PS-00033-2017

1/40 Procedimiento Nº PS/00033/2017 RESOLUCIÓN: R/01574/2017 En el procedimiento sancionador PS/00033/2017, instruido por la Agencia Española de Protección de Datos a MEYDIS, S.L., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Mediante resolución R/01439/2016 de fecha 9 de junio de 2016 la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos que procediese a realizar la correspondiente investigación, en el marco del expediente de actuaciones previas E/02737/2016, al no haber prescrito la presunta infracción cometida por las entidades MACRO SELECT PRINT, S.L. (en adelante MSP) y MEYDIS SL (en adelante entidad denunciada), en relación con la denuncia presentada por D. A.A.A. (en lo sucesivo el denunciante), en la que manifestó a esta Agencia que: “He recibido un envío de publicidad no requerida sin haber facilitado mis datos a nadie que no sea un organismo estatal o compañía de servicios de suministros básicos. No figuramos en guía telefónica. He tratado de llamar a esta empresa pero no figura número telefónico. He tratado de llamar a la empresa que indican propietaria del fichero, pero parece que se encuentra sin actividad y sin número de teléfono”. Aportaba el denunciante, para acreditar estos hechos, copia del envío citado, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convocaba al denunciante a una demostración comercial a realizar en el HOTEL LEUKA (en adelante el HOTEL) de Alicante el día 21 de abril de 2015. El documento exhibe el logotipo de SMP, y en el sobre consta como remitente SISTEMAS MEDICOS PROFESIONALES, S.L., cuya denominación actual es PLENISAN, S.L. (en adelante PLENISAN). El documento muestra un pie de página en que se informa que los datos utilizados para la campaña tienen su origen en los ficheros de MACRO SELECT PRINT, S.L., pudiendo ejercer los derechos ARCO en el apartado de correos ***CP.1 de Madrid. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevó a cabo la investigación más abajo detallada. De esta manera, en el informe de actuaciones de investigación E/02737/2016 se detalla lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/40 1. <<Solicitada información al HOTEL, aporta acreditación de haber facturado el alquiler de un salón los días 20 a 23/4/2015, así como correo electrónico mediante el que se le envía justificante de la transferencia de pago de la sala, realizado en fecha 15/4/2015, pero no aporta acreditación de la reserva de sala. 2. De la información y documentación aportada por Correos respecto del apartado de correos número ***APTDO.1 de Madrid se desprende: a. Mediante contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual del apartado de correos citado, el domicilio aportado fue en la (C/...1) - ***CP.2 Madrid. Aportaban igualmente como teléfono de contacto del administrador el número de línea móvil ***TEL.1. b. Junto a la documentación se incluye copia del DNI del administrador de la entidad, en el que figura como domicilio la calle (C/...2)de Madrid. c. Aporta igualmente Correos copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014. En dicha escritura figura D. B.B.B., quien crea la misma actuando en su propio nombre, suscribiendo la totalidad de las acciones emitidas de dicha sociedad constituyéndose como socio único y administrador de la misma. En dicha escritura D. B.B.B. cita como domicilio propio la calle (C/...2) de Madrid, que coincide con la sede social de la entidad constituida. d. Entre la documentación aportada por Correos, figuran como autorizados a recoger la correspondencia de MSP C.C.C. y D.D.D., empleados de MEYDIS según se ha podido acreditar mediante la información aportada por la Tesorería General de la Seguridad Social. 3. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle (C/...2), 8º 14 de Madrid, sede social de MACRO SELECT PRINT S.L., llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono ***TEL.1, teléfono conocido del administrador único de la entidad, que no es contestada. - A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el interior. Durante la espera se realiza una nueva llamada al número de teléfono ***TEL.1, que no es contestada. - C/ Jorge Juan, 6 28001 – Madrid Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo D. B.B.B., administrador de MACRO SELECT PRINT www.agpd.es sedeagpd.gob.es 3/40 S.L. Pese a ser el domicilio conocido de MACRO SELECT PRINT S.L. no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. - Se intenta acceder a la calle (C/...1) 18, pero se observa que no existe dicho número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/...1) 8 que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle (C/...2), y tras llamar a dicho domicilio, atiende una persona …, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a D. B.B.B.. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee B.B.B. indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con D. B.B.B., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>>. Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones profesionales, solicitan ponerse en contacto con D. B.B.B., la persona que les atiende, que se identifica como D. E.E.E., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a D. B.B.B. que se ponga en contacto con el mismo. El gerente de ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. 4. Mediante escrito con fecha 28 de octubre de 2015 el administrador de MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/40 Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento>>. 5. Se ha solicitado al administrador de MSP que informe de la dirección efectiva de administración y ...6 de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos. 6. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. c. Aportan copia del contrato y la factura de servicios profesionales prestados a PLENISAN. 7. Solicitada información al BANCO BILBAO VIZCAYA ARGENTARIA, S.A. respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, se ha podido comprobar que entre el 10/9/2015 y el 2/2/2015 se han realizado un total de 20 accesos desde la dirección ***IP.1, que está asignada a MEYDIS. 8. Mediante la correspondiente diligencia se ha podido comprobar que en la URL ***WEB.2 aparece una presentación publicitaria de MEYDIS en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/40 que se anuncia que la entidad dispone información de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos: - persona de contacto (titular del teléfono), - dirección postal completa, - nivel socioeconómico de la unidad familiar, - edad del titular del teléfono, - nivel cultural del titular del teléfono. 9. La Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda ha informado que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección ***IP.1. Dicha IP está asignada a MEYDIS. 10. En fecha 7 de abril de 2016 se realizó visita de inspección a MEYDIS S.L. (en adelante MEYDIS. Durante la misma, los inspectores comunicaron al representante de MEYDIS S.L. que su visita tiene relación con la denuncia presentada con motivo de un envió publicitario impreso por la entidad,. Manifiestan los representantes de la entidad que actualmente existen abiertos un total de siete procedimientos sancionadores contra la misma por idénticos hechos a los que van a ser objeto de la presente inspección, sobre los cuales se ha solicitado la acumulación ante la Agencia y sobre los cuales no se ha abierto fase probatoria, por lo que la información que se obtenga en las presentes actuaciones podría vulnerar el derecho de defensa en dichos procedimientos. Igualmente desean manifestar que se están recabando mediante inspección información que se podría haber recabado igualmente por escrito, sin necesidad de interrumpir el funcionamiento de la empresa. También solicitan hacer constancia que la autorización en base a la cual se realiza la inspección el día de hoy fue concedida por la directora de la Agencia con fecha 21/1/2016, antes de que se incoaran contra MEYDIS los procedimientos sancionadores actualmente abiertos, lo cual entienden que puede afectar a la legalidad de la inspección. 11. Los representantes de MEYDIS realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Solicitada a la entidad copia en soporte digital de la hoja Excel de la solicitud de información de la campaña ***CAMPAÑA.1 de PLENISAN, informan los representantes de MEYDIS que dicha información no está disponible en soporte electrónico solo en papel, además la empleada que se encargaba del tema está de baja desde el día 29/1/2015, mostrando a los inspectores copia de dicho documento, que no se recaba. Solicitado el acceso al ordenador en que se recibieron los correos electrónicos, los representantes de la entidad señalan que tienen permitido el uso privado a los empleados, por lo que consideran que se estaría vulnerando el secreto de la comunicaciones y no pueden dar acceso dichos correos. Señalado por los inspectores que existe jurisprudencia que permite a la empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/40 el acceso al correo del empleado, señalan los representantes de la entidad que es únicamente cuando no se permite a los empleados el uso privado, pero en MEYDIS si se permite dicho uso. Respecto al motivo por el que han podido aportar la documentación en posteriores solicitudes de información, los representantes de la entidad informan que se debe a que dicha documentación ha sido impresa y se encuentra archivada. Solicitada documentación relativa a la campaña aludida, manifiestan los representantes de la entidad que solicitemos los documentos que estimemos oportunos, que ellos los proporcionaran. Señalan los inspectores que desean obtenerlos, examinando el lugar en el que los documentos se encuentren, a lo que los representantes de la entidad se niegan, pues consideran que la información obtenida podría ser utilizada en perjuicio de su derecho de defensa en los procedimientos ya incoados por hechos idénticos. b. Los representantes de la entidad aportan copia impresa del correo electrónico por el que se encargaba a MEYDIS la realización de la citada campaña, así como de su fichero adjunto, del que se recaba copia. Examinado dicho documento, se observa que se trata de un correo electrónico fechado el 24/3/2015, emitido desde la cuenta .....1@sistemas-medicos.com con destino a las cuentas de dos empleadas de la entidad, siendo una de ellas la empleada de baja, y la segunda es F.F.F.. Al correo aportado le acompaña un fichero anexo en formato Excel. El documento impreso aportado como anexo a dicho documento tiene como referencia ***CAMPAÑA.1y dentro de los parámetros de la carta figura: CARTA: <entidad hostelera> <dirección> <población> Que contrasta con aportaciones anteriores de similar documento en otras actuaciones de inspección, en donde, según la entidad, aparecía: ENVIAR DATOS CARTA: <entidad hostelera> <dirección> <población> E igualmente contrasta con el formato de similar documento obtenido durante la inspección realizada en MEYDIS en fecha 11/1/2016, en donde, para un caso similar se encontró que el formulario remitido por PLENISAN a MEYDIS tenía el formato: C/ Jorge Juan, 6 28001 – Madrid ENVIAR DATOS CARTA: - Una x domicilio <entidad hostelera> www.agpd.es sedeagpd.gob.es 7/40 -Hombres y Mujeres <dirección> - Preferente Mujeres <población> - Eliminar: Analfabetos - SocioEconómico: Bajo Por lo que se comprueba que la entidad ha ido cambiando la versión proporcionada del documento, según han avanzado las diversas actuaciones previas de inspección y procedimientos sancionadores abiertos a la entidad. c. Solicitado ir al puesto de F.F.F., a fin de que ésta pueda realizar la búsqueda de la documentación y obtener el soporte electrónico de los correos, los representantes de la entidad niegan el acceso al puesto de la misma, por las mismas razones invocadas en el último párrafo de la letra 11.a. , afirmando además que los archivos y equipos se encuentran ubicados en locales que tienen la consideración legal de domicilio de la entidad, no ha dado MEYDIS consentimiento para acceder a ellos y carecer los inspectores actuantes de autorización judicial para ello. A tal efecto, invocan el apartado 2 del artículo 28 del Real Decreto 428/1993 por el que se aprueba el Estatuto de la Agencia, por el que se dispone que: <<2. El responsable del fichero estará obligado a permitir el acceso a los locales en los que se hallen los ficheros y los equipos informáticos previa exhibición por el funcionario actuante de la autorización expedida por el Director de la Agencia. Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá ajustarse además a las reglas que garantizan su inviolabilidad.>> Informan los inspectores al inspeccionado que, según señala el RLOPD: <<Artículo 124. Obtención de información. Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de ...6 y soporte del fichero o ficheros sujetos a investigación, accediendo a los lugares donde se hallen instalados.>> d. Aportan los representantes de la entidad copia de la factura relativa a la campaña, así como detalle de dicha factura, y de la ficha contable de PLENISAN S.L. Examinada dicha documentación, se comprueba que los representantes de la entidad han señalado como correspondiente a la campaña publicitaria ***CAMPAÑA.1 la orden de trabajo 1956/15 facturándose el concepto: <<Plegado de carta, ensobrado, cierre de sobre, clasificación y preparación para su depósito en Correos (incluye materiales)>> Con un total de 69.639 cartas para dicha orden de trabajo, y un total de 961914 cartas facturadas por los trabajos de abril de 2015. Examinada la ficha de contabilidad de la cuenta de PLENISAN es completamente irregular, pues todos los apuntes están realizados en el debe, apareciendo incluso apuntes con importes en negativo, no apareciendo ni un solo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/40 apunte en el haber. e. Aportan los representantes de la entidad copia de la factura relativa a la campaña, así como detalle de dicha factura, de la ficha contable y órdenes de pago de MSP. Examinada dicha documentación, se observa que la factura fue emitida en fecha 30/5/2015 respecto de la orden de trabajo ..../15, apareciendo en el concepto de trabajos realizados: <<MAQUETACION, PERSONALIZACIÓN Y OTROS SERVICIODE DISEÑO, PERSONALIZACIÓN DE CARTAS EDITORIALES, GRABACIÓN Y OTROS PROCESOS REALIZADOS PARA SUS CLIENTES (ver Informe)>> Aporta igualmente justificantes bancarios de los ingresos en pago de la factura. 12. En fecha 21/4/2016 tiene entrada un escrito de MEYDIS en que aporta la siguiente documentación, que le fue solicitada durante la inspección: a. Correo electrónico fechado el 31/3/2015 remitido a dos cuentas del dominio sistemas-medicos.com y a F.F.F. en que se remite una prueba anonimizada de la carta que posteriormente seria impresa. b. Correo electrónico fechado el 1/4/2015 remitido desde una cuenta del dominio sistemas-medicos.com en que se da conformidad a la prueba. c. Correo electrónico de fecha 6/4/2015 en que se remite a “.... SMP” con copia para F.F.F. la prueba ya personalizada con datos reales. d. Correo electrónico fechado el 7/4/2015 en que “.... SMP” da la conformidad a la prueba. e. En acreditación del pago de los servicios facturados a PLENISAN aporta la entidad impresión de pantalla del sistema de Eurofactor en la que aparece una transacción correspondiente a una factura coincidente con la referencia ***FACTURA.1 de la factura emitida a PLENISAN y por el mismo importe que aquella. No aporta pantalla en la que figure el cobro de la misma. 13. En fecha 21/4/2016 tiene entrada un escrito de PLENISAN del que se desprende: a. Documento de fecha 29/12/2014 mediante el que se confirmaba la reserva de salas para los días 20 a 26 de abril de 2015 en el HOTEL. b. Factura emitida a la entidad por MSP en fecha 30/4/2015 por los servicios prestados durante el mes de abril. Aporta igualmente justificante de pago de dicha factura. c. Solicitada acreditación de la participación de MSP en la campaña, no aporta documento acreditativo, sino uno coincidente con la prueba personalizada aportada por MEYDIS, en el que pretende C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/40 que la acreditación sea el propio pie de página en que se responsabiliza a MSP de los datos de la campaña. d. Respecto a la acreditación del envío de la creatividad de dicha la campaña a MEYDIS, manifiesta la entidad: <<no disponemos de ese correo electrónico en concreto. Es debido a que en ocasiones, cuando enviamos varias creatividades a la vez, no podemos hacerlo por correo electrónico por el tamaño de los archivos y puede haber sido enviado con un pen-drive a MEYDIS, por ello es posible que se enviara de esa forma y no encontramos el correo electrónico.>> e. Respecto de la documentación acreditativa del encargo a MEYDIS de la impresión de la campaña, aporta la entidad copia de la siguiente documentación: - Correo electrónico de 24/3/2015, dirigido a personal de MEYDIS (F.F.F. y H.H.H.), desde la cuenta .....1@sistemas-medicos.com en la que se solicita la impresión de las cartas según las instrucciones adjuntas a ese correo electrónico, en un fichero en formato Excel que se aporta impreso. Aunque se ha solicitado explícitamente a la entidad copia del soporte electrónico en formato electrónico, no lo ha aportado. - Correo electrónico de 31/3/2015 dirigido a .....1@sistemasmedicos.com (***NOMBRE.1 SMP) y otros destinatarios desde el correo de ...2@meydis.com (H.H.H.) y con copia a ...1@meydis.com (F.F.F.), al que se adjuntaban las cartas impresas de la campaña publicitaria para dar la aprobación. - Correo electrónico de 1/4/2015, dirigido al personal de Meydis (H.H.H.), desde la cuenta .....2@sistemas-medicos.com con nombre del asunto “Depósito 9 de abril” en el que se da la aprobación de unas cartas del depósito del 9 de abril de 2015. - Correo electrónico de 6/4/2015, dirigido a .....1@sistemasmedicos.com (y otros destinatarios) desde el correo de ...2@meydis.com, y con copia a ...1@meydis.com al que se adjuntaban las cartas impresas de la campaña publicitaria del depósito del 10 de abril de 2015 para que se le dé la aprobación final. Estas cartas ya cuentan con datos personales de los destinatarios. - Correo electrónico de 07/4/2015, dirigido a ...1@meydis.com y ...2@meydis.com en el que, en respuesta al anterior, desde la dirección de e-mail de .....1@sistemas-medicos.com (***NOMBRE.1 SMP) donde da a MEYDIS la conformidad con la carta cuyo modelo se había enviado a PLENNISAN. f. Una página de la factura ***FACTURA.1emitida por MEYDIS a PLENISAN por los trabajos de la campaña. Pese a haber sido solicitado expresamente, la entidad no aporta documentación acreditativa de la participación real de MSP en la campaña origen de la carta aportada por el denunciante>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/40 TERCERO: Con fecha 9 de febrero de 2017 la Directora de esta Agencia acordó iniciar procedimiento sancionador a MEYDIS, S.L. por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. CUARTO: Con fecha 8 de marzo de 2017, previo trámite de audiencia de remisión de copia del expediente de actuaciones previas de investigación E/02737/2016 en fecha 15 de febrero de 2016 y concesión de ampliación de plazos, tuvo entrada en esta Agencia un escrito de la entidad MEYDIS, S.L. en el que se realizaban las correspondientes alegaciones al Acuerdo de inicio del presente procedimiento sancionador detallado más arriba. En síntesis, se solicitaba el archivo de actuaciones por caducidad de las actuaciones previas de investigación, así como por no haber cometido infracción de la normativa de protección de datos personales, por una utilización fraudulenta de las actuaciones inspectoras (con especial referencia a lo actuado en el PS/00190/2016) y, en cualquier caso, porque MEYDIS no era responsable del tratamiento de los datos del denunciante, al actuar como encargado del tratamiento habido (con “tareas de impresión, manipulado y puesta en correos”), ello de acuerdo con el contrato aportado entre las partes en fecha 6 de mayo de 2013, cumpliendo la oportunas medidas de seguridad y obligándose a destruir los datos una vez prestado el servicio para el que fueron contratados, en concordancia con lo establecido en el artículo 12 de la LOPD. Asimismo, alegaba que la entrada en vigor del nuevo Reglamento europeo (Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE en materia de protección de datos personales); norma que vendría a provocar una atipicidad sobrevenida de los hechos, con su aplicación retroactiva de la norma más favorable, de acuerdo de la doctrina del “interés legítimo”. En conclusión, se alegaba la vulneración de la presunción de inocencia y prueba indiciaria y el principio de seguridad jurídica, existiendo por todo esa ya citada nulidad de actuaciones (por utilización fraudulenta de las actuaciones inspectoras, con menoscabo al derecho de defensa), con vulneración también del principio de tipicidad. Se destacaba que el testimonio de la extrabajadora de HOME XXI no podría valorarse como se está valorando, pues fue realizado dicho testimonio “en un escenario concreto y específico”. Para acreditar estos extremos, se solicitaba la práctica de determinadas pruebas, que se van a analizar con más detalle más abajo. QUINTO: Con fecha 14 de marzo de 2017, y transcurrido el plazo de alegaciones que se concedió en el citado Acuerdo de iniciación del presente Procedimiento Sancionador, se acordó abrir periodo de práctica de pruebas por un plazo de diez días, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LAPACAP), practicándose las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/40 Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección E/02737/2016, consistente en la denuncia y su documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante las entidades investigadas, en concreto, informes de HOTEL LEUKA, C.B., de MACRO SELECT PRINT, S.L., de MEYDIS, S.L. y de la Inspección de Datos de esta Agencia, Informe de actuaciones previas de Inspección de fecha 20 de junio de 2016, con el Acta de Inspección E/05014/2015/I-01 de fecha 7 de abril de 2016 a MEYDIS, S.L., Acta de Inspección E/02253/2015/I-01 de fecha 11 de enero de 2016 a MEYDIS, S.L., Inspección I/00005/2015 a MACRO SELECT PRINT, S.L. en fecha 28 de octubre de 2015, y diligencias de 4 de noviembre de 2015, de 16 de febrero de 2016 (consulta sobre MEYDIS en la web ***WEB.1) y 18 de abril, 16 y 20 de junio, de 2016, de incorporación de documentos, en especial, informes de la FÁBRICA NACIONAL DE MONEDA Y TIMBRE de fecha 29 de febrero 2016, de la ex empleada de HOME XXI, cliente de MEYDIS, testimonio de fechas de 15 de diciembre de 2015 y 29 de mayo de 2016, Dª. NOMBRE.1 (datos personales que constan en el expediente), de la S.E. CORREOS Y TELÉGRAFOS, S.A. de fecha 19 de octubre de 2015 y de la TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL del MINISTERIO DE EMPLEO Y SEGURIDAD de fechas 31 de mayo de 2015 y 13 de junio de 2016; así como las alegaciones de MEYDIS, S.L. de fecha 6 de marzo de 2017 al Acuerdo de inicio citado más arriba. También se incorporan al expediente y, por tanto, dar por reproducido a efectos probatorios la documentación obrante en los archivos de esta Agencia, de manera especial, en los procedimientos sancionadores PS/00047/2016, PS/00053/2016, PS/00107/2016, PS/00121/2016, PS/00124/2016, PS/00190/2016 y PS/00436/2016. Todo ello con su correspondiente documentación adjunta. De manera concreta, se especifica de manera especial la incorporación al expediente a efectos probatorios del testimonio que, en fechas de 15 de diciembre de 2015 y 29 de mayo de 2016, Dª. NOMBRE.1 (datos personales que constan en el expediente), ex empleada de un cliente de MEYDIS, hizo a esta Agencia, manifestando que MSP era una entidad meramente formal y que nunca trató con personal de dicha entidad, a pesar de que era la responsable de los asuntos a tratar, y en cambio trató con personal de MEYDIS. Asimismo manifestó que MSP cambiaba de denominación social según le iba indicando MEYDIS. Finalmente manifestó que el esquema de negocio en acciones de marketing postal nominativo respondía a la determinación de las características de los destinatarios por parte del cliente (en este caso PLENISAN) para que el proveedor de la base de datos genere un determinado fichero de destinatarios de dichas acciones. Asimismo, afirmó, entre otras cuestiones, lo siguiente: “(…) En su comienzo HH solicitaba el número de registros o ...3es fijando unos determinados criterios como son rango de edad, sexo, nacionalidad, nivel socio cultural, nivel de estudios etc. Estos registros se pedían-por c.p o poblaciones y la empresa Meydis se encargaba de su manipulación, ensobrado y envió.(…) (…) La relación comercial entre HH y Msp comenzó en julio de 2014 ya que anteriormente la empresa msp tenía otras razones sociales, detalló a continuación las que recuerdo: -Megadis -Mega Data integral services(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/40 (…) se le solicitaba la información de cuantos registros tenían para una población en concreta o c.p y posteriormente nosotros les decíamos cuántos envíos queríamos que realizasen indicándoles el lugar de celebración de la campaña, la invitación a utilizar horarios de reuniones etc. y ellos seleccionaban dicho fichero, imprimían y manipulaban las invitaciones para su posterior envió.(…) (…) En el año 2014 comenzamos a comprar dichas bases de datos, se le solicitaba por email las poblaciones o c.p que queríamos comprar, ellos nos enviaban una estadística en la que salía por población y c.p los registros de los que disponían según nuestros criterios marcados por la compañía, se les daba un ok de aceptación y posteriormente Msp nos enviaba la base de datos solicitada en formato Excel con la información que nosotros pedíamos: - Nombre y apellidos - DNI - Dirección completa - Localidad - Provincia - C.P - Fecha de nacimiento - Datos del cónyuge (nombre y apellidos, DNI y fecha de nacimiento) - Teléfono (…) (…) aclaro que siempre hemos trabajado con Meydis con Macro era puro formalismo mediante un contrato pero realmente esta empresa ni siquiera nos facturaba siempre era Meydis incluso los ficheros que nos proporcionaban con la información de clientes nos la mandaban desde Meydis. La única diferencia ha sido que en nuestras cartas íbamos modificando según nos solicitaba Meydis la empresa que era propietaria de los ficheros y que es obligatorio ponerlo en la parte inferior de la carta, esta empresa si no recuerdo mal se cambió unas tres o cuatro veces, por lo que yo tenía entendido era que en cuanto tenían alguna denuncia importante cerraban dicha empresa y abrían otra, pero realmente con la que siempre hemos trabajado es Meydis.(…) (…) TODO lo tratábamos con Meydis, solicitudes, cambios, estadísticas, composiciones de cartas, etc nunca he tratado con nadie de la empresa Macro Select Print, el correo que aparece en mi antiguo escrito es porque recibí un único mail de esta dirección, todo lo demás eran de Meydis (…)”. SEXTO: Con fecha 27 de marzo de 2017, y transcurrido ese periodo de práctica de pruebas, se inició el trámite de audiencia de acuerdo con el artículo 82 de la LAPACAP, poniendo de manifiesto el expediente al presunto responsable, y se le concedió un plazo de quince días hábiles para formular alegaciones y aportar cuantos documentos estimase de interés. Asimismo, se notificó la relación de documentos obrantes en el procedimiento. SÉPTIMO: Con fecha 1 de diciembre de 2016 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/40 sancionase a MEYDIS, S.L. con multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.1 de la misma norma y en relación también con los artículos 45 y 46 del RLOPD; infracción tipificada como grave en el artículo 44.3.
2. b)de la LOPD y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica. En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del procedimiento, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas; y se acompañó la ya citada relación de los documentos obrantes en el procedimiento. OCTAVO: Dicha propuesta de resolución fue notificada en efecto a MEYDIS, S.L. en fecha 26 de abril de 2017, concediéndose el citado plazo para formular alegaciones; remitiendo a esta Agencia dicha entidad un escrito de esta misma fecha por la que solicitaba copia “completa e íntegra” del expediente. HECHOS PROBADOS PRIMERO: Que D. A.A.A. manifestó a esta Agencia que: “He recibido un envío de publicidad no requerida sin haber facilitado mis datos a nadie que no sea un organismo estatal o compañía de servicios de suministros básicos. No figuramos en guía telefónica. He tratado de llamar a esta empresa pero no figura número telefónico. He tratado de llamar a la empresa que indican propietaria del fichero, pero parece que se encuentra sin actividad y sin número de teléfono” (folio 1). SEGUNDO: Que para acreditar estos hechos aportó copia del envío citado, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convocaba de nuevo al denunciante a una demostración comercial, dado que “aproximadamente quince días” ya se le había remitido una primera carta invitación. A celebrar en el HOTEL LEUKA de Alicante el día 21 de abril de 2015. El documento exhibe el logotipo de SMP, ref. ***CAMPAÑA.1 ***1 A ***2, y en el sobre consta como remitente SISTEMAS MEDICOS PROFESIONALES, S.L., cuya denominación actual es PLENISAN, S.L. (folio 4). TERCERO: Que en el pie del escrito detallado los punto anteriores se recoge que los datos personales tenían su origen en un fichero de MACRO SELECT PRINT, S.L. e informando que los derechos de acceso, rectificación, cancelación u oposición podían ejercitarse en el ***APTDO.1(folio 4). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/40 CUARTO: Que MACRO SELECT PRINT, S.L. ha manifestado a esta Agencia, y como consta suficientemente acreditado en respuestas a múltiples requerimientos de información realizados en diversas actuaciones previas de inspección, que los datos personales para campañas publicitarias habían sido obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.), revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc; sin que nunca se haya aportado prueba acreditativa de ello y utilizando parámetros de identificación de los destinatarios de cada campaña, consistiendo en una segmentación por zona de ubicación del domicilio (por todos, folios ....). QUINTO: Que MEYDIS manifestó a esta Agencia, en relación con el fichero para la confección de la impresión publicitaria, para la que estaba contratado, lo siguiente: “la empresa MSP no nos informaba de que un fichero estaba disponible para confeccionar la impresión de la publicidad. Simplemente, cada vez que recibíamos una orden de trabajo de nuestro cliente Plenisan, accedíamos al FTP en el que MSP colocaba los ficheros y ya nos encontrábamos colocado ahí el que debía utilizarse para esa concreta carta publicitaria. Como también se ha indicado a esa Agencia en ocasiones anteriores, en la actualidad, ya no conservamos en nuestros sistemas los registros de actividad”; sin embargo, la entidad no ha aportado documentación alguna que acredite lo expuesto (por todos folio 81). SEXTO: Que, tal como informó el HOTEL RESIDENCIA LEUKA a esta Agencia en fase de actuaciones previas de investigación, éste contrató con PLENISAN el Salón Benacantil del citado hotel residencia en Alicante para los días 20 a 23 de abril de 2015 (folios 10 a 13). SÉPTIMO: Que la Inspección de Datos de esta Agencia, en inspección realizada a la entidad MEYDIS, S.L., Acta de Inspección E/05014/2015/I-01 (folios 19 a 42), en fecha 21 de abril de 2015, ha constatado que el envío publicitario detallado en el punto 2º anterior fue impreso por esta entidad MEYDIS, S.L. en la campaña ***CAMPAÑA.1, estando relacionada en soporte papel y no electrónico (folios 19 y 205). OCTAVO: Que la Inspección de Datos de esta Agencia en fecha 23 de febrero de 2016 constató que en la URL ***WEB.2 aparecía una presentación publicitaria de MEYDIS, S.L. en la que se anunciaba que la entidad dispone de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos personales: persona de contacto (titular del teléfono), dirección postal completa, nivel socioeconómico de la unidad familiar, edad del titular del teléfono y nivel cultural del titular del teléfono (folios 43 y 155). NOVENO: Que la Inspección de Datos de esta Agencia ha constatado que los parámetros de selección de estas campañas publicitarias son (por todos, folios 175 y 176): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/40 ENVIAR DATOS CARTA: - Una x domicilio <entidad hostelera> - Hombres y Mujeres <dirección> - Preferente Mujeres <población> - Eliminar: Analfabetos SocioEconómico: Bajo DÉCIMO: Que los parámetros de selección de los correspondientes datos personales a utilizar en las distintas campañas publicitarias ofrecidos en la página web del Grupo MEYDIS, descrita en el punto 8º anterior, coinciden casi en su totalidad con los criterios de selección fijados y demandados por PLENISAN detallados en el punto 9º anterior (folios 230 a 239). UNDÉCIMO: Que en fechas de 15 de diciembre de 2015 y 29 de mayo de 2016 Dª. NOMBRE.1 (datos personales que constan en el expediente), ex empleada de un cliente de MEYDIS, manifestó a esta Agencia que MSP era una entidad meramente formal y que nunca trató con personal de dicha entidad, a pesar de que era la responsable de los asuntos a tratar, y en cambio trató con personal de MEYDIS. Asimismo manifestó que MSP cambiaba de denominación social según le iba indicando MEYDIS. Finalmente manifestó que el esquema de negocio en acciones de marketing postal nominativo respondía a la determinación de las características de los destinatarios por parte del cliente (en este caso PLENISAN) para que el proveedor de la base de datos generase un determinado fichero de destinatarios de dichas acciones. Añadiendo de forma literal que “siempre hemos trabajado con Meydis con Macro era puro formalismo mediante un contrato pero realmente esta empresa ni siquiera nos facturaba siempre era Meydis incluso los ficheros que nos proporcionaban con la información de clientes nos la mandaban desde Meydis. La única diferencia ha sido que en nuestras cartas íbamos modificando según nos solicitaba Meydis la empresa que era propietaria de los ficheros y que es obligatorio ponerlo en la parte inferior de la carta, esta empresa si no recuerdo mal se cambió unas tres o cuatro veces, por lo que yo tenía entendido era que en cuanto tenían alguna denuncia importante cerraban dicha empresa y abrían otra, pero realmente con la que siempre hemos trabajado es Meydis. (…) (…)TODO lo tratábamos con Meydis, solicitudes, cambios, estadísticas, composiciones de cartas, etc nunca he tratado con nadie de la empresa Macro Select Print, el correo que aparece en mi antiguo escrito es porque recibí un único mail de esta dirección, todo lo demás eran de Meydis (…)” (folios 320 a 325). DUODÉCIMO: Que la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda informó a esta Agencia que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección ***IP.1 (folio 151). Dicha IP está asignada a MEYDIS (folio 234). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/40 DECIMOTERCERO: Que el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. informó a esta Agencia, respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, que se había comprobado que entre el 10 de septiembre de 2015 y el 2 de febrero de 2016 fueron realizados un total de 20 accesos desde la dirección ***IP.1 (folios 121 a 151), que está asignada a MEYDIS, como se ha detallado en el punto anterior. DECIMOCUARTO: Que, respecto del apartado de correos número ***APTDO.1 de Madrid, y que guarda relación con el ejercicio de los derechos ARCO ante MSP, que se detalla en la carta publicitaria descrita en el punto 3º anterior, la entidad S.E. Correos y Telégrafos, S.A. informó a esta Agencia que, por contrato de fecha 22 de junio de 2014, MSP realizó la suscripción anual de este apartado de correos, el domicilio aportado fue en la (C/...1) - ***CP.2 Madrid, con teléfono de contacto del administrador el número de línea móvil ***TEL.1, facilitando copia del DNI del administrador de la entidad y copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014, en la que figura D. B.B.B. como socio único y administrador y domicilio el ya citado (por todos, folios 172). DECIMOQUINTO: Que de igual modo S.E. Correos y Telégrafos, S.A. informó a esta Agencia que estaba autorizado por parte de MSP para “la recogida de documentos que lleguen esta apartado (***APTDO.1)” para dicha entidad a D. C.C.C.(folios 297 a 302), esto es, la misma persona que se persona en esta Agencia para tomar vista de los expedientes y obtener copias del mismo en nombre de MEYDIS, S.L., de manera concreta, según autorización de fecha 10 de mayo de 2016 (folio 303). DECIMOSEXTO: Que la Inspección de Datos de esta Agencia que en la web de la Comisión Nacional de los Mercados y la Competencia constaba que MEYDIS estaba entre las entidades que tenían acceso al Sistema de ...6 de Datos de Abonado (por todos, folio 316). DECIMOSEPTIMO: Que desde principios del año 2014 PLENISAN, S.L. recibía en sus cuentas de correo electrónico comunicaciones de destinatarios de la carta invitación de sus eventos comerciales en el que comunicaban que los destinatarios correspondían a personas fallecidas, y otras tenían por objeto negar el consentimiento para utilizar sus datos solicitando la baja de sus envíos (por todos, folio 316). DECIMOCTAVO: Que en la inspección I/00005/2015/I-1 realizada a PLENISAN la Inspección de Datos de esta Agencia constató que, realizada una búsqueda con el criterio MACRO, se encontró 12 correos electrónicos en diferentes carpetas; imprimiéndose un correo electrónico dirigido por PLENISAN a MSP solicitando una muestra de 50 registros, “que estén en los repertorios telefónicos de la ciudad de León, antes del 23-10-2014”. Analizado dicho correo, se comprueba que fue emitido en fecha 2 de noviembre de 2015 desde la cuenta ...3@plenisan.com con destino a la cuenta ...4@hotmail.com e, imprimida la respuesta a la anterior solicitud, se constató que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/40 hizo desde la cuenta ...5@meydis.com, anexando el fichero solicitado con datos personales. Analizado dicho correo, se comprobó que aparecía remitido en fecha 2 de noviembre de 2015 desde ...3@plenisan.com con destino a la cuenta ...6@plenisan.com. En el mismo se redirigió un correo electrónico del mismo día y remitido desde la cuenta ...5@meydis.com con destino a ...3@plenisan.com con copia a otras dos cuentas del dominio meydis.com (por todos, folios 315 y 316). DECIMONOVENO: Que, según consta en las actuaciones de inspección de referencia I/00005/2015/I-01 a una solicitud de datos realizada por el inspeccionado para presentar un documento ante esta Agencia como aportado por MSP, fue respondida mediante un correo electrónico procedente de la cuenta ...5@meydis.com con copia para la cuenta ...7@meydis.com (por todos, folios 230 a 239). VIGÉSIMO: Que de la información aportada por la Tesorería General de la Seguridad Social consta que la única empleada de MSP ha sido I.I.I., quien anteriormente trabajó para MEGA DATA INTEGRAL SERVICES SL (Megadis) y para DATA INTEGRAL ACTION SL, empresas reiteradamente sancionadas por esta Agencia con motivo de denuncias similares a la actual. El administrador de estas dos últimas empresas también lo ha sido de TODO DATA INTEGRAL SERVICES, SL, igualmente sancionada por esta Agencia por denuncias similares a la actual (folios 241 a 251). VIGESIMOPRIMERO: Que en la publicidad enviada en las campañas que originaron otras denuncias en esta Agencia, con expedientes de investigación E/3566/2011, E/3558/2013 y E/4058/2013, de las que era beneficiario PLENISAN, entonces SISTEMAS MEDICOS PROFESIONALES S.L., se constató que existía idéntica factura y codificación que en las piezas publicitarias objeto de múltiples denuncias contra PLENISAN y MSP (por todos, folios 230 a 239). VIGESIMOSEGUNDO: Que la Inspección de Datos ha constatado que: “Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos” (folio 233). VIGESIMOTERCERO: Que MEYDIS, S.L. no ha aportado documentación que acredite que dispusiese del consentimiento de D. A.A.A. para el tratamiento de sus datos personales que se ha descrito en los puntos 1º y 2º anteriores; así como que tuviese con dicha persona algún tipo de relación comercial. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/40 en relación con el artículo 36 de la LOPD. II Procede examinar las cuestiones previas alegadas por la representación de MEYDIS, S.L. en su escrito de alegaciones al acuerdo de inicio del expediente sancionador. De conformidad con el artículo 122.4 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) las actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el artículo 2 hubieran tenido entrada en el Agencia Española de Protección de Datos o, en caso de no existir aquéllas, como es el caso, desde que el Director de la Agencia acordase la realización de dichas actuaciones. De este modo, como consta en el expediente, el presente procedimiento sancionador se ha incoado a raíz de las actuaciones previas de investigación E/02737/2016, abiertas por orden de la Directora de esta Agencia por Resolución R/01439/2016 de fecha 9 de junio de 2016 (folios 215 a 229) y, por otra parte, el Acuerdo de inicio del presente procedimiento sancionador fue notificado a la entidad imputada en fecha 13 de febrero de 2017 (folio 258); por lo que no habría transcurrido dicho plazo de doce meses. La sentencia del Tribunal Supremo de 12 de junio de 2003 señala que “la caducidad declarada en un procedimiento sancionador, no constituye obstáculo alguno para la posibilidad de iniciar o reiniciar otro procedimiento sobre el mismo objeto dentro del plazo de prescripción”. Por tanto, la STS consideraba plenamente aplicable en el caso enjuiciado a los procedimientos sancionadores el antiguo artículo 92.3 de la derogada LRJPAC y afirma que la caducidad de un expediente sancionador no produce por sí sola la prescripción de las acciones del particular o de la Administración. Posteriormente, la sentencia del TS de 24 de febrero 2004 determina el valor que conservan en el nuevo procedimiento sancionador los trámites válidamente celebrados en el seno del procedimiento caducado. Así, señala que las actuaciones probatorias practicadas en el procedimiento caducado deben repetirse en el nuevo con respeto, otra vez, a las garantías originarias con la única excepción de que sea el imputado quien solicite la incorporación de tales actuaciones al nuevo expediente. La citada STS precisa que el acuerdo de inicio del nuevo expediente sancionador puede y debe fundarse en los mismos documentos que, con el valor de denuncia, determinaron la iniciación del expediente caducado. Y que pueden surtir efecto en el nuevo expediente, si se decide su incorporación a él, los actos que son independientes del expediente caducado, no surgidos dentro de él aunque también se hubieran incorporado al mismo. Esta documentación está formada por el E/02737/2016, en cuyo marco se practicaron las actuaciones de investigación que ordenó la Directora de esta Agencia en la resolución que acordaba el archivo por caducidad del PS/00223/2016. El expediente E/02737/2016 reproduce íntegramente la denuncia formulada por el afectado y las actuaciones de investigación que la Agencia había practicado en su día que dieron fruto ese precedente PS/00223/2016, folios 215 a 229. A la luz de la sentencias del TS anteriormente citadas, como ya hemos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/40 indicado, es ajustado a Derecho abrir un nuevo expediente sancionador por los mismos hechos que motivaron la apertura de un expediente declarado caducado, en tanto la infracción no haya prescrito. Además es igualmente correcto que el nuevo procedimiento sancionador, en este caso el PS/00033/2017, se apoye en los mismos documentos que determinaron la iniciación del procedimiento caducado. También lo es que surtan efecto en el nuevo procedimiento sancionador, si se decide su incorporación al mismo, aquellos actos que son independientes del procedimiento caducado, esto es, que no surgieron dentro de él aunque también fueron incorporados a éste. En el presente caso se incorporaron al E/02737/2016 (del que deriva el procedimiento sancionador que nos ocupa) tanto la denuncia formulada por la persona afectada como las actuaciones de investigación practicadas por los servicios de inspección en el curso de la investigación realizada, y cuya documentación obra en los archivos de la Agencia. De manera que en tanto estos documentos son independientes del PS/00223/2016, respecto del cual la Directora de la Agencia acordó el archivo por caducidad, no hay obstáculo para que sean incorporados al nuevo expediente de investigación, como así se hizo. Lo que explica que fueran esos documentos y no otros, los que la Agencia estableció a efectos de acordar el nuevo procedimiento sancionador. Ya hemos indicado que las precitadas sentencias advierten que las actuaciones probatorias practicadas en el curso de un procedimiento sancionador caducado deberán repetirse de nuevo, pues no pueden surtir efecto en el nuevo procedimiento sancionador. Lo que explica que no se hayan incorporado ninguna de las actuaciones que tuvieron lugar el procedimiento caducado. En relación con un posible fraude de Ley y abuso de derecho, al hacer uso esta Agencia de la norma de forma arbitraria en su propio beneficio y estar beneficiándose de una facultad contemplada en la ley excediendo de los límites normales del propio derecho, hay que señalar en primer lugar que las actuaciones de investigación previa no forman parte del procedimiento sancionador, con la consecuencia, por ello, de que estas actuaciones no se computan dentro del plazo de caducidad del procedimiento sancionador, no interrumpen el plazo de prescripción de la infracción y no rige en ellas ni el principio de contradicción ni el derecho de defensa. Pueden citarse entre otras, las siguientes Sentencias en las que se hacen tales pronunciamientos: SSTS de 13 de septiembre de 2002 (Ar. 8557) y de 14 y 15 de mayo de 2002 (Ar. 8124 y 8254). En segundo lugar, que tampoco es el criterio seguido por la Audiencia Nacional en la reciente Sentencia de 10 de julio de 2013, (Rec 323/2012), que dice que la “caducidad de las actuaciones previas al haber transcurrido más de dos años desde la fecha de la denuncia hasta la notificación del acuerdo de iniciación del expediente sancionador, de conformidad con el artículo 122.4 del Real Decreto 1720/2007, (…)De modo que presentada la denuncia con anterioridad al 21 de octubre de 2009, el archivo por caducidad de un primer procedimiento de actuaciones previas de investigación con número E/00528/2010 el 17 de noviembre de 2010, y la posterior incoación de otro procedimiento de actuaciones previas de inspección con número E/03901/2010 por los mismo hechos que dieron lugar a la incoación del procedimiento sancionador el 7 de noviembre de 2011, vulnera el principio de seguridad jurídica y el artículo 122 del Reglamento de la LOPD.” La Audiencia Nacional en su sentencia rechaza este motivo de impugnación y argumenta en el Fundamento de Derecho Tercero lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/40 “Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieron lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto”. Añade que “el artículo 92 de la LRJPAC, al que se remite el artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, (...) establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, “no producirá por sí sola la prescripción de las acciones del particular o de la Administración…”. La Sentencia recuerda que “el PS/00527/2011 trae causa de las actuaciones previas de investigación E/03901/2010, iniciadas por orden del Director de la Agencia (...) que dio instrucciones el 17 de noviembre de 2010 a la Subdirección General de Inspección de Datos para que procediera a realizar actuaciones de inspección (…) mediante resolución de 7 de noviembre de 2011 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador PS/***”. El acuerdo de inicio del presente expediente sancionador se funda en una presunta conducta infractora de MEYDIS que no había prescrito cuando se acordó la apertura del procedimiento sancionador. En el marco del expediente de actuaciones previas E/02737/2016 se verificó que concurrían circunstancias que justificaban la iniciación de un nuevo procedimiento sancionador, apoyándose para ello tanto en la denuncia presentada, en los documentos recabadas por los servicios de inspección, como en las respuestas y documentos que MEYDIS y el resto de entidades investigadas habían facilitado a la Agencia en el curso de las diligencias de investigación previas ya practicadas. Esta circunstancia no priva de actuación a la entidad y tampoco puede esgrimir el argumento de la indefensión en el nuevo procedimiento iniciado. Abierto el procedimiento sancionador MEYDIS formuló las alegaciones que ha tenido por convenientes, conocía los documentos que integraban el expediente sancionador y sin embargo, en esas alegaciones la denunciada no aportó documentos distintos de los aportados hasta ese momento, como tampoco pudiendo hacerlo, propuso la práctica de pruebas que desvirtuaran los hechos que anteriormente había reconocido. Por todas las razones expuestas las cuestiones planteadas por MEYDIS, en especial la caducidad de actuaciones, deben ser rechazadas. III Antes de analizar el fondo de la cuestión es preciso precisar algunas cuestiones preliminares de concepto. Así, el artículo 43.1 de la LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, al disponer que: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley“. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
4. d)de la LOPD, el “Responsable del fichero o tratamiento” es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/40 tratamiento”. En el artículo 5.1.
5. q)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) se considera como “Responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” A su vez, los apartados b), c), y
6. e)del mencionado artículo 3 de la LOPD definen los siguientes conceptos: “
7. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
8. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
9. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
10. c)del presente artículo”. La LOPD, en su artículo 2, y en relación con el ámbito de aplicación objetivo de la norma, lo circunscribe a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. De acuerdo con esta delimitación, la LOPD establece la definición del fichero y diferencia las figuras de responsable del fichero y de responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
11. b)y
12. d)de ese artículo 3.
13. b)y
14. d)de la LOPD anteriormente transcritos. Ello es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro ordenamiento jurídico, y conforme a ella, en el caso de los datos personales susceptibles de tratamiento automatizado, se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Por otra parte, el Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, establece en su artículo 2.1 que el objeto de la norma es el “tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”; norma en vigor y aplicable a partir del 25 de mayo de 2018. De acuerdo con lo que se ha señalado, el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros e, incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/40 en responsables conforme a lo previsto en el artículo 12.4 de dicha norma. Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su sentencia de 26 de enero de 2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
15. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se ha pronunciado la Audiencia Nacional en su sentencia de 3 de marzo de 2004, citada entre otras en su sentencia de 18 de enero de 2006, al señalar que: “El ámbito subjetivo del ilícito administrativo descrito son los <<responsables de los ficheros y los encargados de los tratamientos>>, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al <<responsable del fichero>>, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
16. d)de la Ley Orgánica 15/1999, bajo la expresión <<responsable del fichero o tratamiento>>, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/40 física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
17. d)y g), respectivamente, de la Ley Orgánica 15/1999”. En concordancia con la doctrina expuesta, en el presente caso concreto, y como se va a analizar con detalle a lo largo de esta fundamentación jurídica, se produce un tratamiento de los datos personales de la persona denunciante para la realización de un envío de publicidad postal (pues no se acredita relación comercial, tal como se irá analizando con más detalle a continuación), en el que figuraban su nombre, apellidos y dirección postal con número de calle, piso y puerta; envío que se realizó por MEYDIS (figurando como responsable MSP en la carta en cuestión) a instancias y por cuenta de PLENISAN, que era la empresa cuyos productos y servicios se promocionaban en tal envío recibido por el denunciante, cuyos datos personales, a su vez, fueron suministrados por MEYDIS para seleccionar el público objetivo o destinario de la campaña en función de los intereses comerciales de la beneficiaria de la publicidad. En consecuencia, MEYDIS, S.L. se considera responsable de este específico tratamiento de datos personales, en relación con los datos personales de la persona denunciante. IV Expuesto lo que antecede, decir que el artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/40 usos posibles, por un tercero, sea el estado o un particular (...).” Por otra parte, el artículo 6 del ya citado Reglamento general de protección de datos, Reglamento (UE) 2016/679 establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
18. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
19. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma en vigor y aplicable a partir del 25 de mayo de 2018. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En consecuencia, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006, por todas, viene a señalar que: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. En el presente caso concreto, D. A.A.A. manifestó a esta Agencia que había recibido “un envío de publicidad no requerida sin haber facilitado mis datos a nadie que no sea un organismo estatal o compañía de servicios de suministros básicos. No figuramos en guía telefónica”. Añadía que había “tratado de llamar a esta empresa pero no figura número telefónico. He tratado de llamar a la empresa que indican propietaria del fichero, pero parece que se encuentra sin actividad y sin número de teléfono” (folio 1). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/40 Para acreditar estos hechos el denunciante aportó copia del envío citado, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convocaba al denunciante a una demostración comercial a realizar en el HOTEL LEUKA de Alicante el día 21 de abril de 2015. Se reseñaba además que “aproximadamente quince días” antes ya se le había remitido una primera carta invitación para un acto determinado. El documento exhibe el logotipo de SMP, ref. ***CAMPAÑA.1 ***1 A ***2, y en el sobre consta como remitente SISTEMAS MEDICOS PROFESIONALES, S.L., cuya denominación actual es PLENISAN, S.L. (folio 4). En efecto, y tal como consta acreditado en el expediente, el documento exhibe el logotipo de SMP, ref. ***CAMPAÑA.1 ***1 A ***2, y en el sobre consta como remitente SISTEMAS MEDICOS PROFESIONALES, S.L., cuya denominación actual es PLENISAN, S.L. (folio 4); esto es, la beneficiaria final de la comercialización de los productos publicitados. En el pie del escrito detallado el párrafo anterior se recoge asimismo que los datos personales tenían su origen en un fichero de MACRO SELECT PRINT, S.L. e informando que los derechos de acceso, rectificación, cancelación u oposición podían ejercitarse en el ***APTDO.1(folio 4). Por otra parte, el HOTEL RESIDENCIA LEUKA contrató con PLENISAN el Salón Benacantil del citado hotel residencia en Alicante para los días 20 a 23 de abril de 2015 (folios 10 a 13). En consecuencia, HOTEL RESIDENCIA LEUKA contrató con PLENISAN el uso de sus instalaciones para la celebración de la convocatoria objeto de la carta en cuestión; un envío postal llevado a cabo por MEYDIS con utilización de los datos personales del denunciante registrados en sus propios ficheros. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/40 El citado Reglamento General de Protección de Datos de la Unión Europea 2016/679 en su artículo 7.1) sintetiza, por su parte, en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco de la persona denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. Abundando en este sentido, procede citar, por todas, la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Hay que insistir que MEYDIS, S.L. no ha aportado documentación que acredite que dispusiesen del consentimiento inequívoco de D. A.A.A. para el tratamiento de sus datos personales que se ha descrito anteriormente, ni que hubiese entre ellos algún tipo de relación comercial. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte de MEYDIS, S.L. y que es responsable de dicha infracción al artículo citado. V Una vez que se aprecia la existencia de una convocatoria poco transparente para en realidad la promoción de productos de salud, indicar que el artículo 30.1 de la LOPD, relativo a los “Tratamientos con fines de publicidad y de prospección comercial”, establece que: “1. Quienes se dediquen a la recopilación de ...3es, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y ...3es u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. Por su parte, el artículo 45.1 del RLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, desarrolla el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de ...3es, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y ...3es u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/40
20. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
21. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
22. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ Asimismo, el artículo 46 del RLOPD establece lo siguiente: “Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
23. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
24. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
25. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. Recordemos que en la Inspección de Datos de esta Agencia ha constatado que el envío en cuestión fue impreso por esta entidad MEYDIS, S.L. en la campaña ***CAMPAÑA.1, estando relacionada en soporte papel y no electrónico (folios 19 y 205). Asimismo, la Inspección de Datos de esta Agencia en fecha 23 de febrero de 2016 constató que en la URL ***WEB.2 aparecía una presentación publicitaria de MEYDIS, S.L. en la que se anunciaba que la entidad dispone de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos personales: persona de contacto (titular del teléfono), dirección postal completa, nivel socioeconómico de la unidad familiar, edad del titular del teléfono y nivel cultural del titular del teléfono (folios 43 y 155). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/40 Por otra parte, la Inspección de Datos de esta Agencia ha constatado que los parámetros de selección de estas campañas publicitarias son (folios 175 y 176): ENVIAR DATOS CARTA: Una x domicilio <entidad hostelera> - Hombres y Mujeres <dirección> - Preferente Mujeres <población> - Eliminar: Analfabetos SocioEconómico: Bajo Añadir que los parámetros de selección de los correspondientes datos personales a utilizar en las distintas campañas publicitarias ofrecidos en la página web del Grupo MEYDIS, descrita anteriormente, coinciden casi en su totalidad con los criterios de selección fijados y demandados por PLENISAN ya detallados más arriba (folios 230 a 239). Amén de lo cual, dada la naturaleza publicitaria del tratamiento de datos personales analizado, en este caso resulta de aplicación lo previsto en los citados artículos 30.1 de la LOPD y 45.1 del RLOPD. Así, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el artículo 6.1 de la LOPD en su relación con lo previsto en el artículo 30.1 de esa misma norma, y en relación también con su desarrollo reglamentario, el consentimiento inequívoco de los afectados o que sus datos procedan de fuentes de acceso público. VI Antes de continuar, es obligado precisar que en el supuesto examinado, de las actuaciones practicadas se desprende que el tratamiento publicitario de los datos personales de la persona denunciante, que ha resultado acreditado, y del que es responsable la entidad inculpada con arreglo a lo previsto en apartados 2 y 4 del mencionado artículo 46 del RLOPD por haber participado en la fijación de los parámetros identificativos de los destinatarios de la campaña publicitaria en la que enmarca el envío estudiado, se desarrolló sin estar amparado en alguno los supuestos previstos en los artículos 6.1 y 30.1 de la LOPD citados. En las actuaciones efectuadas en el procedimiento no consta que ninguna de las empresas investigadas haya probado contar con el consentimiento inequívoco del denunciante para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por el propio denunciante o por haberse obtenido con su consentimiento para tal finalidad, circunstancias, además, negadas de manera expresa por parte de la persona denunciante a la vista de los términos de su denuncia. Tampoco MACRO SELECDT PRINT, S.L., PLENISAN, S.L y MEYDIS, S.L. han justificado que concurriera alguno de los supuestos que dispensarían de tal consentimiento recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento, y que para este caso requeriría justificar que los datos personales de la persona denunciante utilizados para remitir el envío postal publicitario denunciado procedían de fuentes accesibles al público C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/40 establecidas en el artículo 3.
26. j)de la LOPD, en concreto, de repertorios telefónicos de uso vigente, como se señala en la cláusula 2 del contrato de fecha 2 de junio de 2013. El artículo 3
27. j)de la LOPD define como fuentes accesibles al público “ aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. En el presente caso concreto, resulta que ninguna de las entidades investigadas han acreditado que los datos personales de la persona denunciante se obtuvieran de repertorios telefónicos, al igual que no han probado que fueran datos vigentes en el momento de su posible obtención y uso publicitario al no facilitar, tampoco, la fecha de acceso de dichos datos, tratándose de una información que resulta relevante a los efectos del cómputo del plazo de vigencia durante el cual se mantiene la naturaleza de fuentes de acceso público, ello conforme a lo previsto en el artículo 28.3 de la LOPD que al regular los “Datos incluidos en las fuentes de acceso público”, establece que: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención.” Además, a la vista de los datos personales tratados dicho origen únicamente podría asignarse a los datos del nombre, apellidos, calle y número del domicilio postal de la afectada, población y provincia, pero no al dato del piso y puerta la casa que también figura reseñado en el envío publicitario recibido por el denunciante que al equiparse a los datos de piso y puerta no podría proceder de repertorios telefónicos al no incluirse dicha información en los mismos. Se observa que las entidades imputadas en su calidad de responsables del tratamiento publicitario analizado deben estar, por consiguiente, en condiciones de acreditar que cuentan con el consentimiento inequívoco de los afectados o cobertura legal para realizar el repetido tratamiento, estableciéndose a este respecto en los apartados 1 y 3 del artículo 12 del RLOPD que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/40 En este sentido, la sentencia de la Audiencia Nacional de fecha 11 de mayo de 2001, por todas, en un supuesto similar, dispone que “quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” Indicar aquí por tanto que MACRO SELECT PRINT, S.L. ha manifestado a esta Agencia, y como consta suficientemente acreditado en respuestas a múltiples requerimientos de información realizados en diversas actuaciones previas de inspección, que los datos personales para campañas publicitarias habían sido obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.), revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc; sin que nunca se haya aportado prueba acreditativa de ello y utilizando parámetros de identificación de los destinatarios de cada campaña, consistiendo en una segmentación por zona de ubicación del domicilio (por todos, folios ....). Y por su parte MEYDIS, en relación con el fichero para la confección de la impresión publicitaria para la que estaba contratado, lo siguiente: “la empresa MSP no nos informaba de que un fichero estaba disponible para confeccionar la impresión de la publicidad. Simplemente, cada vez que recibíamos una orden de trabajo de nuestro cliente Plenisan, accedíamos al FTP en el que MSP colocaba los ficheros y ya nos encontrábamos colocado ahí el que debía utilizarse para esa concreta carta publicitaria. Como también se ha indicado a esa Agencia en ocasiones anteriores, en la actualidad, ya no conservamos en nuestros sistemas los registros de actividad”; sin embargo, la entidad no ha aportado documentación alguna que acredite lo expuesto (folio 81). Sin embargo, reiterar que ninguna de estas entidades investigadas ha aportado ningún medio de prueba que permita acreditar que el tratamiento efectuado se realizó con las garantías establecidas en los artículos 6.1 y 30.1 de la LOPD, motivo por el que cabe concluir que MEYDIS, S.L. ha vulnerado lo dispuesto en el artículo 6.1 de la LOPD al no haber acreditado que mediaba el consentimiento inequívoco de la persona denunciante para usar sus datos personales con fines publicitarios y de prospección comercial o justificar, en su caso, que el supuesto examinado concurría alguna de las excepciones al principio general del consentimiento consagrado en dicho precepto. Consecuentemente, los datos personales de la afectada fueron utilizados con fines publicitarios por las entidades citadas, sin que éstas contasen con su consentimiento inequívoco para ello. VII Asimismo, indicar que: “En cuanto a la denuncia de incongruencia omisiva, resulta pertinente recordar que el Tribunal Constitucional viene declarando repetidamente (sentencia 1/2001, de 5 de enero, entre otras) que la exigencia de motivación de las resoluciones judiciales no significa que estas deban dar respuesta pormenorizada a todos y cada uno de los alegatos de las partes, sino que cabe que el Tribunal se enfrente a ellos exponiendo su propia argumentación de que queda deducir la admisión o rechazo de los motivos en que las partes hayan apoyado sus respectivas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/40 posiciones” (sentencia del Tribunal Supremo de fecha 3 de noviembre de 2003, rec. 4566/2000). Pese a esto, es conveniente decir que no se puede hablar de vulneración de los derechos fundamentales por parte de la Agencia, dado que los distintos procedimientos abiertos o las investigaciones previas llevadas a cabo parten de las correspondientes denuncias (lo que obliga a la actuación de esta Agencia, realizada con estricto cumplimiento de la legalidad), si no, ello llevaría a la interpretación absurda de que son los denunciantes los que, con sus denuncias, vendrían a ser los que tienen ese ánimo persecutorio. Alega MEYDIS que, de acuerdo con el contrato aportado, actuaba como encargado del tratamiento de MSP, y, también de acuerdo con el contrato aportado, lo hacía a su vez respecto de PLENISAN. Por otro lado, PLENISAN alega que encargaba el diseño de la campaña, y la segmentación de los registros a MSP. Está suficientemente acreditado en esta Agencia que, en relación con las distintas investigaciones realizadas a causa de las distintas personas afectadas, MSP no presenta alegaciones en su defensa, y sin embargo ha venido aportando un documento a preguntas de MEYDIS (en el presente caso concreto esa testifical no puede llegar a realizarse al estar en paradero desconocido a día de hoy MSP), sobre el desarrollo de las campañas a preguntas de PLENISAN. Esto es, late un interés mayor en MSP de corroborar los argumentos de MEYDIS que de ejercer su propio derecho de defensa. MEYDIS pretende otorgarse la apariencia de un simple encargado del tratamiento respecto de su relación con MSP, que cumple instrucciones de su responsable (instrucciones que por otro lado no han sido acreditadas) y así evitar una eventual sanción al respecto. Pues escapa a la lógica más elemental que PLENISAN contrate la explotación de la base de datos de MSP (como se puede leer en letra pequeña en el pie de la carta publicitaria denunciada) y el diseño de la campaña (entidad sin medios suficientes como cita en su contrato, con una única empleada y de relativa reciente creación), cuando es MEYDIS una empresa que desde hace mucho tiempo presta servicios de explotación de bases de datos, así por ejemplo promociona productos como Consumer List; Bussines List; International List; Data Service, y tan sólo contrate con ésta actividades auxiliares de la principal, que no es otra que la utilización del fichero para fines comerciales, cuando lo lógico es que, dada la experiencia y medios de MEYDIS, sea ésta y no MSP la proveedora de manera efectiva y real de las bases de datos utilizadas, pues es una buena parte del objeto de su negocio. En el contrato entre MEYDIS y MSP (EL CLIENTE) se pacta lo siguiente (…) adicionalmente, puesto que EL CLIENTE carece de infraestructura suficiente para ello, podrá solicitar a MEYDIS que desempeñe funciones de intermediación en la ...6 de las relaciones entre EL CLIENTE y los Clientes Finales, de modo que las peticiones de servicio u otras comunicaciones dirigidas desde estos al CLIENTE se hagan utilizando a MEYDIS como canal. En estos casos, MEYDIS se limitara a trasladarla comunicación que reciba del Cliente Final. (…) Por otra parte, en el contrato entre MEYDIS y PLENISAN (EL CLIENTE) se estipula lo siguiente: “I Por virtud de este contrato, MEYDIS se compromete a prestar al CLIENTE los siguientes servicios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/40
28. a)Recepción de las piezas publicitarias, en las que ya se encontraran impresos los datos de nombre, apellidos y dirección postal de las personas a las que deba ser enviadas. Las piezas publicitarias se entregaran a MEYDIS en soporte papel y apiladas en cajas, sin orden o indexación alguna. Dichas cajas serán enviadas a MEYDIS directamente por la tercera empresa que haya sido contratada por el CLIENTE para los servicios de selección e impresión de los datos personales en la publicidad.
29. b)Doblado, ensobrado y franqueo de las piezas publicitarias.
30. c)Depósito de la publicidad en el correspondiente operador postal para su envío. II MEYDIS únicamente tratará las piezas publicitarias impresas conforme a las instrucciones del CLIENTE, prohibiéndose expresamente su aplicación o utilización con un fin distinto al establecido en la relación que les vincula. Como norma general, las instrucciones que debe cumplir MEYDIS son las que, en buena lógica se deducen de la propia naturaleza de los servicios contratados y son necesarias para su cumplimiento. En caso de que CLIENTE estimase oportuno impartir instrucciones distintas de las mencionadas, las comunicará expresamente a MEYDIS. III MEYDIS no podrá ceder o entregar las piezas publicitarias o la información que contengan a terceras personas, salvo indicación expresa de CLIENTE. IV MEYDIS se compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para la seguridad de las piezas publicitarias impresas, las medidas de seguridad de nivel básico de las establecidas en el Real Decreto 1720/2007, debiendo elaborar su propio Documento de Seguridad, en el que se recojan todas las medidas legales y cumplirlo. Y entre PLENISAN y MSP de fecha 16 de junio de 2014 se estipula que: “I.- LIST BROKER (MSP) prestará a CLIENTE (PLENISAN) los servicios de:  Diseño de campañas de marketing directo de CLIENTE.  Selección de datos personales de los ficheros de LIST BROKER para la realización de envíos publicitarios, excluyendo los datos de personas inscritas en las LISTAS ROBINSON de AIDIGITAL. Los criterios de necesarios para determinar los destinatarios de cada campaña de marketing serán fijados por LIST BROKER en cada caso, según el diseño de aquella.  Personalización de los documentos publicitarios a enviar, imprimiendo en estos los datos de los destinatarios e incluyendo una cláusula que informe de que LIST BROKER es el origen de los datos y de la posibilidad de ejercer los derechos que la ley reconoce en la correspondiente dirección o apartado de correos (…) De acuerdo con lo expuesto, y según los contratos citados, deberían existir al menos las siguientes comunicaciones: La petición de MSP a MEYDIS para que desempeñe las funciones de intermediación entre MSP y PLENISAN, y una vez aceptada dicha intermediación, tal como consta en el contrato, que del carácter de mero canal de comunicación, se desprenda una comunicación de PLENISAN a MEYDIS, y de esta a MSP. Sin embargo no se han probado estas últimas; sino que las comunicaciones terminan en MEYDIS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/40 De igual modo, también deberían existir las comunicaciones relativas a la determinación del diseño de las campañas, y la determinación de los criterios de segmentación, entre MSP y PLENISAN tal como afirma ésta en sus alegaciones al decir que “los servicios de diseño, selección, segmentación y tratamiento de los datos personales son hechos, en exclusiva, por el mismo proveedor” y sin embargo ninguna comunicación, ni documentación consta al respecto, sino que PLENISAN se comunica únicamente con MEYDIS para dar el visto bueno a las creaciones publicitarias, es decir, a si acepta un determinado diseño u otro, cuando esos servicios son los que, por contrato, realiza MSP, respecto de dicha actividad, sin que nada conste. En definitiva, de ser real la ejecución de los contratos en la forma pactada, existirían multitud de comunicaciones entre MSP y MEYDIS y entre PLENISAN y MSP. Pues bien, las únicas comunicaciones que constan son entre PLENISAN y MEYDIS y viceversa, resultando cuanto menos sorprendente que no conste en ellas MSP, pues, a pesar de cuidarse mucho en el contrato de fijar que MEYDIS podrá actuar como “canal de comunicación”, se echa en falta el traslado y la respuesta de MSP. MEYDIS en defensa de sus argumentos, señala que no existe prueba alguna de que tomara decisión en el tratamiento de datos y por tanto debe ser considerada encargada del tratamiento. Resulta sin embargo que MEYDIS somete a tratamiento los datos del denunciante para la campaña publicitaria de PLENISAN, y no hay prueba alguna de dicha condición de encargado (más allá de un contrato genérico que puede recoger lo que tengan a bien las entidades). Prueba que sería sencilla de facilitar, puesto que no consta acreditada ninguna instrucción por parte de MSP a MEYDIS, que acote, defina, o determine caso por caso (campaña por campaña) el tratamiento, supuestamente encargado dado los términos abiertos del citado contrato. Es decir, los parámetros de selección de los correspondientes datos personales a utilizar en las distintas campañas publicitarias ofrecidos en la página web del Grupo MEYDIS, coinciden casi en su totalidad con los criterios de selección fijados y demandados por PLENISAN como ya se indiciado anteriormente. De igual modo, resaltar que en fechas de 15 de diciembre de 2015 y 29 de mayo de 2016 Dª. NOMBRE.1 (datos personales que constan en el expediente), ex empleada de un cliente de MEYDIS, manifestó a esta Agencia que MSP era una entidad meramente formal y que nunca trató con personal de dicha entidad, a pesar de que era la responsable de los asuntos a tratar, y en cambio trató con personal de MEYDIS. Asimismo manifestó que MSP cambiaba de denominación social según le iba indicando MEYDIS. Finalmente manifestó que el esquema de negocio en acciones de marketing postal nominativo respondía a la determinación de las características de los destinatarios por parte del cliente (en este caso PLENISAN) para que el proveedor de la base de datos generase un determinado fichero de destinatarios de dichas acciones. Añadiendo de forma literal que “siempre hemos trabajado con Meydis con Macro era puro formalismo mediante un contrato pero realmente esta empresa ni siquiera nos facturaba siempre era Meydis incluso los ficheros que nos proporcionaban con la información de clientes nos la mandaban desde Meydis. La única diferencia ha sido que en nuestras cartas íbamos modificando según nos solicitaba Meydis la empresa que era propietaria de los ficheros y que es obligatorio ponerlo en la parte inferior de la carta, esta empresa si no recuerdo mal se cambió unas tres o cuatro veces, por lo que yo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/40 tenía entendido era que en cuanto tenían alguna denuncia importante cerraban dicha empresa y abrían otra, pero realmente con la que siempre hemos trabajado es Meydis. (…) (…)TODO lo tratábamos con Meydis, solicitudes, cambios, estadísticas, composiciones de cartas, etc nunca he tratado con nadie de la empresa Macro Select Print, el correo que aparece en mi antiguo escrito es porque recibí un único mail de esta dirección, todo lo demás eran de Meydis (…)” (folios 320 a 325). Por otro lado, la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda informó a esta Agencia que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección ***IP.1 (folio 151). Dicha IP está asignada a MEYDIS (folio 234). Y el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. informó a esta Agencia, respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, que se había comprobado que entre el 10 de septiembre de 2015 y el 2 de febrero de 2016 fueron realizados un total de 20 accesos desde la dirección ***IP.1 (folios 121 a 151), que está asignada a MEYDIS, como se ha detallado. Además, y respecto del apartado de correos designado para ejercer los derechos ARCO ante MSP, que se recoge en la carta publicitaria enviada, la entidad S.E. Correos y Telégrafos, S.A. informó a esta Agencia que, por contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual de este apartado de correos número ***APTDO.1 de Madrid, el domicilio aportado fue en la (C/...1) - ***CP.2 Madrid, con teléfono de contacto del administrador el número de línea móvil ***TEL.1, facilitando copia del DNI del administrador de la entidad y copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014, en la que figura D. B.B.B. como socio único y administrador y domicilio el ya citado (por todos, folio 172). De igual modo, Correos informó a esta Agencia que estaba autorizado por parte de MSP para “la recogida de documentos que lleguen esta apartado (***APTDO.1)” para dicha entidad a D. C.C.C.(folios 297 a 302), esto es, la misma persona que se persona en esta Agencia para tomar vista de los expedientes y obtener copias del mismo en nombre de MEYDIS, S.L., de manera concreta, según autorización de fecha 10 de mayo de 2016 (folio 303). La Inspección de Datos de esta Agencia, asimismo, ha constatado que en la web de la Comisión Nacional de los Mercados y la Competencia constaba que MEYDIS estaba entre las entidades que tenían acceso al Sistema de ...6 de Datos de Abonado (folio 316). Desde principios del año 2014 PLENISAN, S.L. recibía en sus cuentas de correo electrónico comunicaciones de destinatarios de la carta invitación de sus eventos comerciales en el que comunican que los destinatarios corresponden a personas fallecidas, y otras tienen por objeto negar el consentimiento para utilizar sus datos solicitando la baja de sus envíos (por todos, folio 316). Y inspección realizada a PLENISAN la Inspección de Datos de esta Agencia constató que, realizada una búsqueda con el criterio MACRO, se encontraron 12 correos electrónicos en diferentes carpetas; imprimiéndose un correo electrónico dirigido por PLENISAN a MSP solicitando una muestra de 50 registros, “que estén en los repertorios telefónicos de la ciudad de León, antes del 23-10-2014”. Analizado dicho correo, se comprueba que fue emitido en fecha 2 de noviembre de 2015 desde la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/40 ...3@plenisan.com con destino a la cuenta ...4@hotmail.com e, imprimida la respuesta a la anterior solicitud, se constó que se hizo desde la cuenta ...5@meydis.com, anexando el fichero solicitado con datos personales. Analizado dicho correo, se comprobó que aparecía remitido en fecha 2 de noviembre de 2015 desde ...3@plenisan.com con destino a la cuenta ...6@plenisan.com. En el mismo se redirigió un correo electrónico del mismo día y remitido desde la cuenta ...5@meydis.com con destino a ...3@plenisan.com con copia a otras dos cuentas del dominio meydis.com (por todos, folios 315 a 316). Según consta en las actuaciones de inspección de referencia I/00005/2015/I-01 a una solicitud de datos realizada por el inspeccionado para presentar un documento ante esta Agencia como aportado por MSP, fue respondida mediante un correo electrónico procedente de la cuenta ...5@meydis.com con copia para la cuenta ...7@meydis.com (folios 230 a 239). Por otra parte, de la información aportada por la Tesorería General de la Seguridad Social, consta que la única empleada de MSP ha sido Dª. I.I.I., quien anteriormente trabajó para MEGA DATA INTEGRAL SERVICES SL (Megadis) y para DATA INTEGRAL ACTION SL, empresas reiteradamente sancionadas por esta Agencia con motivo de denuncias similares a la actual. El administrador de estas dos últimas empresas también lo ha sido de TODO DATA INTEGRAL SERVICES, SL, igualmente sancionada por esta Agencia por denuncias similares a la actual (folios 241 a 251). Y en la publicidad enviada en las campañas que originaron otras denuncias en esta Agencia, con expedientes de investigación E/3566/2011, E/3558/2013 y E/4058/2013, de las que era beneficiario PLENISAN, entonces SISTEMAS MEDICOS PROFESIONALES S.L., se constató que existía idéntica factura y codificación que en las piezas publicitarias objeto de múltiples denuncias contra PLENISAN y MSP (por todos, folios 230 a 239). En cualquier caso, indicar que la Inspección de Datos ha constatado que: “Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos” (folio 233). En conclusión, y como consta suficientemente acreditado en esta Agencia en relación las distintas denuncias investigadas, el carácter instrumental de MSP es corroborado por los elementos de prueba analizados y, que en definitiva sitúan en la ejecución del tratamiento un mayor peso al supuesto encargado (MEYDIS) y un papel meramente testimonial a través de contratos para el supuesto responsable del tratamiento y del fichero (MSP) al que presta servicios MEYDIS. Cuando, dados los medios humanos, materiales y de solvencia profesional en el sector del marketing de bases de datos, es mucho mayor el del supuesto encargado (recuérdese que una de sus principales líneas de negocio es la explotación de bases de datos que del responsable, MSP, que ni tiene sede física, cuenta con un único empleado y solamente utiliza un ordenador portátil (además de resultar desconocido en las últimas actuaciones de esta Agencia). En el sentido expuesto, ha resultado acreditado que existen evidentes conexiones entre MEYDIS y MSP más allá de las contenidas en la contratación aportada y circunstancias que permiten dicha función instrumental. VIII El artículo 44.3.
31. b)de la LOPD considera infracción grave: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/40 “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. De acuerdo con todo lo expuesto anteriormente, la infracción es imputable, en todo caso, a la entidad MEYDIS, S.L. en su actuación de responsable efectivo del fichero utilizado en la campaña de publicidad. Recordar, con la Audiencia Nacional en su sentencia de 12 de noviembre de 2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que las entidades hubieran actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrieron en una grave falta de diligencia. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos. La simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas, sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (SSTS de fecha 23 de octubre de 2006 y 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
32. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En el presente caso concreto, MEYDIS, S.L. ha tratado los datos personales de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/40 la persona denunciante sin su consentimiento inequívoco, ni habilitación legal para ello (relación comercial), y han conculcado en consecuencia el principio de consentimiento regulado en el artículo 6.1 de la LOPD, en relación aquí además con el artículo 30.1 de la misma norma, y en relación también con los artículos 45 y 46 del RLOPD, que encuentra su tipificación en el artículo 44.3.
33. b)de la LOPD. IX El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
34. a)El carácter continuado de la infracción.
35. b)El volumen de los tratamientos efectuados.
36. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
37. d)El volumen de negocio o actividad del infractor.
38. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
39. f)El grado de intencionalidad.
40. g)La reincidencia por comisión de infracciones de la misma naturaleza.
41. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
42. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
43. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
44. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
45. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
46. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 38/40
47. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
48. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Asimismo, la sentencia de 21 de enero de 2004 de la Audiencia Nacional ha señalado que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos” (rec. núm. 1939/2001). E incidiendo en este aspecto, la sentencia de la Audiencia Nacional de fecha 20 de noviembre de 2013, respecto a la solitud de aplicación del apartado 5 del artículo 45 de la LOPD, dice que: “Si ello lo relacionamos con que para aminorar Ia sanción, a tenor del apartado 5 del artículo 45 LOPD, deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera “significativa”, concurrencia significativa que no se da en el presente supuesto y que por otra parte, en el mismo apartado 4, se prevé como circunstancia agravante Ia reincidencia, y es un hecho notorio Ia reiteración de conductas infractoras en materia de protección de datos por parte de (…), de todo ello concluimos que el articulo 45.5 LOPD no puede ser aplicado en el caso” (R. núm. 279/011). Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. Por la vinculación de la actividad del infractor con la realización de tratam