.A.A., NIF ***NIF.1 : 8.1. Se comprueba que asociado a este NIE se ha dado de alta el servicios Disfruta y Ahorra 8.1.1.Se verifica que en el Entorno de Gestión Comercial figura la siguiente información:  No llamadas de Telemarketing con fecha de alta 31/01/2014  No envío de publicidad postal con fecha de alta 09/02/2014  No tratamiento de datos de tráfico para promociones comerciales con fecha de alta 09/02/2014 8.1.2.Se verifica en el campo Histórico de Derechos, que este cliente no había ejercido con anterioridad su derecho de oposición al tratamiento de sus datos personales con fines comerciales. (…) (folios 230-351) CUARTO: Consta en el expediente contrato de colaboración suscrito por TME y AFFINION el 02/01/2013 para la promoción comercial de distintos productos y servicios de la segunda, entre los que se encuentra Disfruta y Ahorra (folios 21-45, 226-242). QUINTO: TME y EXTELL CONTAC CENTER S.A.U. celebraron el 26/03/2013 un contrato regulando la prestación por la segunda a la primera de los servicios de telemarketing para ofrecer a clientes de TME la contratación de productos y servicios comercializados por AFFINION (folios 309-338) SEXTO: AFFINION y EXTELL CONTAC CENTER S.A.U. celebraron el 19/03/2013 un contrato regulando la prestación por la segunda a la primera de los servicios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 telemarketing telefónico dirigido a clientes de TME (folios 72-99, 431-467) SEPTIMO: AFFINION aportó copia de una grabación de la supuesta contratación del producto “Disfruta y Ahorra” en la que en un primer momento la denunciante consístete la cesión de sus datos personales de TME a AFFINION para la posterior contratación del citado producto, si bien posteriormente cuando la operadora le oferta el producto “el consejero legal” la denunciante manifiesta de manera clara que se anule todo lo actuado, es decir tanto lo referido a la cesión de datos a AFFINION como la contratación del producto “Disfruta y Ahorra” (folio 219). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a TME en el presente procedimiento sancionador una infracción del artículo 11.1 de la LOPD, que regula la “comunicación de datos”, disponiendo en sus apartados 1 y 2 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  4. a)Cuando la cesión está autorizada en una Ley.
  5. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  6. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  7. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  8. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  9. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica”. A los efectos de lo dispuesto en el precepto transcrito, la LOPD señala en su artículo 3.
  10. c)e
  11. i)lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 “
  12. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. “
  13. i)Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado”. La Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
  14. b)a la cesión dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión”. En el presente caso consta que TME comunicó a AFFINION los datos de la denunciante con motivo de la contratación del producto “Disfruta y ahorra” sin que se haya acreditado el consentimiento del mismo para la citada cesión. Este comportamiento supone la vulneración del artículo 11.1 por TME, que encuentra su tipificación en el artículo 44.3.
  15. k)de la misma ley. III La representación de TME ha alegado que la denunciante consintió la cesión de los datos a AFFINION y la contratación del servicio “Disfruta y ahorra”. Sin embargo, el citato alegato no puede ser admitido ya que TME no ha acreditado que dispusiera del consentimiento del denunciante para poder comunicar sus datos de carácter personal a la entidad AFFINION por cuanto la copia de la grabación aportada al expediente acredita que la denunciante manifestó claramente al final de la conversación su voluntad de anular la cesión de sus datos de TME a AFFINION, así como la contratación del producto “Disfruta y Ahorra” cesión y tratamiento que en un primer momento había consentido y ello al manifestar textualmente a la operadora “….anúlelo todo”. Tal es así que en el propio acta de inspección efectuada en AFFINION sus representantes manifestaron que la grabación no debería de haber dado lugar a la contratación, y que el call center (EXTELL CONTAC CENTER S.A.U.) les había transmitido que no estuvo dentro del porcentaje de verificaciones de calidad que se realizan, ya que en caso de haberse detectado no se debería de haber incluido en el fichero altas que han de enviar AFFINION. Por tanto, dicho comportamiento supone una vulneración del artículo 11.1 de la LOPD, al ceder TME los datos de la denunciante a AFFINION sin el consentimiento previo de aquella y que encuentra su tipificación en el artículo 44.4.
  16. k)de la misma Ley. IV De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 2/2011, el artículo 44.3.
  17. k)tipifica como infracción grave “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. A tenor del artículo 45.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 LOPD las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. La conducta de TME ha vulnerado el artículo 11.1 de la LOPD, al ceder los datos del denunciante sin su consentimiento a AFFINION con la finalidad de contratar el servicio Disfruta y ahorra, infracción que tras la reforma introducida por la Ley 2/2011 se encuentra tipificada en el artículo 44.3.
  18. k)de la Ley Orgánica 15/1999. V Respecto a AFFINION cabe resolver previamente la alegación referida a la improcedencia de apertura de procedimiento sancionador al vulnerarse lo dispuesto en el artículo 4.6 del REPEPOS que establece que “No se podrán iniciar nuevos procedimientos sancionadores por hechos o conductas tipificados como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya recaído una primera resolución sancionadora de los mismos, con carácter ejecutivo.” Afinara AFFINION que el presente procedimiento y el procedimiento PS/00630/2014 traen causa de una conducta única, esto es, la promoción del programa “Disfruta y Ahorra” a los clientes de TME. Pues bien, yerra AFFINION en tal afirmación pues no es tal conducta la que se imputa en ambos procedimientos y que constituye materia ajena a la competencia de esta Agencia. Se imputa a AFFINION en ambos procedimientos el tratamiento sin consentimiento de los datos personales de un afectado, resultando irrelevante a efectos de la realización del tipo infractor los motivos o causas que motivaron tal tratamiento incontenido. El derecho a la protección de datos de carácter personal, en su configuración como derecho fundamental de carácter personalísimo no puede verse violentado por la conducta contraria al mismo, como es el caso del tratamiento sin consentimiento, y que caso de verificarse constituirá infracción cada vez que el derecho de un afectado (en este caso la denunciante) se vea vulnerado. VI Se imputa a AFFINION en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. AFFINION no ha acreditado en el procedimiento que cuente con el consentimiento de la denunciante para el tratamiento de sus datos de carácter personal, materializado en la vinculación al servicio Disfruta y ahorra, y además cargándole en cuenta dos recibos por un importe de 12,99 euros cada uno. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto que el mismo, ni se realizó con el consentimiento de la denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a AFFINON tratar los datos del denunciante sin su consentimiento. VII En el presente caso, la cuestión fundamental radica en determinar si AFFINION contaba con el consentimiento inequívoco de la titular de los datos para el tratamiento realizado. La Audiencia Nacional ha señalado con reiteración en numerosas sentencias que la negativa del denunciante, en el sentido de no haber suscrito ningún contrato con la entidad denunciada, traslada a ésta última la carga de probar la indicada contratación, y por ende el consentimiento para el tratamiento de sus datos personales. En este mismo sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por tanto, corresponde a AFFINION, estar en condiciones de acreditar que ha obtenido el consentimiento de la denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. VIII La representación de AFFINION ha señalado que la infracción no es atribuible a su representada sino al encargado del tratamiento. En relación con citado alegato, el hecho de que mediara en la contratación del servicio otra empresa (EXTELL CONTAC CENTER S.A.U.) que actúa como encargado de tratamiento tanto de TME y AFFINION) no exime de responsabilidad al responsable del fichero al amparo de los artículos 6 y 43 de la LOPD. El artículo 43, define el concepto de responsable: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Por otra parte, el reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, complementa esta definición en el apartado
  19. q)del artículo 5, en el que señala lo siguiente: “
  20. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque AFFINION no realice materialmente el tratamiento, es responsable de las infracciones que se deriven de la actuación realizada en atención a que como responsable del fichero es quien decide sobre su finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en el fichero. En este sentido, debe citarse repetida jurisprudencia existente al efecto respecto de la relación entre los responsables del tratamiento y los encargados del tratamiento. Así, debe traerse a colación la SAN de 12/09/2007, Rec. 370/2005 al señalar que: “La responsabilidad en que hayan podido incurrir, en su caso, el distribuidor al facilitar a UNI2 datos de la clienta sin el consentimiento de la afectada, no la exime del cumplimiento de la normativa en materia de protección de datos personales, pues es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 correlación, debe asegurarse que aquél a quien solicita los datos para contratar y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión. Se trata en definitiva de que UNI2 verifique la identidad del solicitante de los servicios mediante la exigencia de fotocopia del documento que acredite dicha entidad, a fin de contratar y facilitar el servicio a la persona que efectivamente lo reclama y si la actora hubiese solicitado la copia de dicho documento de identidad de los afectados hubiera podido comprobar que los distribuidores carecían de dicha documentación”. Asimismo, la Sentencia de 03/03/2004, citada entre otras en la sentencia de 18/01/2006, señala que “El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a estos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  21. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992 y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  22. d)y g), respectivamente, de la Ley Orgánica 15/1999.>> Y en sentencia de 17/05/2013, recurso 25/2010, señala “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento”. Por tanto, AFFINION ha tratado los datos del denunciante sin su consentimiento. La responsabilidad en que haya podido incurrir, en su caso, el encargado del tratamiento, no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es con la citada entidad con quien el denunciante suscribe el correspondiente servicio y no quien media en su contratación; los datos son incorporados a sus ficheros y quien los trata de forma automatizada, gira los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 correspondientes recibos y, la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión. Sin embargo, no solo no consta haber contado con el consentimiento de la denunciante para el tratamiento de sus datos, ni se observa indicio alguno de haber mediado su voluntad para llevar a cabo la contratación del servicio “disfruta y ahorra”, sino todo lo contrario, según se desprende de la grabación aportada donde la denunciante manifiesta claramente que se anule el anterior ir consentimiento otorgado tanto para la cesión de sus datos de TME a AFFINION como el tratamiento de sus datos por parte de esta última. Respecto a la falta de motivación de la propuesta de resolución y vulneración a la tutela judicial efectiva señalar que en la misma se explicitan claramente el hecho imputado y su calificación jurídica, significándose que las alegaciones formuladas por AFFINION no desvirtúan tales extremos, correspondiendo a la entidad imputada acreditar que contaba con el consentimiento de la denunciante para el tratamiento de sus datos, lo cual, pese a lo afirmado en sus alegaciones, no ha acreditado por cuanto en la grabación de la contratación del producto “Disfruta y Ahorra” puede escucharse claramente a la denunciante manifestando su voluntad de revocar el consentimiento otorgado inicialmente, así como a la operadora negando la posibilidad de tal revocación, esto es, impidiendo el ejercicio del derecho a la revocación del consentimiento para el tratamiento de datos personales. IX La representación de AFFINION también ha alegado que no ha sido sancionada ni apercibida en ninguna ocasión por la AEPD por lo que entiende que de ser apreciada infracción en su actuación debería ser apercibida de acuerdo con lo previsto en el artículo 45.6 de la LOPD. La disposición final quincuagésima sexta “cuatro” de la Ley 2/2011 de 4/03, de Economía Sostenible (BOE 5-3- 2011) ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, que señala: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  23. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  24. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. No obstante, también la nueva redacción del artículo 45.4 de la LOPD incluye nuevos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 circunstancias, entre los que deben destacarse las siguientes: - Volumen de tratamientos - El volumen de negocio o actividad del infractor - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal Del análisis de la concurrencia de los citados criterios se concluye, que en el caso como el presente se trata de una entidad, compañía aseguradora, donde el volumen de tratamientos, el volumen de negocio y el desarrollo de su actividad lleva implícita el tratamiento de datos de carácter personal tanto de clientes como de terceros, circunstancias que le obliga a ser especialmente diligente en la aplicación de medidas que garanticen el derecho fundamental a la protección de datos de carácter personal. Es por ello, que no procede la aplicación de la previsión contenida en el nuevo apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. X De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  25. b)tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el presente caso AFFINION ha incurrido en la infracción descrita ya que ha vulnerado dicho principio, consagrados en el artículo 6.1 de la LOPD, al quedar acreditado que el denunciante no había otorgado su consentimiento para tratamiento de los mismos por AFFINION, al haberse opuesto a la cesión de los mismos, y que encuentran su tipificación en el artículo 44.3.
  26. b)de la citada Ley Orgánica. XI El artículo 45.1. 2, 4 y 5 de la LOPD establece que: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  27. a)El carácter continuado de la infracción.
  28. b)El volumen de los tratamientos efectuados.
  29. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  30. d)El volumen de negocio o actividad del infractor.
  31. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25
  32. f)El grado de intencionalidad.
  33. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  34. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  35. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  36. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  37. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  38. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  39. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  40. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  41. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de AFFINION ha solicitado la aplicación subsidiaria del artículo 45.5 y 4 de la LOPD, en atención a las circunstancias concurrentes en el presente caso, aplicando la escala de sanciones correspondiente a las infracciones leves, que implican una cualificada disminución de la culpabilidad al existir circunstancias atenuantes como la ausencia de intencionalidad, no existir una actuación continuada, ausencia de beneficio y de perjuicio económico para el denunciante, todo ello unido a la regularización diligente puesto que únicamente se emitió un recibo y la denunciante fue dada de baja a los dos meses del alta irregular y en todo caso antes de formular denuncia ante esta Agencia, de conformidad con el principio de proporcionalidad, por su parte, TELEFONICA ha solicitado el archivo de las actuaciones. El precitado artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso examinado, ha quedado acreditado que TME cedió los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 personal, sin consentimiento de la denunciante a AFFINION y, a su vez dicha empresa trató los citados datos sin consentimiento, materializado en la contratación del servicio “disfruta y ahorra” pasándole al cobro un recibo y, de conformidad con el contenido de la grabación aportada al expediente, se desprende que la denunciante no consintió que sus datos fueran cedidos por TME a AFFINION, así como el tratamiento por esta última, por lo que las citadas conductas han de ser objeto de sanción. En la copia del CD aportado y extractada de la conversación mantenida por el denunciante y la operadora se escucha que en un primer momento la denunciante consiente la cesión de sus datos de TME a AFFINION así como su posterior tratamiento por ésta en relación con el producto “disfruta y ahorra”, pero a continuación cuando la operadora pregunta a la denunciante en el mismo sentido respecto al producto “el consejero legal”, ésta manifiesta claramente su voluntad de revocar el consentimiento inicialmente otorgado. En la copia de la grabación se escucha: Denunciante: Anúlelo todo, ¿vale? (…) Pero en principio, anúlelo, anúlelo Operadora: No le enviamos entonces este otro servicio Denunciante: No, no, no me envía nada, lo anula todo (…) Además, la representación de AFFINION en la inspección efectuada en su sede manifestó que “… esta grabación no debería de haber dado lugar a la contratación, y que el call center les ha transmitido que no estuvo dentro del porcentaje de verificaciones de calidad que se realizan, ya que en caso de haberse detectado no se debería de haber incluido en el fichero altas que han de enviar a Affinion.” No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, apartado
  42. b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que tan pronto como se tuvo conocimiento de la queja de la denunciante ante la contratación del citado servicio, actuaron con razonable diligencia dejándolo sin efecto y anulando el único cargo emitido con anterioridad al requerimiento de información por la inspección y a la apertura del presente procedimiento, lo que permite establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, AFFINION han invocado la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la aplicación de la atenuante privilegiada prevista en el artículo 45.5.
  43. a)de la LOPD. Sin embargo, las circunstancias apuntadas por la representación de las denunciadas, no concurren en el presente caso. En cuanto a la circunstancia prevista en el apartado
  44. a)resulta evidente que la infracción imputada no tiene carácter continuado, porque la naturaleza de la infracción no lo permite al tratarse de una infracción de mera actividad. Por lo que se refiere a la circunstancia prevista en el apartado
  45. f)del artículo 45.4, relativa al grado de intencionalidad, dicha expresión debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que las entidades hubieran actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en el apartado
  46. h)del artículo 45.4, tampoco puede aceptarse. Hay que señalar que con motivo de los hechos acaecidos al denunciante le fueron cargados en cuenta dos recibos, aunque sus importes resultaran poco importantes y fueran devueltos, resulto evidente su perjuicio. Además, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a la ausencia de beneficios, circunstancia prevista en el apartado
  47. e)del artículo 45.4 hay que indicar que la Audiencia Nacional en sentencia de fecha 02/12/2010, ha señalado que “También ha considerado la Sala irrelevante a los efectos de la aplicación de la citada atenuación privilegiada la falta de beneficios para la recurrente o la ausencia de perjuicios para el denunciante”. En cuanto a la existencia de protocolos y procedimientos adecuados de actuación en la recogida y tratamiento de datos, circunstancia prevista en el apartado
  48. i)del artículo 45.4 de la LOPD, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los procedimientos implantados, sino un claro incumplimiento de los mismos a la vista de los hechos probados a lo largo del procedimiento sancionador. En este sentido la Audiencia Nacional en sentencia de 24/01/2014 señala que “…, omisiones que ponen de relieve lo inadecuado de los procedimientos implantados…. El hecho de que a raíz de estas actuaciones se haya suscrito un contrato con Experian al objeto de asegurarse un mejor cumplimiento de las obligaciones impuestas por los artículos 38 y 39 RLOPD y, la acreditación de su realización frente a terceros, no puede tener los efectos atenuatorios que ella pretende, pues es obligación de la citada entidad la implementación de las medidas adecuadas a tal fin. Téngase en cuenta que la recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que le es exigible una especial diligencia en el tratamiento de datos personales conforme reiterado criterio de esta Sala”. Asimismo, alega la representación de la entidad que no ha sido sancionado con anterioridad; sin embargo, hay que señalar que la reincidencia habría que contemplarla como agravante de la conducta infractora, no como atenuante. La Audiencia Nacional en sentencia de 26/02/2014 establece que “Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del artículo 45 LOPD , deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera "significativa", que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notoria la reiteración de conductas infractoras en materia de protección de datos por parte de France Telecom, de todo ello concluimos que el artículo 45.5 LOPD no puede ser aplicado en el caso” (folio 67). Por otra parte, teniendo en consideración los criterios de graduación de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 sanciones establecidos en el artículo 45.4 se advierten circunstancias que operan como agravantes de las conductas que ahora se enjuician, en relación con las entidades denunciadas: AFFINION y TELEFONICA. Así, concurren las agravantes previstas en el apartado
  49. c)del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues como consecuencia de la actividad que realizan, las citadas entidades se ven abocadas a un tratamiento continuo de datos, tanto de sus clientes como de terceros y del apartado
  50. d)del artículo 45.4, “volumen de negocio” ya que se trata de dos grandes empresas. Por todo ello, es por lo que procede imponer multas cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener las infracciones imputadas la consideración de graves. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, la vinculación de la actividad de la entidades infractoras con la realización de tratamientos de datos de carácter personal y el volumen de negocio de las mismas, se impone una multa de 20.000 € a cada una de ellas. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA S.A.U., por una infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  51. k)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad AFFINION INTERNATIONAL S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  52. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a AFFINION INTERNATIONAL S.L., TELEFÓNICA MÓVILES ESPAÑA S.A.U. y a A.A.A. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.