← España

PS-00010-2017

1/23 Procedimiento Nº PS/00010/2017 RESOLUCIÓN: R/01228/2017 En el procedimiento sancionador PS/00010/2017, instruido por la Agencia Española de Protección de Datos a la entidad GLOBAL UNION COMMERCE CORPORATION S.L., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21 de enero de 2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que pone de manifiesto que desde hace varios años viene recibiendo toda dase de publicidad desde distintas partes de España en el domicilio de la localidad de ***LOCALIDAD.1 (Huelva) en el que se encuentra empadronado. El denunciante adjunta, entre otra documentación, dos envíos postales en los que “NATUR-VIDA” le invita a asistir a sendas demostraciones comerciales a realizar en un establecimiento del municipio de ***LOCALIDAD.1 con fechas 30 de abril de 2014 y 1 de diciembre de 2015, observándose, a la vista de las fechas de las citadas convocatorias que, en la actualidad han transcurrido más de dos años desde el envío del primero de los envíos postales reseñados. En la carta referida a la demostración comercial a celebrar el día 1 de diciembre de 2015, se convoca al mismo de forma nominativa a una presentación comercial de las últimas novedades de la firma “NATUR-VIDA” a realizar en el COMPLEJO NAZARET, sito en (C/...1), (en adelante el COMPLEJO NAZARET). Asimismo, en el folleto se indica que por la asistencia a la presentación, el destinatario del envío recibirá “una bonita ánfora egipcia llena del mejor aceite de oliva virgen extra hojiblanca”. Además, se informa que, en caso de ir acompañado del cónyuge o pareja, podrá elegir entre uno de los regalos que se detallan en el anverso del folleto. Al pie del folleto publicitario postal aportado figura la siguiente advertencia: “La información y personalización de este envío han sido realizadas por MASS-MEDIA LÁSER, S.L., (C/...2)-Madrid, Tel: ***TEL.1, y proceden de fuentes accesibles al público, donde usted podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición.” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes extremos: 1. Con fecha 1 de febrero de 2014 se celebró un “Contrato de Proveedor de Direcciones con Cliente” entre MASS-MEDIA LASER, S.L. y GLOBAL UNIÓN, S.L., en el que dichas partes aparecen citadas en el mismo como PROVEEDOR DE DIRECCIONES y CLIENTE, respectivamente, exponiendo y acordando los términos que aparecen en el Hecho Probado Octavo de la presente resolución, los cuales se dan por reproducidos a efectos de evitar su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 reiteración. 2. En el reseñado contrato figuran como datos del CLIENTE el NIF ***NIF.1, con domicilio en (C/...3) Málaga. 3. Mediante correo electrónico de fecha 9 de noviembre de 2015 desde una cuenta del dominio natur-vida.com se remitió a COMPLEJO NAZARET una solicitud de reserva de un salón para el día 1 de diciembre de 2015, dando como teléfono de contacto el ***TEL.2. En esta última fecha se emitió factura por los servicios prestados por COMPLEJO NAZARET a nombre de GLOBAL UNION COMMERCE CORPORATION, NIF ***NIF.2. Dicha información consta en la respuesta aportada por COMPLEJO NAZARET mediante correo electrónico de fecha 22/12/2016. 4. Con fecha 28 de noviembre de 2016 se accede a la web natur-vida.com y se comprueba que en la información de contacto aparece: NATUR-VIDA, C/ (C/...4) (Valencia) y teléfono ***TEL.3. 5. El dominio natur-vida.com consta registrado a nombre de Grupo Diamante, con domicilio en (C/...5) Málaga (domicilio coincidente con el que figura en el reseñado “Contrato de Proveedor de Direcciones con Cliente” como de GLOBAL UNION, S.L.) y teléfono de contacto ***TEL.4, según consta de la respuesta dada por Arsys Internet SLU, entidad registradora del dominio. 6. En fecha 15 de septiembre de 2016 se realizó una inspección en las instalaciones de MASS MEDIA LASER, S.L., en adelante MASS MEDIA LASSER, durante la cual la representante de la entidad realizó las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. La entidad se dedica a la personalización de cartas publicitarias. b. A tal fin, recibe los formularios a personalizar de la entidad MAGIC RESPONSE, S.L., rellena los formularios con las direcciones de los destinatarios y el lugar y fecha de las convocatorias de la orden de trabajo y, una vez cumplimentados, son retirados por MAGIC RESPONSE, S.L. que posteriormente los ensobra y pone en Correos. c. La entidad recibe las órdenes de trabajo por vía telefónica y/o por fax de la empresa cliente, que es quien fija el local y fecha de la convocatoria. Por vía telefónica concretan los códigos postales y el número de envíos a realizar. Se comprueba que los servicios descritos por la representante de la entidad no se corresponden con los que aparecen en el contrato facilitado. d. Una vez realizada la campaña, se remite al contable externo de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 por correo electrónico los volúmenes e importes a facturar a cada cliente. Los clientes realizan el pago de las facturas mediante ingreso en la cuenta de la entidad. e. Aporta la entidad copia del contrato suscrito con GLOBAL UNION S.L., NIF ***NIF.1, en fecha 1/2/2014, empresa que, según informa MASS MEDIA LASSER, cursa comercialmente con el nombre de NATUR-VIDA. Se observa que en el Registro Mercantil Central, el NIF ***NIF.1 corresponde a DATALASER S.L., no figurando mercantil alguna cuya denominación sea GLOBAL UNION, S.L. y que la Tesorería General de la Seguridad Social informa que la representante de MASS MEDIA LASER ha trabajado anteriormente para DATALASER, S.L.. f. Se solicita a MASS MEDIA LASSER el origen de los datos utilizados para las campañas, informando que el mismo son los ficheros de acceso público de la Comisión Nacional de los Mercados y la Competencia. 7. Los inspectores de la Agencia solicitan al representante de MASS MEDIA LASER que les permita el acceso a los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Se solicita acceso al planning de campañas realizadas, realizándose una búsqueda sobre las campañas de noviembre de 2015 filtrado con el criterio de cliente igual a GLOBAL UNION. Aparecen numerosos registros, por lo que se realiza un nuevo filtrado correspondiente a la población de ***LOCALIDAD.1 observándose que se corresponde con la orden de trabajo 3861. Según los datos recabados la orden de trabajo se recibió en fecha 13/11/2015. b. Se realiza una consulta de las bases de datos en formato Access disponibles, accediendo a la base de datos denominada ****, observándose que dispone de 30825 registros y que figuran en ellos información relativa al nombre, vía y número de la vía, así como número de teléfono. No se observa que aparezca el piso y la puerta. Se realiza un acceso a los ficheros que, según informa la entidad, fue utilizado para cumplir con la orden de trabajo ****, realizándose una consulta con el criterio B.B.B., no encontrándose datos correspondientes a dicho criterio (apellidos del denunciante). Realizada una consulta relativa a B.B.B. no aparece dicho nombre. Se realiza una búsqueda de dicho nombre en todo el ordenador, y no aparece referencia alguna a dicho nombre. c. Consultada la base de datos denominada **** se observa que no dispone de un campo para almacenar el número de teléfono pero el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 fichero que contiene los datos utilizados para la orden de trabajo **** sí que muestra para cada uno de los registro el número de teléfono. Consultada la inspeccionada sobre el particular, manifiesta que puede ser que se haya borrado ese dato en el fichero original del que se obtuvieron los datos de la campaña. d. Se buscan las cartas generadas a GLOBAL UNION encontrándose que las más recientes están fechadas el 16 de marzo de 2016. e. Se ha buscado B.B.B. tanto en bajas en papel como en el fichero de bajas disponible en el ordenador, no encontrándose referencia alguna a dicho nombre. 8. MAS-MEDIA LASSER, S.L. no ha contestado el requerimiento efectuado durante la realización de la reseñada inspección de presentación de la siguiente documentación: copia de la orden de trabajo ****, copia de los datos emitidos al contable para la remisión de las campañas objeto de la inspección, copia de las facturas emitidas a DML 21 PLUS SL y a GLOBAL UNIÓN por las campañas citadas, copia de los documentos acreditativos del pago de dichas facturas, copia de la última factura emitida por el contable externo a MASS MEDIA LASER, copia dela factura de adquisición de la base de dtos utilizada para la generación de las cartas. 9. El objeto social de la empresa GLOBAL UNION COMMERCE CORPORATION S.L. que figura en el Registro Mercantil Central es: “La venta al por mayor, al por menor y ambulante, importación y exportación de artículos de regalo, electrodomésticos e informática.” 10. El objeto social de la empresa MASS-MEDIA LASER, que figura en el Registro Mercantil Central es: “La prestación de servicios de publicidad, mediante anuncios, carteles, folletos, películas publicitarias, a través de prensa, radio, televisión, publicidad aérea u otros medios.” TERCERO: Con fecha 17 de enero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a GLOBAL UNION COMMERCE CORPORATION, S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en su relación con lo previsto en el artículo 30 de la misma norma, tipificada como grave en el artículo 44.3.

  1. b)de la LOPD, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. En dicho acto, se acordó, igualmente, incorporar al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones, así como el informe de actuaciones previas de inspección E/06404/2016, todos ellos parte del expediente. Asimismo, se informó a dicha empresa sobre su derecho a la audiencia en el procedimiento y se le otorgó un plazo de diez días hábiles para formular alegaciones y proponer las pruebas que considerase procedentes, informándole que de conformidad con lo previsto en el artículo 64.2.
  2. f)de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), de no efectuar alegaciones al acuerdo de inicio en el plazo concedido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 el mismo, dicho acto “podrá ser considerado propuesta de resolución”. CUARTO: Consta en el procedimiento que el intento de notificación del mencionado acuerdo practicado, con fecha 18 de enero de 2017, a través del Servicio de Mensajería “Envíalia” resultó infructuoso por “Destinatario desconocido” en la (C/...5). También resultó infructuoso el intentó de notificación del citado acuerdo practicado a través de los servicios de la Sociedad Estatal Correos y Telégrafos, S.A., constando el destinatario como “Ausente” en el primer intento de entrega realizado el día 20 de enero de 2017 y como “Desconocido” en el segundo intento de entrega realizado el 23 de enero de 2017. Igualmente, el intento de notificación del mencionado acuerdo practicado, con fecha 20 de enero de 2017, por el Servicio de Mensajería “Envíalia” en la (C/...6) de Málaga, que es el domicilio social de GLOBAL UNION que figura en el Registro Mercantil Central, también resultó infructuoso por “Dirección incorrecta”. Ante la imposibilidad de notificación del reseñado acuerdo a GLOBAL UNION en los reseñados domicilios, con fecha DD/MM/AA se publica en el Boletín Oficial del Estado nº XX anuncio de notificación de DD/MM/AA del acuerdo de inicio del procedimiento PS/00010/2017, de conformidad con lo dispuesto en los artículos 44 al 46 de la LPACAP. QUINTO: Notificado el acuerdo de inicio en la forma descrita, GLOBAL UNION no presentó alegaciones al acuerdo de inicio en el plazo otorgado para ello. HECHOS PROBADOS PRIMERO: Con fecha 21 de enero de 2016 tiene entrada en la AEPD escrito del denunciante poniendo de manifestó la recepción de envíos publicitarios en el domicilio de la localidad de ***LOCALIDAD.1 (Huelva) en el que se encuentra empadronado, circunstancias que acredita tanto mediante la presentación de varios folletos publicitarios remitidos en distintas fechas por diferentes anunciantes, como mediante la aportación de un escrito de la Oficina del Censo Electoral dirigida a su nombre y al domicilio “(C/...7) HUELVA” con motivo de la celebración de las elección del 22 de marzo de 2015. (folios 1 al 27) SEGUNDO: El denunciante ha presentado un folleto postal nominativo, dirigido a su nombre completo (nombre y dos apellidos) y al domicilio “(C/...7) HUELVA”, en el que se le invita a una presentación comercial de productos para la salud y el bienestar de NATUR-VIDA, a celebrar con fecha 1 de diciembre de 2015 en el establecimiento denominado COMPLEJO NAZARET, sito en (C/...1) (HUELVA), en horario: mañana: 09:30 y 13:00 horas y tarde: 16:00 y 18:00 horas. El anverso de dicho folleto publicitario postal incluye en su esquina superior izquierda el logotipo de NATUR-VIDA y en la esquina inferior izquierda la siguiente leyenda: “La información y personalización de este envío han sido realizadas por MASS-MEDIA LÁSER, S.L., (C/...2)-Madrid, Tel: ***TEL.1, y proceden de fuentes accesibles al público, donde usted podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición.” (folio 3) TERCERO: En el Registro Mercantil Central consta que el objeto social de la empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 GLOBAL UNION COMMERCE CORPORATION S.L., con NIF ***NIF.2, es: “La venta al por mayor, al por menor y ambulante, importación y exportación de artículos de regalo, electrodomésticos e informática.”, figurando como administrador único de la misma C.C.C. (folios 106 y 107) CUARTO: La mercantil D.D.D., S.L., entidad propietaria del COMPLEJO NAZARET, establecimiento hotelero en el que se celebró el evento comercial citado en el envío postal denunciado, ha remitido a esta Agencia la siguiente documentación: (folios 101 al 103) - Copia del correo electrónico remitido con fecha 9 de noviembre de 2015 desde una cuenta de correo del dominio natur_vida.com a la dirección de correo electrónico del citado establecimiento, en el que “***NOMBRE.1” en nombre de Naturvida, confirma la reserva del salón para el 1 de diciembre, con mesa presidencial para exposición de productos y 40 sillas colocadas tipo teatro, en horario de 9:00 a 13:00 y de 17:00 a 20:00, proporcionando a efectos de contacto el teléfono ***TEL.2. -Copia de la factura por importe total de 244,99 euros, emitida con fecha 1 de diciembre de 2015 por la entidad propietaria del establecimiento COMPLEJO NAZARET. Dicha factura consta emitida por la mercantil D.D.D., S.L., con domicilio en (C/...8) (HUELVA), a nombre de GLOBAL UNION COMMERCE CORPORATION, con NIF ***NIF.2 y domicilio en (C/...5) Málaga por diversos conceptos asociados al evento, entre ellos el alquiler del salón. QUINTO: TELEFONICA DE ESPAÑA, SAU ha informado que con fecha 9 de noviembre de 2015 el titular de la línea ***TEL.2 era la mercantil GLOBAL UNION COMMERCE CORPORATION, S.L., con NIF ***NIF.2, domicilio en (C/...9), Granada. (folio 131 bis) SEXTO: ARSYS INTERNET, SLU, ha informado que entre los datos de facturación del cliente que tiene contratado el dominio natur-vida.com se encuentran: folios 96 y 97): Nombre: E.E.E.; Empresa: Grupo Diamant; NIF: ***NIF.3; Dirección: (C/...5); Teléfono de contacto: +34 ***TEL.4 SÉPTIMO: TELEFONICA DE ESPAÑA, SAU ha informado que con fecha 3 de noviembre de 2015 el titular de la línea ***TEL.4 era Don C.C.C., con domicilio en (C/...10). (folio 131 bis) OCTAVO: Con fecha 1 de febrero de 2014 se celebró un “Contrato de Proveedor de Direcciones con Cliente” entre MASS-MEDIA LASER, S.L. y GLOBAL UNIÓN, S.L., en el que dichas partes, que se identifican como PROVEEDOR DE DIRECCIONES y CLIENTE, respectivamente, EXPONEN: (folios 43 al 52) << I. Que PROVEEDOR DE DIRECCIONES es una empresa dedicada, entre octras actividades, al asesoramiento en campañas de marketing directo, su diseño y ejecución, el tratamiento de datos de carácter personal, la recopilación de los mismos y la personalización de documentos publicitarios. II. Que PROVEEDOR DE DIRECCIONES es propietaria de una serie de ficheros de datos de carácter personal, inscritos en el Registro General de la Agencia de Protección de Datos. III. Que CLIENTE, está interesada en la prestación por PROVEEDOR DE DIRECCIONES de determinados servicios de marketing directo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 Las partes, en virtud de los expositivos precedentes, ACUERDAN. I. Constituye el objeto del presente contrato la determinación de la forma y condiciones en que PROVEEDOR DE DIRECCIONES llevará a cabo la prestación a CLIENTE, de los servicios siguientes: (i). El asesoramiento publicitario y de marketing directo en las campañas publicitarias de promoción de los productos y servicios de CLIENTE, y en especial, su creatividad y diseño. (ii). La recopilación y segmentación de los datos de carácter personal de los destinatarios de los envíos publicitarios, titularidad de PROVEEDOR DE DIRECCIONES, para su correcta utilización en las campañas de marketing de CLIENTE. La determinación de los criterios de recopilación, segmentación y utilización de datos corresponderá exclusivamente a PROVEEDOR DE DIRECCIONES, quién procurará, con la diligencia de todo buen empresario, dar respuesta a las características generales de la campaña de marketing que, en cada caso, resulte más adecuada para la promoción de los productos y servicios del cliente. (iii). La confrontación de los datos de carácter personal con la Lista Robinson de la FECEMD (Federación Española de Comercio Electrónico y Marketing Directo), con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. (iv). Impresión matricial, láser e ink-jet y personalización de los documentos publicitarios a enviar. (v). Inclusión en los documentos de una cláusula informando, al menos, de los siguientes extremos:
  3. i)de la identidad de PROVEEDOR DE DIRECCIONES como responsable de los ficheros donde están contenidos los datos,
  4. u)de la dirección donde los afectados pueden ejercer sus derechos de acceso, rectificación, cancelación y oposición, de acuerdo con lo establecido en la normativa sobre Protección de Datos de Carácter Personal, y iii) en supuesto de que se utilicen datos de carácter personal que figuren en fuentes accesibles al público, el origen de dichos datos. (vi). La entrega de los documentos publicitarios, una vez personalizados, o la tercera empresa que indique el cliente, para que ésta proceda, al doblado, ensobrado, franqueo y envío. >> NOVENO: En el mencionado contrato figuran: (folio 43) Como datos de MASS-MEDIA LASER, S.L. el NIF ***NIF.4, con domicilio en (C/...2), Madrid. Como datos de GLOBAL UNIÓN, S.L. el NIF ***NIF.1, con domicilio en (C/...3) Málaga, constando que actúa en nombre del mismo Don E.E.E.. DÉCIMO: En el Registro Mercantil Central el NIF ***NIF.1 consta bajo la denominación social DATALASER, S.L. (folios 112 al 115) UNDÉCIMO: En el Registro Mercantil Central consta como objeto social de la empresa MASS-MEDIA LASER, S.L., con NIF ***NIF.4: “La prestación de servicios de publicidad, mediante anuncios, carteles, folletos, películas publicitarias, a través de prensa, radio, televisión, publicidad aérea u otros medios.”, figurando como domicilio c/ (C/...11), Madrid. (folio 110) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
  6. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
  7. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” (el subrayado corresponde a la AEPD). De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se señalan en el punto 2, apartado f), del citado artículo 64 de la LPACAP. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
  8. f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. Por lo que transcurridos diez días hábiles, contados desde el día siguiente al de la publicación en el Boletín Oficial del Estado nº XX, de fecha DD/MM/AA, del anuncio de notificación del acuerdo de inicio del PS/00010/2017, sin que GLOBAL UNION o su representante hubieran comparecido en la forma indicada en dicho anuncio, se entendió por producida la notificación de dicho acuerdo a todos los efectos desde el día siguiente al del vencimiento del plazo señalado para comparecer, todo ello con arreglo a lo dispuesto en los artículos 44 al 46 de la LPACAP, que disponen que: “Artículo 44. Notificación infructuosa Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado». (…) Artículo 45. Publicación 1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
  9. a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.
  10. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. 2. La publicación de un acto deberá contener los mismos elementos que el artículo 40.2 exige respecto de las notificaciones. Será también aplicable a la publicación lo establecido en el apartado 3 del mismo artículo. En los supuestos de publicaciones de actos que contengan elementos comunes, podrán publicarse de forma conjunta los aspectos coincidentes, especificándose solamente los aspectos individuales de cada acto. 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. 4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente. Artículo 46. Indicación de notificaciones y publicaciones Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento. Adicionalmente y de manera facultativa, las Administraciones podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión que no excluirán la obligación de publicar en el correspondiente Diario oficial.” Notificado el mencionado acuerdo de inicio de conformidad con los preceptos citados, y transcurrido el plazo de diez días fijado en la LPACAP para hacer alegaciones al mismo, sin que GLOBAL UNION hiciera uso de dicho derecho en su defensa, y, puesto que dicho acto contenía “un pronunciamiento preciso acerca de la responsabilidad imputada”, el referido acuerdo de Inicio del expediente sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 PS/00010/2017 se considera, al amparo de lo dispuesto en el artículo 64.2.
  11. f)de la LPACAP, propuesta de resolución, de manera que la instructora del expediente lo eleva sin más trámites al órgano competente para resolver (ex artículo 88.7 LPACAP). III El artículo 43.1 de la LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, al disponer que: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley“. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  12. d)de la LOPD, el “Responsable del fichero o tratamiento” es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  13. q)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) se considera como “Responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” A su vez, el apartado
  14. g)del artículo 3 de la LOPD define como “Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.”, definición que completa en el art. 5.1.
  15. i)del RLOPD que establece que el encargado del tratamiento es “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.” Paralelamente, la LOPD concreta en su artículo 2 que su ámbito objetivo de aplicación se circunscribe a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. De acuerdo con esta delimitación, la LOPD establece la definición del fichero y diferencia las figuras de responsable del fichero y de responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
  16. b)y
  17. d)de ese artículo 3 de la LOPD anteriormente transcritos. Ello es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro ordenamiento jurídico, y conforme a ella, en el caso de los datos personales susceptibles de tratamiento automatizado, se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 definición de fichero. Por otra parte, el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, por el que se deroga la Directiva 94/46/CE y que será de aplicación a partir del 25 de mayo de 2018, establece en su artículo 2.1 que el objeto de la norma es el “tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. De la exposición precedente, se evidencia que el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros e, incluso, a los meros encargados de aquél que incumplan las instrucciones fijadas en el contrato o destinen los datos a otra finalidad o los comunique a terceros (ex. artículo 12.4 de la LOPD). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. En concordancia con lo expuesto, en el presente caso se ha producido un tratamiento de los datos personales del denunciante para enviarle un folleto de publicidad, en el que figuraban su nombre, apellidos y domicilio postal, invitándole a un evento comercial patrocinado por NATUR-VIDA, marca comercial de la mercantil GLOBAL UNION, a celebrar en la fecha, horas y lugar señalados en el envío. Esta acción se realizó, a la vista de los elementos de juicio obrantes en el procedimiento, por encargo de GLOBAL UNION, que era la empresa cuyos productos para la salud y bienestar se promocionaban en el envío postal recibido por el denunciante, para cuya remisión se utilizaron los datos personales del afectado registrados en un fichero titularidad de la mercantil MAS-MEDIA LASER, S.L., empresa a la que GLOBAL UNIÓN encargó la realización de la campaña publicitaria de sus productos y la selección del público objetivo o destinario de la misma mediante la fijación de parámetros, si bien de lo actuado ha quedado probado que ambas empresas participaron en la fijación de los parámetros identificativos de los destinatarios de la campaña estudiada tal y como se desarrollará más adelante. A tenor de lo expuesto, aunque GLOBAL UNION no haya realizado materialmente el envío del folleto postal promocional analizado decidió sobre la finalidad del tratamiento de los datos personales utilizados para la realización de la campaña publicitaria encargada a MAS-MEDIA LASER, S.L. en la forma anteriormente descrita, por lo que es responsable del tratamiento efectuado con los datos personales del denunciante en la acción de marketing directo reseñada en el Hecho Probado Segundo. Sin perjuicio de las responsabilidades en las que haya podido incurrir MASMEDIA LASER, S.L.,- entidad a la que también se ha incoado por esta Agencia un procedimiento sancionador por infracción al principio del consentimiento a raíz de la denuncia del afectado-, de la valoración conjunta de la documentación obrante en el procedimiento sancionador que nos ocupa y del análisis de los hechos declarados probados, se considera, que en el presente caso GLOBAL UNION ha actuado como “responsable del tratamiento”, ostentando, por tanto, una posición jurídica susceptible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 de generar responsabilidades administrativas derivadas del incumplimiento de la LOPD. IV El presente procedimiento se circunscribe a determinar si entidad GLOBAL UNION vulneró lo dispuesto en el artículo 6.1 de la LOPD en su relación con lo previsto en el artículo 30.1 de la misma norma y con lo dispuesto en el artículo 45.1 del RLOPD. El artículo 6 de la LOPD, en sus apartados 1 y 2, bajo la rúbrica “Consentimiento del afectado”, determina que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Ese precepto ha de integrarse con las siguientes definiciones recogidas en los apartados b), c),
  18. e)y
  19. h)el artículo 3 de la LOPD que definen los siguientes conceptos: “
  20. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  21. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” “
  22. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  23. c)del presente artículo”. “ “
  24. h)“Consentimiento del interesado” que ofrece el artículo 3
  25. h)de la Ley Orgánica 15/1999: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos de carácter personal. Derecho fundamental que en palabras del Tribunal Constitucional (STC 292/2000, Fundamento Jurídico 7) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este supuesto está probado que el denunciante recibió en el domicilio postal de la localidad en que está empadronado un folleto nominativo invitándole a acudir a un evento publicitario de NATUR-VIDA, firma comercial de GLOBAL UNION, procediendo los datos de carácter personal utilizados para la realización del mencionado envío postal publicitario de un fichero titularidad de MASS-MEDIA LÁSER, S.L., según se evidencia de la información que aparece en el pie del anverso del folleto aportado por el denunciante y figura en la documentación contractual obrante en el procedimiento. El artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ A su vez, el artículo 30.1 de la LOPD bajo la rúbrica de “Tratamientos con fines de publicidad y de prospección comercial”, dispone que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. Por otra parte, el artículo 45.1 del RLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, desarrolla el precepto anterior estableciendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23
  26. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  27. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  28. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ Así pues, tanto la LOPD como, más en concreto, su RLOPD, establecen que el tratamiento de datos personales con fines comerciales sólo es posible cuando exista consentimiento del afectado para ese tipo específico de tratamiento, y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad o, en su caso, sean datos personales procedentes de fuentes accesibles al público. Asimismo, el artículo 46 del RLOPD establece lo siguiente en cuanto al “Tratamiento de datos en campañas publicitarias” 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  29. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  30. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  31. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. V El presupuesto fáctico de la infracción atribuida a GLOBAL UNION se concreta en el tratamiento de los datos personales del denunciante (nombre y apellidos y dirección postal) para la realización de una acción de marketing comercial o publicitaria C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 sin que la entidad inculpada haya acreditado, a lo largo de la instrucción del procedimiento sancionador, el consentimiento inequívoco del afectado para tratar dichos datos con la finalidad descrita o la existencia de cualquier causa que la dispensase de esa exigencia. De acuerdo con los preceptos transcritos en el anterior Fundamento de Derecho, incumbe al responsable del tratamiento de los datos estar en disposición de probar que cuenta con el consentimiento inequívoco de su titular, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD, o, al menos, probar que adoptó las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD en su artículo 6.1. En esta línea, se trae a colación la Sentencia de la Audiencia Nacional, de fecha 1 de febrero de 2006, que en cuanto a la prueba de la existencia de un consentimiento inequívoco, señalaba lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. En este mismo sentido se pronunciaba la Audiencia Nacional en su Sentencia de fecha 4 de marzo de 2009, señalando que el consentimiento ”tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3.
  32. h)y 6.1 de la LOPD”. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 que el consentimiento debería ser demostrable”. Por otra parte, el artículo 6 del Reglamento General de Protección de datos, Reglamento (UE) 2016/679, norma aplicable a partir del 25 de mayo de 2018, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  33. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  34. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales (…)”, señalando el artículo 7.1 del mismo Reglamente en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. En el supuesto analizado, el denunciante ha comunicado la recepción en su domicilio de un folleto postal publicitario sin mediar consentimiento por su parte para el tratamiento de sus datos personales con dicha finalidad. Para acreditar estos hechos el denunciante ha aportado copia de un envío con el logotipo de la firma comercial NATUR-VIDA, que figura dirigido al afectado, cuyo nombre, apellidos y dirección postal de ***LOCALIDAD.1 (HUELVA) aparecen en el espacio del destinatario, tratándose de una convocatoria realizada por GLOBAL UNION para promocionar productos y servicios de la citada firma comercial mediante la asistencia a un evento a realizar en el COMPLEJO NAZARET de la localidad de ***LOCALIDAD.1 (HUELVA) el martes 1 de diciembre de 2015. La mercantil propietaria del establecimiento hotelero COMPLEJO NAZARET en el que se realizó el acto promocional de GLOBAL UNION remitió a esa Agencia, en fase de actuaciones previas de investigación, documentación de la que se desprende la vinculación existente entre la marca comercial NATUR-VIDA y la mercantil GLOBAL UNION. Así, la gestión de la reserva de alquiler de la sala para el día 1 de diciembre de 2015 se realizó, con fecha 9 de noviembre de 2015, desde una cuenta de correo electrónico del dominio natur-vida.com y facilitando el teléfono de contacto nº ***TEL.2 que TELEFONICA DE ESPAÑA, SAU ha identificado como titularidad de GLOBAL UNION (folios 101, 102 y 131 bis). Asimismo, la mercantil propietaria del citado establecimiento hotelero facturó el servicio prestado emitiendo, con fecha 1 de diciembre de 2015, una factura a nombre de GLOBAL UNION, con domicilio postal y fiscal coincidente con la dirección facilitada por ARSYS INTERNET, SLU ((C/...5)) como proporcionada por el cliente que contrató el dominio natur-vida.com (folios 130 al 131 bis), cuyo nombre y primer apellido (E.E.E.) coinciden con el de la persona que actuó en representación de GLOBAL UNION, S.L. cuando se firmó el “Contrato Proveedor de Direcciones con Cliente” citado en el Hecho Probado Octavo (folios 43 , 52). Además, dicha documentación evidencia que GLOBAL UNION contrató el alquiler del salón del COMPLEJO NAZARET a la mercantil D.D.D., S.L., propietaria del citado establecimiento, para el día 1 de diciembre de 2015. En consecuencia, GLOBAL UNION contrató el uso de dicha instalación para la celebración de la presentación de los productos de la marca NATUR-VIDA anunciados en el folleto publicitario recibido por el denunciante. Acreditado por esta Agencia el uso por parte de la inculpada de los datos personales del denunciante con fines de marketing directo, corresponde a GLOBAL UNION estar en condiciones de probar que había obtenido el consentimiento inequívoco del denunciante para el tratamiento con fines de publicidad de sus datos personales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 pues, salvo que se encuentre legalmente amparado o se produzca alguna de las excepciones establecidas en el artículo 6.2 de la LOPD, en este caso concreto que los datos utilizados procedían de fuentes accesibles al público, únicamente el consentimiento inequívoco justifica y legitimaría el tratamiento del que se la inculpa. Sin embargo, en las actuaciones efectuadas en el procedimiento no consta que la inculpada haya probado contar con el consentimiento inequívoco del denunciante para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por el propio denunciante o por haberse obtenido con su consentimiento para tal finalidad. Tampoco ha justificado la inculpada que concurriera alguno de los supuestos que dispensarían de tal consentimiento recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento, y que para este caso requeriría justificar que los datos personales del denunciante utilizados para remitir el envío postal publicitario denunciado procedían de alguna de las fuentes accesibles al público establecidas en el artículo 3.
  35. j)de la LOPD, ello habida cuenta que según la leyenda incluida al pie del anverso del propio folleto ese es el origen de la información de carácter personal tratada en el folleto publicitario nominativo que el denunciante recibió en su domicilio postal. (Hecho Probado Segundo). El artículo 3
  36. j)de la LOPD define como fuentes accesibles al público “ aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. En definitiva, GLOBAL UNION no ha aportado ningún medio de prueba que permita constatar que el tratamiento analizado se realizó con las garantías establecidas en los artículos 6.1 y 30.1 de la LOPD al no haber acreditado que disponía del consentimiento inequívoco del denunciante para usar sus datos personales con fines publicitarios y de prospección comercial o justificar, en su caso, que el supuesto examinado estaba amparado por una norma de rango legal o concurría alguna de las excepciones recogidas en el artículo 6.2 de la LOPD al principio general del consentimiento, en concreto, que fueran datos obtenidos de alguna de las fuentes de acceso público a las que se refiere el artículo 3.
  37. j)de la LOPD citado. Consecuentemente, los datos personales del afectado fueron utilizados con fines publicitarios por la entidad citada, sin que ésta contase con su consentimiento inequívoco para ello, por lo que se considera infringido el artículo 6.1 de la LOPD por parte de GLOBAL UNION, entidad que resulta responsable de la comisión de dicha infracción. VI Junto a las consideraciones efectuadas en el Fundamento de Derecho III de esta resolución, la condición de responsable del tratamiento de GLOBAL UNION se desprende de diversas circunstancias que evidencian que decidió sobre los parámetros identificativos de la campaña publicitaria de sus productos cuya realización encomendó a MAS-MEDIA LASER, S.L., lo que debe ponerse en relación con el artículo 46.2.
  38. c)del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 RLOPD, que establece que cuando la entidad que contrata la campaña y la entidad contratada intervienen en la determinación de los parámetros identificativos de los destinatarios de la publicidad, ambas, serán responsables del tratamiento de los datos personales efectuado. A través de la documentación aportada por el denunciante ha quedado acreditado que el folleto publicitario que éste recibió estaba remitido por GLOBAL UNION, y que en el mismo figuraba el logotipo de NATUR-VIDA, marca comercial de esta entidad. La Inspección de Datos, ha recabado información que prueba que GLOBAL UNION se puso en contacto con la mercantil propietaria COMPLEJO NAZARET para reservar, con fecha 9 de noviembre de 2015, el salón en el que se iba a celebrar la presentación del evento publicitario anunciado en el folleto denunciado. Es decir, GLOBAL UNION seleccionó el del establecimiento hotelero y contrató vía email el salón en la que se celebraría el evento promocional. Esta Agencia estima que la elección por GLOBAL UNION del lugar en el que se iba a celebrar la presentación promocional de sus productos implica que esa entidad participó en la fijación de los parámetros identificativos de los eventuales destinatarios de la campaña publicitaria en la que se trataron los datos personales del denunciante para promocionar sus productos. Téngase en cuenta que la elección de un determinado establecimiento ubicado en una zona geográfica, en este caso, la de la localidad de ***LOCALIDAD.1 y su área de influencia, lleva implícita una selección del potencial público destinatario de la campaña, del que se extraerán los datos personales de los destinatarios individuales en función de una determinada segmentación. Así, con independencia de que el resto de variables utilizadas para para acotar los destinatarios individuales del público objetivo de la campaña de marketing en la que se enmarca el envío analizado fueran determinados por MAS MEDIA LASER, S.L, el hecho de que GLOBAL UNION fuera la que determinara el área geográfica del público objetivo de la campaña seleccionando el establecimiento hotelero, y, por ende, municipio en el que se iba a celebrar el evento de presentación, conlleva la fijación de una variable asociada al área geográfica de localización del público objetivo destinatario de la campaña publicitaria encargada MAS MEDIA LASER, S.L. Así pues, GLOBAL UNION, a tenor de los artículos 43.1 de la LOPD y 46.2.
  39. c)del RLOPD es responsable del tratamiento de los datos personales del denunciante en el marco del envío publicitario analizado, el cual debió llevarse a cabo con arreglo a lo previsto en la normativa de protección de datos. Sentado lo anterior, para que pueda exigirse a GLOBAL UNION responsabilidad administrativa sancionadora resulta preciso la existencia del elemento subjetivo o elemento culpabilístico de la infracción. Así lo ha reconocido el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. La Ley 40/2015 del Régimen Jurídico del Sector Público se refiere a este requisito en su artículo 28 que dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El RLOPD incide también sobre la diligencia que ha de observar en lo relativo al tratamiento de los datos personales la entidad que contrata con un tercero una campaña publicitaria. El artículo 46.3 del RLOPD exige que estas entidades adopten las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las obligaciones impuestas en la LOPD y en el RLOPD. Esta Agencia considera que, a los efectos de la diligencia que resulta exigible a GLOBAL UNION, no basta con dar por ciertas las declaraciones realizadas por MASMEDIA LASER, S.L. en el “Contrato Proveedor de Direcciones con Cliente”, firmado el 1 de febrero de 2014 con dicha entidad, en el que el proveedor de datos titular del fichero utilizado para el desarrollo de la campaña de marketing aseguraba que la información obrante en el mismo se había obtenido de conformidad con lo previsto en la normativa de protección de datos, procediendo, según MAS-MEDIA LASER, S.L., de fuentes de acceso público o de los propios interesados medando su consentimiento para su uso con fines comerciales (puntos
  40. i)y
  41. ii)del acuerdo IX de dicho contrato, folios 48 y 49). En relación con esta exigencia de diligencia atribuible a la entidad que encarga la realización de la campaña publicitaria, no consta que GLOBAL UNION adoptase alguna medida tendente a asegurarse, como exige el artículo 46.3 RLOPD, de la veracidad de dichas manifestaciones a fin de comprobar que los datos del fichero habían sido obtenidos de fuentes accesibles al público o mediando el consentimiento de los afectados para su cesión a terceros con fines de publicidad del sector de actividad de la inculpada. Es decir, la inculpada no ha probado haber realizado con anterioridad a la firma del mencionado contrato algún tipo de comprobación para verificar el origen de los datos del fichero declarado por MAS-MEDIA LASER, S.L., ni ha justificado que una vez celebrado el mencionado contrato estableciera algún sistema o medida para comprobar durante la vigencia del mismo el origen de los datos personales de los destinatarios de la campaña resultantes de la segmentación del fichero y que su obtención se había producido con arreglo a lo dispuesto en los artículos 6 y 30.1 de la LOPD y 45.1 del RLOPD respeto al principio del consentimiento. Esta omisión de la inculpada demuestra su absoluta falta de diligencia en el cumplimiento de la normativa de protección de datos. Así pues, en su condición de responsable del tratamiento de los datos personales del denunciante, GLOBAL UNION resulta responsable de la comisión de una infracción del artículo 6.1 en su relación con lo previsto en los artículos 30.1 de la LOPD y 45.1 del RLOPD VII El artículo 44.3.
  42. b)dela LOPD tipifica como infracción grave “
  43. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. De acuerdo con todo lo expuesto en los fundamentos de derecho anteriores, la entidad GLOBAL UNION, en su condición de responsable del tratamiento de los datos personales del denunciante (artículo 43.1 de la LOPD y apartados 2.
  44. c)y 3 del artículo 46.2 del RLOPD), ha incurrido en la infracción descrita, ya que ha tratado los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 carácter personal del afectado para llevar a cabo una acción publicitaria sin acreditar que contaba con el consentimiento inequívoco del mismo o que existiera una habilitación legal que lo amparase, ni ha probado que dicho tratamiento respondiera a alguno de los supuestos que eximen de la exigencia de tal consentimiento a los que se refiere el artículo 6.2 de la LOPD. Por lo que, dicha empresa ha vulnerado el principio del consentimiento regulado en el artículo 6.1 de la LOPD, en relación, en este supuesto, tanto con lo dispuesto en el artículo 30.1 de la misma norma como con lo previsto en el artículo 45.1 del RLOPD, conducta que encuentra su tipificación en este artículo 44.3.
  45. b)de la citada Ley Orgánica. VIII El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  46. a)El carácter continuado de la infracción.
  47. b)El volumen de los tratamientos efectuados.
  48. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  49. d)El volumen de negocio o actividad del infractor.
  50. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  51. f)El grado de intencionalidad.
  52. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  53. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  54. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  55. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  56. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23
  57. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  58. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  59. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  60. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Hay que señalar que el citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente supuesto se considera que concurre el supuesto
  61. a)del artículo 45.5 LOPD, motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida por la inculpada la calificación de grave pero sancionarse conforme a las multas establecidas para las infracciones leves. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
  62. b)y
  63. d)del artículo 45.4 de la LOPD: en tanto que el volumen de los tratamientos no consentidos objeto del procedimiento afecta al tratamiento de los datos de carácter personal del denunciante en relación con un único envío postal (criterio b); por su volumen de negocio GLOBAL UNION es una microempresa (criterio d). Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se valoran como circunstancias agravantes: la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal (criterio c); asimismo, si bien no puede establecerse la existencia de intencionalidad en la conducta descrita, no cabe duda la falta de diligencia mostrada por la inculpada, en su condición de responsable del tratamiento publicitario efectuado con los datos de carácter personal de los destinatarios de la campaña publicitaria en la que se enmarca el envío postal estudiado, para asegurarse de que dichos datos, y en particular los del denunciante, cumplían con las exigencias establecidas por la normativa de protección de datos respecto del principio del consentimiento, máxime considerando que el artículo 46.3 del RLOPD se refiere expresamente a la obligación que tienen las entidades que encargan una campaña publicitaria de asegurarse que la persona con quien contrata recabó los datos respetando las exigencias impuestas por la LOPD. (criterio f). Finalmente, y también a los efectos de la graduación de las sanciones se entiende operan como circunstancia atenuante el criterio
  64. a)del artículo 45.4 de la LOPD al no tener la infracción carácter continuado. Teniendo en cuenta los criterios de graduación de las sanciones establecidos en los apartados 4) y 5) del artículo 45 de la LOPD anteriormente expuestos, y de conformidad con el principio de proporcionalidad que ha de presidir la imposición de las sanciones recogido en el artículo 29.3 de la Ley 40/2015, de 1 de octubre, de Régimen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 Jurídico del Sector Público, se considera adecuado a la gravedad de los hechos analizados imponer a GLOBAL UNIÓN una multa de 3.500 euros por la comisión de una infracción al principio del consentimiento. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GLOBAL UNION COMMERCE CORPORATION, S.L., por una infracción del artículo 6.1 de la LOPD en su relación con lo dispuesto en el artículo 30 de la misma norma, tipificada como grave en el artículo 44.3.
  65. b)de la LOPD, una multa de 3.500 € (Tres mil quinientos euros), de conformidad con lo establecido en los apartados 1, 2, 4 y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a GLOBAL UNION COMMERCE CORPORATION, S.L.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.