← España

PS-00053-2016

1/98 Procedimiento Nº PS/00053/2016 RESOLUCIÓN: R/01863/2016 En el procedimiento sancionador PS/00053/2016, instruido por la Agencia Española de Protección de Datos a la entidad MACRO SELECT PRINT S.L., MEYDIS S.L., PLENISAN, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 6 de febrero de 2015 tiene entrada en esta Agencia un escrito de A.A.A. (el denunciante en adelante) en el que declara: <<Utilización reiterada de datos personales que deberían estar protegidos por su legítimo responsable, para envíos publicitarios personalizados. Solicito a la Agencia su intervención para determinar el legítimo responsable que ha cedido o vendido los datos que debería proteger y al mismo tiempo incoar a Sistemas Médicos Profesionales y/o quien le entrega los datos, que eliminen de su Base de Datos mis datos personales obtenidos sin mi consentimiento, ya que por mi parte no lo he podido conseguir.>> Aporta copia de la siguiente documentación: - Carta dirigida al denunciante, en la que constan su nombre y apellidos y su dirección completa, incluyendo el piso y la puerta. Mediante dicha carta se le convoca a una presentación comercial en el hotel NH COLLECTION XXXX (en adelante, el HOTEL) el día 3 de febrero 2015. La carta muestra el logotipo de SISTEMAS MEDICOS PROFESIONALES, S.L. (actual PLENISAN) - Sobre en el que recibió el denunciante dicha carta, en el que consta como remitente SISTEMAS MEDICOS PROFESIONALES, S.L. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias de inspección teniendo conocimiento de que: 1. De la información y documentación aportada por PLENISAN se desprende: a. Manifiesta la entidad: <<Los datos de – el denunciante - no figuran ni han figurado nunca en nuestros ficheros. La convocatoria al acto al que se refiere la publicidad que se adjunta al requerimiento fue efectuada por la empresa Macro Select Print, S.L., con la que se encuentra suscrito un contrato de prestación de servicios publicitarios. Entre las acciones publicitarias que dicha entidad idea, diseña y ejecuta para nosotros en el marco del contrato, se encuentra el envío de este tipo de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/98 comerciales, utilizando para ellos sus propias fuentes de datos personales, cuyo origen desconocemos….>> b. Aporta la entidad copia de la factura mencionada, emitida en fecha 30/1/2015 por MSP. Los servicios facturados son: <<Diseño de campaña. Fijación de criterios de segmentación de destinatarios. Selección de direcciones, tratamiento Spool de impresión y personalización.>> Los datos de la cantidad de unidades a la que se refiera el servicio han sido ocultados. c. En relación con la participación de PLENISAN en la campaña, manifiesta: <<En estas campañas, todos los servicios de diseño, selección, segmentación y tratamiento de los datos personales son hechos, en exclusiva, por el proveedor, tal y como figura en el contrato. Plenisan, S.L. no adopta decisión alguna al respecto. Por tanto, no existe documentación mediante la que se solicite la realización de estas campañas de marketing. Plenisan, S.L. no da instrucción alguna al proveedor en la realización de las campañas. Se le tiene contratado para que, como empresa especializada en publicidad, pueda encontrar las fórmulas que más faciliten la venta. Plenisan, S.L. se limita a transmitir al proveedor cuáles son los productos que vende y el proveedor, en cumplimiento del contrato, estudia de qué modo puede lograr el incremento de las ventas, diseñando y ejecutando las campañas en base a ello. Los criterios profesionales que el proveedor siga para decidir si ejecuta una determinada campaña o realiza cierta acción comercial responden sólo a sus decisiones, según su experiencia profesional. Pues bien, entre las campañas publicitarias diseñadas por el proveedor, se encuentran estas, como a la que se refiere este requerimiento, consistentes en el envío de una carta de convocatoria a potenciales clientes para que puedan hacerse presentaciones de nuestros productos.>> La entidad no aporta evidencia alguna que apoye dichas manifestaciones. d. En relación con la forma en que se llevan a cabo estas campañas: <<El modo en que se desarrollan estas campañas es siempre el mismo. El proveedor, al que Plenisan, S.L. sólo informa de las características de los productos que vende, elabora un plan de marketing y define los intereses y objetivos comerciales a cumplir. Posteriormente, en cada campaña, el proveedor selecciona una localidad en la que se llevar a cabo la venta de los productos. Después, el proveedor envía una carta con el fin de convocar a un evento de presentación de dichos productos y elige un local para llevar a cabo la presentación, fijando la hora de convocatoria que mejor estima en cada caso para que la venta tenga más éxito. A continuación, nos informa sobre el lugar, fecha y hora que ha elegido para la convocatoria y la reunión de presentación de productos a los asistentes es realizada ya por nosotros en dicho local. Desconocemos los parámetros marcados por la entidad emisora de la publicidad para la selección del público objetivo del envío, puesto que dichos criterios son C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/98 fijados unilateralmente por ella, según figura en el referido contrato.>> La entidad no aporta evidencia alguna que apoye dichas manifestaciones. e. En relación con las medidas adoptadas para garantizar el cumplimiento de la LOPD, PLENISAN manifiesta: <<Las medidas adoptadas por nosotros para asegurarnos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas IV y V del contrato, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre de 2011. Además de estas garantías contractuales, que han sido admitidas como suficientes por las sentencias de la Audiencia Nacional referidas, se adoptaron medidas de verificación adicionales. Estas medidas adicionales se concretaron en lo siguiente:

  1. a)En la selección del proveedor de publicidad, se verificó antes de la contratación que nunca había sido sancionado por la Agencia Española de Protección de Datos, ni había tenido denuncias o investigaciones en este ámbito. Esta comprobación se llevó a cabo por dos vías: i. Se solicitó una declaración expresa al administrador de la sociedad proveedora sobre si había recibido en alguna ocasión denuncia por incumplimiento de la normativa de protección de datos o había tenido algún procedimiento sancionados Se adjunta copia de la respuesta recibida. ii. Se consulta periódicamente la Web de la AEPD (www.agpd.
  2. es)para verificar si el proveedor ha sido sancionado anteriormente por incumplimientos de la LOPD, confirmando cada vez que no tenía ninguna sanción o procedimiento, lo que nos proporciona un claro indicio de que las campañas realizadas por él han sido siempre legales.
  3. b)Se verificó que el proveedor tenía su fichero de marketing inscrito en el Registro General de la AEPD. Ello nos otorga garantías de plena legalidad, puesto que la inscripción implica que el fichero se ha sometido al previo control de esa Agencia y que, por tanto, si el fichero fuera ilegal, no figuraría inscrito. Se adjunta impresión de pantalla en la que consta la inscripción del fichero de Marketing utilizado por Macro Select Print.
  4. c)Antes de la firma del contrato, se realizó un chequeo de los ficheros, solicitando al proveedor 50 registros de su fichero y comprobando manualmente que aparecían todos ellos en la página web www.paginasblancas.es, lo que nos confirmó que su origen eran fuentes accesibles al público legales. Se acompaña a este escrito el listado de datos que nos remitió de Macro Select Print a estos efectos antes de la firma del contrato.
  5. d)Posteriormente, se han realizado chequeos previos en cada campaña de marketing cada vez que el proveedor nos informaba de que tenía previsto realizar un envío de publicidad. En cada caso, le solicitamos un muestreo aleatorio de 50 registros del fichero a utilizar y se comprobó que los datos figuraban en www.paginasblancas.es. Se acompaña a este escrito el listado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/98 de datos que nos remitió a estos efectos de Macro Select Print antes de la campaña objeto de este procedimiento. Estos listados se han conservado por nosotros sólo en soporte papel, para evitar que los documentos puedan considerarse ficheros, con las implicaciones legales que ello supondría. >> f. Aporta documento fechado el 16/6/2014 en que el administrador de MSP manifiesta: <<Que la empresa que aquí represento no ha recibido nunca una denuncia por incumplir la Ley de Protección de Datos ni ha tenido nunca ninguna multa de la Agencia de protección de Datos por que los datos personales de nuestro fichero de Comercial y Marketing no cumplan, por algún motivo, la LOPD. >> g. Aporta igualmente consulta al Registro General de Protección de Datos en que aparece inscrito por MSP el fichero COMERCIAL Y MARKETING. También aporta copia de una búsqueda en la web de la Agencia respecto de MSP, que no arroja resultado alguno. h. Aporta finalmente un documento en que consta: <<Copia de la muestra de 50 registros del fichero de Macro Select Print S.L. que fueron remitidos a Plenisan S.L. para verificar su constancia en los repertorios telefónicos antes del envío de la convocatoria al acto celebrado en NH Collection XXXXX de esta última ciudad el 3 de febrero de 2015.>> Acompaña una relación de personas en las que se recoge su nombre y dos apellidos, el tipo de vía, nombre de la vía, número, código postal, provincia y teléfono. Se aprecia que en ninguna de las direcciones que aparecen en la muestra consta el piso ni la puerta, datos que si aparecen en la carta recibida por el denunciante. i. Aporta finalmente documento en que consta: <<Copia de la muestra de 50 registros del fichero de Macro Select Print S.L. remitidos a Plenisan S.L. con fecha de 13 de junio de 2014.>> La relación tiene idéntica estructura a la anterior, no apareciendo el piso ni la puerta. 2. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle C/ (C/....1) 8, 8º 14 de Madrid, sede social de MACRO SELECT PRINT S.L., llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono ***TEL.1, teléfono conocido del administrador único de la entidad, que no es contestada. - C/ Jorge Juan, 6 28001 – Madrid A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el interior. www.agpd.es sedeagpd.gob.es 5/98 Durante la espera se realiza una nueva llamada al número de teléfono ***TEL.1, que no es contestada. - Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo D. B.B.B. (B.B.B. en adelante), administrador de MACRO SELECT PRINT S.L. Pese a ser el domicilio conocido de MACRO SELECT PRINT S.L. no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. - Se intenta acceder a la calle (C/....1) 18, pero se observa que no existe dicho número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/....1) 8 que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle (C/....2), 26, PBJ IZ, y tras llamar a dicho domicilio, atiende una persona, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a D. B.B.B. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee XXXXXXXXXXX indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con D. B.B.B., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>> Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones profesionales, solicitan ponerse en contacto con D. B.B.B. la persona que les atiende, que se identifica como D. C.C.C., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a D. B.B.B. que se ponga en contacto con el mismo. El gerente de ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/98 3. Mediante escrito con fecha 28 de octubre de 2015 MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> 4. Mediante escrito de fecha 29 de octubre de 2015 se solicitó al administrador de MSP que informase de la dirección efectiva de administración y gestión de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. 5. En fecha 3 de noviembre de 2015 se realizó una visita de inspección a PLENISAN. Durante la misma los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Solicitada documentación acreditativa de la oferta comercial realizada por MACRO SELECT PRINT S.L. (en adelante MSP) en base a la cual se suscribió el contrato con dicha entidad, los representantes de PLENISAN manifiestan que ese asunto lo llevó el socio de la entidad D. D.D.D.. Solicitada la presencia de dicha persona, los representantes de la entidad tras realizar una llamada a la misma, informan que no está disponible, ya que un familiar se encuentra hospitalizado, por lo que el socio no puede venir a la empresa. El conocimiento de la existencia de MSP y los servicios que presta fue a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/98 de terceros, MEYDIS y otras empresas del sector. b. Respecto al funcionamiento de la entidad con MSP, informan que: - La entidad elige una localidad y contrata un hotel en la misma, donde se realizará la demostración comercial y captación de clientes. - Concertado el hotel, se comunica a MSP el lugar y fecha en que se realizará el evento, ya sea por teléfono, correo electrónico o fax. Dicha comunicación se hace por el socio de la entidad, por lo que no se puede concretar la forma precisa en que se hizo. - MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS. MSP también diseña la creatividad publicitaria. - MEYDIS realiza la impresión y ensobrado de la publicidad, así como su puesta en correos. - Posteriormente, Correos pasa factura a PLENISAN del envío realizado. c. Los inspectores actuantes solicitan a los representantes de la entidad que informen de cómo se controla que la comunicación sea fiable y no haya confusión en las fechas localidades. Los representantes de la entidad informan que MSP envía a PLENISAN copia de la carta publicitaria, previa a su envío a impresión tras la conformidad de PLENISAN. Los correos electrónicos se borran tras el envío, por lo que no se pueden aportar. d. Solicitada información de contacto en MSP, los representantes de la entidad informan que se relacionan con la entidad a través de dos personas, ***NOMBRE.1 y ***NOMBRE.2, con los que se ponen en contacto por medio del teléfono ***TEL.2. Se realizan tres llamadas a dicho número de teléfono durante la inspección. En la tercera de ellas, una persona que no se identifica dice que ***NOMBRE.1 está reunida y que no pueden atender. Solicitada la identificación de la empresa, no es facilitada por el interlocutor. Se facilita el número de teléfono del inspector actuante para que ***NOMBRE.1 llame posteriormente. Aporta la entidad copia del contrato de servicios suscrito con MEYDIS. 6. Los inspectores de la Agencia solicitan al representante de PLENISAN, S.L. que les permita el acceso a sus sistemas de información donde se realizan las siguientes comprobaciones: a. Se realiza un acceso al correo electrónico del ordenador del director comercial, comprobándose que en las papeleras de reciclaje de las diversas cuentas se encuentran la mayor parte de los correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/98 electrónicos, y que en la bandeja de entrada solo aparecen unos pocos mensajes. b. Se hace una búsqueda con el criterio MACRO encontrándose 12 correos electrónicos en diferentes carpetas. Se imprime correo electrónico dirigido por PLENISAN a MSP solicitando una muestra de 50 registros. Analizado dicho correo, se comprueba que fue emitido en fecha 2/11/2015 desde la cuenta .....@plenisan.com con destino a la cuenta .....@hotmail.com y en el mismo se pide: <<Como continuación a nuestra conversación telefónica necesito que me remitas a la mayor brevedad posible: - Una nuestra de 50 registros del fichero de Macro Select Print, SL que estén en los repertorios telefónicos de la ciudad de León, antes del 23-10-2014>> Informan los representantes de la entidad que dicha solicitud tenía como objeto la presentación de alegaciones ante la AEPD. Se imprime copia de la respuesta a la anterior solicitud, desde una cuenta .....@meydis.com anexando el fichero solicitado. Igualmente, se incluye una impresión del fichero Excel incluido en el correo. Analizado dicho correo, se comprueba que aparece remitido fecha 2/11/2015 desde .....@plenisan.com con destino a la cuenta .....@plenisan.com. En el mismo se redirige un correo electrónico del mismo día y remitido desde la cuenta .....@meydis.com con destino a .....@plenisan.com con copia a otras dos cuentas del dominio meydis.com. Mediante la correspondiente diligencia se ha realizado un acceso a la web de la Comisión Nacional de los Mercados y la Competencia comprobándose que MEYDIS consta entre las entidades que tienen acceso al SGDA. Se adjunta un correo electrónico de fecha 17/9/2014 en que el emisor informa a la entidad no haber prestado nunca su consentimiento al tratamiento de sus datos por MSP ni por PLENISAN. c. Se realiza una consulta con el criterio BAJA DATOS, encontrándose 94 correos electrónicos que cumplen dicho criterio. d. Se realiza una consulta con el criterio PRINT, encontrándose numerosos correos electrónicos que cumplen dicho criterio. Se imprime uno de ellos relativo a una solicitud de baja dirigida a PRINT LASER SPAIN S.L. e. Se realiza una consulta con el criterio FALLECI, encontrándose 22 correos electrónicos que cumplen dicho criterio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/98 Los representantes de la entidad informan que se limitan solicitar la cancelación de los datos a MSP por via telefónica, informando a los solicitantes que se ha procedido a comunicar al responsable del fichero la solicitud. f. Se imprime un correo electrónico fechado el 27/10/2015 en el que se da respuesta a una persona que ha solicitado el ejercicio del derecho de cancelación, y por el que se le informan que su petición ha sido trasladada al responsable del fichero. g. Se solicita el acceso al sistema de contabilidad donde se realiza impresión de las cuentas de MSP y MEYDIS de 2014 y 2015. h. Solicitado el acceso al sistema de planificación de los eventos, los representantes de la entidad manifiesta que la planificación la lleva D. D.D.D., que no se encuentra en la entidad. Se recaban copia de las facturas emitidas por MSP y MEYDIS correspondientes el mes de septiembre de 2014. 7. Mediante diligencia de fecha 4 de noviembre de 2015 se verifica la existencia de una llamada telefónica perdida al inspector actuante realizada desde el número de teléfono ***TEL.2 en fecha 3/11/2015 (a las 14:57 y 14:58 horas). Se devuelve la llamada a dicho número que es atendida por quien dice llamarse ***NOMBRE.1 (no da apellidos). Dicha persona informa al inspector actuante que la llamada fue motivada por la realizada el dia anterior, que fue atendida por su hija, al no estar disponible la interlocutora en ese momento. Se explica a la interlocutora que la llamada fue motivada por que PLENISAN S.L. (anteriormente SISTEMAS MEDICOS PROFESSIONALES S.L.) había informado que ella era la persona de contacto en MACRO SELECT PRINT S.L. A las preguntas del inspector actuante, la interlocutora informa: - Que no trabaja ni ha trabajado en MACRO SELECT PRINT S.L. - Que su empresa sí que trabaja para PLENISAN S.L. - Que la actividad de su empresa consiste en la impresión y ensobrado de publicidad postal. - Que su empresa es MEYDIS S.L 8. De la información y documentación aportada por el HOTEL, se desprende: a. Un correo electrónico fechado el 5/11/2014 emitido desde la cuenta .....@sistemas-medicos.com en que solicita disponibilidad de salas la realización de una reunión de exposición y venta en fechas 10 al 12 de febrero de 2015. b. Un contrato fechado el 6/11/2014 por el que se alquila una sala con una capacidad de 60 personas durante los días 3 al 5/2/2015. 9. Solicitada ampliación de información, de la información y documentación aportada por PLENISAN se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/98 a. Manifiesta la entidad: <<Solicita la Agencia la documentación acreditativa de la información a Macro Select Print del lugar y fecha del evento, el regalo a facilitar y las imágenes incluidas en la carta. A este respecto, hemos de decir que, según este y otros escritos recibidos por nosotros tras la inspección que nos realizó la AEPD, da la sensación de que algunos conceptos vertidos en las correspondientes Actas no se han especificado suficientemente, por lo que han dado lugar a confusiones que son las que han originado este nuevo requerimiento de información. Plenisan, S.L. no elige una localidad segmentando la geografía española, puesto que Plenisan, S.L. realiza acciones de venta en todo el territorio nacional. Cuando en el acta se dice que "la entidad elige una localidad" a lo que se refiere es a que elige una acción de ventas entre las propuestas por Macro Select Print (puesto que es esta la que prepara las acciones para Plenisan, tal y como figura en el contrato, las facturas y resto de documentos aportados ya a la AEPD) dependiendo de la lejanía, las fechas (no es lo mismo una acción la víspera de Nochebuena, cerca o lejos del domicilio del comercial, etc.), disponibilidad del hotel, disponibilidad de los comerciales, presupuesto del que se disponga (una acción en una gran ciudad requiere un presupuesto diferente de otra en una pequeña localidad), etc. Por eso, más que de "elegir" una localidad, lo que hacemos es "descartar" las que no son idóneas de la propuesta de Macro Select Print, por determinadas circunstancias que hacen imposible hacer allí la acción comercial. Una vez conocida por Plenisan la localidad en la que se realizará la campaña, contrata al Hotel (entre los disponibles en esa localidad) y le confirma a Macro Select Print (habitualmente, por vía telefónica) el lugar y fecha del evento, pues podría darse el caso de no haber disponibilidad del hotel o cualquier otro inconveniente (fiestas, huelgas, coincidencia con empresas de la competencia, etc.). En cualquier caso, reiteramos, es Macro Select Print quien determina y prepara las acciones comerciales para Plenisan; como figura en el contrato y en los escritos que hemos remitido a la AEPD. En este sentido y respondiendo al requerimiento que nos hace la AEPD, tenemos que decir que, cuando el Acta de la inspección dice que "MSP también diseña la creatividad publicitaria", se refiere a la creación de la acción comercial en concreto; es decir, si es conveniente o no que la carta vaya personalizada, si es mejor imprimir por las dos caras o sólo por una, si se debe adjuntar a la carta algún regalo promocional, si es conveniente o no adjuntar a la carta una hoja de respuesta, incluir en ella un teléfono de confirmación de asistencia, etc. Pero el mecanografiado de la carta y su arte definitivo lo hace Plenisan, en base a una serie de modelos de trabajo predefinidos que se utilizan para ello y que fueron facilitados en su momento por nosotros a la empresa Meydis, S.L, encargada de la impresión y envío de las cartas. Así, en cada campaña de marketing, una vez determinada la carta modelo que se va a utilizar en ella, Plenisan lo comunica a Meydis, S.L, que es quien se encarga de su impresión y ensobrado, para enviarla a sus destinatarios. Por otra parte, la copia de la factura emitida por Macro Select Print en relación con el evento del 3 de febrero de 2015 ya nos fue solicitada mediante escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/98 fecha 8 de septiembre de 2015 y ya fue aportada por nosotros en nuestra respuesta de 23 de septiembre de 2015, por lo que ya obra en poder de la Agencia Española de Protección de Datos y, en concreto, en este mismo expediente. Igualmente, se encuentra ya en poder de la AEPD la creatividad publicitaria utilizada en esa concreta campaña, puesto que fue aportada por la denunciante y está incorporada al expediente. De hecho, la Agencia nos remitió una copia de ella en el requerimiento de información que se nos hizo sobre este mismo asunto en fecha 8 de septiembre de 2015. Pese a ello, dicha creatividad se acompaña también a este escrito, en la medida en que se trata de un adjunto al correo electrónico de 20 de enero de 2015, que se incluye entre la documentación que se remite a esa Agencia. La solicitud para que se procediese a la impresión y envío de las cartas de esta campaña se la enviamos a la empresa Meydis, S.L. mediante correo electrónico de 14 de enero de 2015. Dicho correo incluía un archivo adjunto con la orden de impresión de las cartas. Se acompaña a este escrito. El fichero con los datos de los destinatarios de la publicidad no se envió por nosotros a Meydis, S.L., porque este fichero lo suministra directamente la empresa Macro Select Print, tras hacer conforme a sus propios criterios la selección de direcciones.>> b. Como documentación acreditativa de la reserva del HOTEL para el 3 de febrero de 2015 aporta la entidad un documento fechado el 6/11/2014 por el que se solicita reserva de un salón para los días 3 al 5/2/2015 con una capacidad de 50 personas, así como factura emitida por el HOTEL por la prestación de dichos servicios. c. Aporta copia del correo electrónico de 14 de enero de 2015 dirigido al personal de MEYDIS, desde la cuenta .....1@sistemasmedicos.com en la que se solicita la impresión de las cartas según las instrucciones que se adjuntan a ese e-mail y que se aportan impresas. En dicho adjunto aparece: ENVIAR DATOS CARTA: Hotel NH Collection XXXXX (C/...3) d. Aporta igualmente copia del correo electrónico de 20/1/2015, dirigido a .....1@sistemas-medicos.com desde el correo .....@meydis.com, al que se adjuntaban las cartas impresas de la campaña publicitaria para que se les diese aprobación. Incluye la creatividad utilizada para la campaña, en donde aparecen unas referencias en el lugar que posteriormente aparecería el destinatario y su dirección. e. Finalmente aporta la entidad copia de la factura emitida por MEYDIS por los trabajos realizados en enero de 2015, en que habría estado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/98 incluida la carta origen de la denuncia. La factura incluye tres órdenes de trabajo, siendo la primera en la que fue incluida la carta de la denunciante, con una tirada total de 79751 cartas. Los trabajos totales de enero incluyen un total de 221.727 cartas. 10. De la información y documentación aportada por Correos respecto del apartado de correos ****** de Madrid se desprende: a. Mediante contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual del apartado de correos citado, el domicilio aportado fue en la calle (C/....1) nº18, 8, 14 - Madrid. Aportaban igualmente como teléfono de contacto del administrador el número de línea móvil ***TEL.1. b. Junto a la documentación se incluye copia del DNI del administrador de la entidad, en el que figura como domicilio la calle (C/....2) 26, PBJ IZ de Madrid. c. Aporta igualmente Correos copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014. En dicha escritura figura D. B.B.B., quien crea la misma actuando en su propio nombre, suscribiendo la totalidad de las acciones emitidas de dicha sociedad constituyéndose como socio único y administrador de la misma. En dicha escritura D. B.B.B. cita como domicilio propio la calle (C/....1) 8 de Madrid, que coincide con la sede social de la entidad constituida. 11. En fecha 11/1/2016 fue realizada una visita de inspección a MEYDIS. Los representantes de la entidad aportaron la siguiente documentación a petición de los inspectores: a. La entidad tiene suscritos contratos tanto con MSP como con PLENISAN. Examinado el contrato suscrito con MSP se aprecia que aparece fechado el 12/6/2014 y en el mismo constan contratados los siguientes servicios: <<1. Impresión y envío de las cartas que incluyan las comunicaciones descritas en el expositivo primero de este contrato. Dichos servicios consistirán en cada campana que se lleve a cabo en lo siguiente: a. Recepción del modelo de carta publicitaria que se deba utilizar en la campaña. b. Recepción de un fichero generado por EL CLIENTE con los datos de nombre, apellidos y domicilio postal completo de las personas a las que deba hacerse el envío de la comunicación. Para la transmisión a MEYDIS del modelo y los ficheros mencionados en las dos letras anteriores, podrán utilizarse los siguientes sistemas, a elección del CLIENTE: entrega a través de un ftp, entrega a través de servicios de alojamiento cloud, servicios de mensajería, etc.). c. Impresión de dichos datos en las cartas a enviar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/98 d. Doblado, ensobrado y franqueo de las cartas. e. Depósito de las cartas en el correspondiente operador postal para su envío. II. Adicionalmente, puesto que el CLIENTE carece de infraestructura suficiente para ello, podrá solicitar a MEYDIS que desempeñe funciones de intermediación en la gestión de las relaciones entre EL CLIENTE y los Clientes Finales, de modo que las peticiones de servicio u otras comunicaciones dirigidas desde estos al CLIENTE se hagan utilizando a MEYDIS como canal. En estos casos, MEYDIS se limitará a trasladar al CLIENTE la comunicación que reciba del Cliente Final.>> Examinado el contrato suscrito con PLENISAN se aprecia que aparece fechado el 6/5/2013 y en el mismo constan contratados los siguientes servicios: <<a. Recepción de las piezas publicitarias, en las que ya se encontrarán impresos los datos de nombre, apellidos y dirección postal de las personas a las que deban ser enviadas. Las piezas publicitarias se entregarán a MEYDIS en soporte papel y apiladas en cajas, sin orden o indexación alguna. Dichas cajas serán enviadas a MEYDIS directamente por la tercera empresa que haya sido contratada por el CLIENTE para los servicios de selección e impresión de los datos personales en la publicidad. b. Doblado, ensobrado y franqueo de las piezas publicitarias. c. Depósito de la publicidad en el correspondiente operador postal para su envío.>> b. Correo electrónico de fecha 19/12/2014 remitido desde la cuenta .....1@sistemas-medicos.com con destino a tres empleadas de MEYDIS mediante el cual se remitía seis órdenes de servicio, una de las cuales es la convocatoria de 15/1/2015 en el hotel Sercotel XXXXX. Examinado dicho correo, se encuentra que en la página en la que se refiere a la orden de servicio SMP-***** relativa a la convocatoria del día 15/1/2015 en el hotel Sercotel XXXXX aparece: ENVIAR DATOS CARTA: - Una x domicilio HOTEL SERCOTEL XXXXX -Hombres y Mujeres C/ (C/...4), 1 - Preferente Mujeres (ESQUINA (C/...5)) - Eliminar: Analfabetos SocioEconómico: Bajo Aunque no se refiere al mismo envío origen de la presente denuncia, este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/98 formato contrasta con el aportado por PLENISAN, en donde la columna de criterios ha desaparecido. Correo electrónico de fecha 22/12/2014 remitido desde la cuenta de una administrativa de cuentas de MEYDIS con destino a la cuenta .....1@sistemasmedicos.com mediante el cual se le envía una muestra de la creatividad que se utilizará para la convocatoria antes mencionada. Examinada la muestra, se aprecia que en el lugar en que posteriormente aparecerá el destinatario del envío consta la orden de servicio SMP-*****. Correo electrónico de fecha 26/12/2014 desde la cuenta de una de las empleadas de MEYDIS se remite un muestra de ejemplo de la creatividad a enviar para la convocatoria mencionada, conteniendo datos de los destinatarios. Examinada la muestra, se aprecia que ya consta en ella datos de un destinatario real. El envío se acompaña de un código que comienza con el literal SM*****. El mismo día PLENISAN remite correo electrónico confirmando la validez de la campaña. c. Aporta MEYDIS copia de la factura emitida a MSP con fecha 20/3/2015 por los servicios de diseño, personalización de cartas, grabación y otros procesos. Se recaba copia de la factura y del desglose parcial de dichos trabajos, entre el que se incluye el trabajo de la convocatoria citada. Examinada dicha factura, se aprecia que en ella constan facturados los conceptos: <Orden de trabajo 530/15 SERVICIO PERSONALIZAION Y OTROS PROCESOS DE MAQUETACIÓN, SERVICIO DE DISEÑO, PERSONALIZACIÓN DE CARTAS EDITORIALES, GRABACIÓN Y OTROS PROCESOS REALIZADOS PARA SUS CLIENTES (ADMUNTAMOS INFORMES)>> La factura tiene vencimiento del 20/3/2015 y forma de pago por medio de transferencia. Según dicha factura, han sido facturados a PLENISAN tres ordenes de trabajo correspondientes al mes de enero 2015. En la orden de trabajo *****/14 en la que estuvo incluida la carta origen de la denuncia fueron impresas un total de 79.106 cartas, resultando que las tres órdenes por los servicios del mes de enero suman un total de 230.815 cartas. d. Aporta MEYDIS copia de la factura emitida a PLENISAN S.L. con fecha 31/1/2015 por los servicios de plegado, ensobrado y distribución. Se recaba copia de dicha factura y del desglose. Examinada la misma, constan en ella facturados los servicios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/98 <<Orden de trabajo *****/14 SISTEMAS MEDICOS PROFESIONALES -SMPSALIDA 3- DEPOSITO 07/01 TRABAJOS ENERO 2015 Plegado de carta, ensobrado, cierre de sobres, clasificación y preparación para su distribución (incluye materiales)>> En el detalle de la factura se aprecia la existencia de una línea en la que se recoje el pedido de referencia SMP-*****. e. Se recaban copia de las fichas contables de MSP y PLENISAN correspondientes a los años 2014 y 2015. Se comprueba que la factura emitida por MEYDIS a MSP en fecha 20/3/2015 se encuentra efectivamente contabilizada. 12. Manifiestan los representantes de la entidad que el servicio de informática accede a un servicio FTP en el que MSP deposita los ficheros que contienen los datos personales para cada campaña publicitaria. Tras realizar la impresión, los ficheros ubicados en dicho FTP son borrados, en cumplimiento de las condiciones contractuales. 13. Los inspectores de la Agencia solicitan al representante de MEYDIS S.L. que les permita el acceso sus sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Solicitado un acceso al servicio FTP del cual obtienen los ficheros proporcionados por MSP para la elaboración de las campañas y tras realizar un intento de acceso al servicio, se comprueba que no existen ficheros alojados en el mismo. Se comprueba que la dirección del servidor es ***IP.1. Realizada la búsqueda de dicha IP en el servicio WHOIS se comprueba que está asignada a un prestador de servicio ubicado en EEUU. Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es menor de 1 milisegundo. Los representantes de la entidad manifiestan que dicho servidor pertenece a MEYDIS, que proporciona un FTP a algunos clientes para que puedan enviar los ficheros de ejecución de las campañas. Solicitado el acceso al directorio real al que se asocia el servicio FTP del usuario MACRO, se comprueba que dicho directorio está vacío. Solicitado el acceso al registro de actividad del servicio FTP se comprueba que únicamente se guarda registro de los accesos de mismo día de la inspección. Informa un miembro de sistemas que esto es debido a que acaban de instalar un antivirus y que se ha estropeado la configuración del sistema perdiéndose los datos de los registros de acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/98 Aclaración respecto de los tipos direcciones IP’s y sus usos: Las direcciones IP pueden clasificarse según su accesibilidad en públicas o privadas. Las direcciones IP públicas son gestionadas por organizaciones internacionales que, a través de agentes, las asignan a distintos operadores, prestadores de servicios de acceso a Internet y organizaciones. Estas direcciones sirven para identificar unívocamente un dispositivo en Internet y su asignación, estática o dinámica, la decide el operador, prestador de acceso u organización que la tiene asignada. Las direcciones IP privadas son un subconjunto del rango total de direcciones IP que pueden ser utilizadas dentro de las redes internas (Intranet) de cualquier hogar, empresa u organización. Dichas direcciones son únicas dentro de la red interna, y así identifican a un dispositivo dentro de la red, pero pueden repetirse a través de distintas organizaciones. La utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna. En el caso de las presentes actuaciones, la dirección IP ***IP.1 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica, pero a través de la dirección ***IP.1, el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde Internet. Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.1, no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada. Por tanto, a través de la dirección IP ***IP.1 únicamente se puede tener acceso desde la red interna de MEYDIS sin que hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP sería únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS. b. Se realiza una búsqueda en el correo electrónico de uno de los administradores de sistemas de MEYDIS utilizando como criterio de búsqueda “MACRO”. Se encuentran varios correos de los que se recaban únicamente los que se consideran de interés: - C/ Jorge Juan, 6 28001 – Madrid Correo electrónico de fecha 31/6/2014 mediante el cual se reenvía otro correo del día anterior en el que la asesora jurídica de Multigestión Iberia SL envía a diferentes direcciones de correo de MEYDIS copia de un contrato por el que informa del su cambio de razón social, que pasa a Multigestión Iberia 2014 SL y que debe firmar MSP. www.agpd.es sedeagpd.gob.es 17/98 Manifiestan los representantes de MEYDIS que en realidad dicho contrato se lo envían para que sea remitido a MSP ya que, en ocasiones, canalizan las comunicaciones con dicha entidad. Solicitada copia del correo mediante el cual se remitía a MSP dicho documento, los representantes de MEYDIS manifiestan que las relaciones con MSP las lleva directamente el presidente de la entidad. Solicitado al abogado de la entidad el motivo por el que él modifica el contrato, manifiesta que no recordar el motivo por el que lo haría. Examinado dicho correo, se observa que contiene múltiples reenvíos: o El 30/7/2014 una persona de Multigestión Iberia SL comunica al abogado de MEYDIS: <<… aquí tienes una nueva versión del contrato, mas simplificada.>> o El mismo día el abogado de MEYDIS reenvia a una persona de la entidad dicho contrato: <<Te adjunto el contrato revisado conforme a lo hablado>>. o Seguidamente, una persona de MEYDIS responde: <<Conforme a los cambios. Procedo a imprimir y pasar a firma aquí. Te enviaré el pdf y luego circulamos dos ejemplares a través de ***NOMBRE.1 y ***NOMBRE.3, y doy la orden de pago de las facturas.>> o Posteriormente, personal de Multigestión Iberia SL solicita a MEYDIS: <<Para adelantar, os sugiero que imprimáis dos ejemplares del contrato, que os envío en pdf “macro select print” los firméis y nos enviéis esos dos ejemplares a nosotros para firmarlos aquí y os devolvemos uno.> - Correo electrónico de fecha 31/6/2014 remitido por quien aparece en el mismo como la responsable de Control de Gestión de MEYDIS a un administrador de sistemas de la entidad, con copia a otros empleados de MEYDIS y a la dirección .....1@gmail.com en el que la empleada de MEYDIS manifiesta tener instalado en su ordenador un nuevo certificado de la FNMT de MSP, que debe ser enviado a dicha entidad. Manifiestan los representantes de la entidad que la remitente se ha tomado el día libre, el destinatario manifiesta ignorar el sentido del correo, y las dos personas que aparecen en copia no se encuentran en ese momento en la oficina. Solicitado el motivo por el que tienen el certificado de la FNMT de MSP previamente a que lo tenga MSP, los representantes de la entidad informan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/98 desconocer el motivo por no ser los destinatarios ni los usuarios de dicho certificado. - Correo electrónico de fecha 22/9/2014 remitido por una empresa externa de servicios informáticos en el que informan a empleados de MEYDIS de que una incidencia notificada desde la cuenta .....1@gmail.com en relación con ciertas cancelaciones o bajas está resuelta. Convocado a la reunión un miembro del Dto. de Informática manifiesta que existía una aplicación mediante la cual el personal de MSP tenía acceso al mantenimiento del fichero de listas Robinson de titularidad de MSP, de forma que MEYDIS conocía las personas que no deseaban recibir publicidad a fin de evitar posteriores envíos. Dicho fichero ha sido borrado tras la resolución del contrato con dicha entidad. 14. Realizada solicitud de información por correo electrónico a MEYDIS, de la información y documentación aportada se desprende: a. Mediante correo electrónico del 14 de enero de 2015 PLENISAN remite e MEYDIS la orden de impresión de la impresión de la publicidad, conforme a las condiciones que figuran en el documento adjunto a dicho e-mail y que también se aporta junto a este escrito. Figura en dicho documento adjunto: ENVIAR DATOS CARTA: Hotel NH Collection XXXXX (C/...3) b. Mediante correo electrónico de 16 de enero de 2015 enviado desde MEYDIS a PLENISAN se envía el modelo de carta publicitaria impresa para que esta de su conformidad, aportando copia de dicho modelo, en el que todavía no figuran datos personales. c. Mediante correo electrónico de 20 de enero de 2015 enviado desde MEYDIS a PLENISAN mediante el que se envía el modelo de carta publicitaria impresa para que esta de su conformidad, aportando copia de dicho modelo, en el que ya figuran los datos personales de un destinatario. d. Solicitado a la entidad la fecha en que MSP informó de la disponibilidad del fichero para la confección de la impresión publicitaria, así como su acreditación documental, MEYDIS manifiesta que <<La empresa MSP no nos informaba de que un fichero estaba disponible para confeccionar la impresión de la publicidad. Simplemente, cada vez que recibíamos una orden de trabajo de nuestro cliente Plenisan, accedíamos al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/98 ftp en el que MSP colocaba los ficheros y ya nos encontrábamos colocado ahí el que debía utilizarse para esa concreta carta publicitaria.>> e. Solicitada a la entidad una consulta realizada a sus sistemas en que se muestre la fecha en que se realizó la fusión de la creatividad publicitaria con el fichero recibido de MSP para generar el fichero que posteriormente sería impreso, la entidad manifiesta: <<En la actualidad, ya no conservamos en nuestros sistemas esa información. Los registros de actividad fueron eliminados cuando se resolvió el contrato con este cliente, al no ser ya necesarios.>> f. Con fecha con fecha de 20 de marzo de 2015 MEYDIS emite factura a MSP en la que incluye los servicios realizados durante el mes de enero de 2015. Se facturan el siguiente concepto: <<Orden de trabajo: 530/15 SERVICIO PERSONALIZACION Y OTROS PROCESOS DE MAQUETACIÓN, SERVICIO DE DISEÑO, PERSONALIZACIÓN DE CARTAS EDITORIALES, GRABACIÓN Y OTROS PROCESOS REALIZADOS PARA SUS CLIENTES (ADJUNTAMOS INFORME)>> Así pues, el trabajo realizado por orden de PLENISAN es posteriormente facturado a MSP. g. En fecha 21 de enero de 2015 MEYDIS factura a PLENISAN las órdenes de trabajo de enero. En la orden 360/2015 se incluye la relativa a la carta remitida a la denunciante, siendo el concepto facturado: <<Plegado de carta, ensobrado, cierre de sobre, clasificación y preparación para su distribución (Incluye materiales)>> En el detalle de la factura consta que un total de 1.041.753 envíos. TERCERO: Con fecha 3 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MACRO SELECT PRINT, S.L con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante) RDLOPD en por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  6. b)de la citada Ley Orgánica, a MEYDIS, S.L., con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  7. b)de la citada Ley Orgánica y a PLENISAN, S.L. con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  8. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MEYDIS, S.L., mediante escrito de fecha de entrada en esta Agencia de 04/03/2016 formuló alegaciones, significando, en síntesis lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/98 -Sobre los servicios prestados por MEYDIS a PLENISAN y a MACRO SELECT PRINT. MEYDIS es una empresa con experiencia en el sector que ha trabajado para multitud de clientes, y cuyos servicios se circunscriben a: I.La gestión de las bases de datos del cliente, conforme a las instrucciones recibidas de él. En este ámbito, MEYDIS realiza para el cliente, por ejemplo, tareas de normalización de las bases de datos, exclusión de Robinson en campañas comerciales, etc. II.La impresión, personalización, manipulado y envió de comunicaciones de diversa naturaleza por correo postal, en nombre y por cuenta del cliente. III. En dichas tareas, MEYDIS utiliza las bases de datos que los propios clientes facilitan en el marco de los servicios contratados, lo cual implica que MEYDIS trata dichos datos en condición de encargada del tratamiento, conforme a lo previsto en el artículo 12 de la LOPD. Así se recoge expresamente en los contratos suscritos. Con fecha 06/05/2013, se firmó un contrato entre MEYDIS y PLENISAN por virtud del cual, teniendo esta última la necesidad de que se realizasen trabajos materiales de impresión, manipulado y puesta en correos de las cartas publicitarias utilizadas en sus campañas comerciales, contrató dichos servicios con MEYDIS, con la finalidad de que ésta los llevase a cabo en nombre y por cuenta de aquella. Constituyéndose así MEYDIS como encargada del tratamiento de los datos a los que pudiera acceder como consecuencia de la ejecución de dicho encargo, tratando los datos únicamente conforme a las instrucciones de PLENISAN ( Clausulas II, II y IV) asimismo PLENISAN garantizaba la legalidad del fichero. El 16/07/2014 (como figura en el Expediente), PLENISAN contrató a la empresa Macro Select Print, S.L (en lo sucesivo, MSP) los servicios de selección de direcciones postales e impresión de datos en sus cartas publicitarias. Según aparece en dicho contrato (Cláusula II), el proveedor de manipulado de PLENISAN (que, desde un año antes, era MEYDIS), recibiría directamente del proveedor de datos las cartas ya impresas. El Presidente de MEYDIS, conocía por motivos personales a B.B.B.. Este último le había manifestado su intención de constituir una sociedad (MSP) que se iba a dedicar a la explotación de bases de datos con fines comerciales, pero que carecía de los medios materiales necesarios para llevar a cabo las tareas de impresión y personalización de las cartas publicitarias de sus clientes. Por ello, solicitó a MEYDIS que le prestase dichos servicios. En fecha de 12 de junio de 2014, se firmó un contrato entre MSP y MEYDIS, que servirla como acuerdo marco para regular los servicios de impresión y manipulado de MEYDIS para aquella. Adicionalmente, MSP solicitó incluir en el contrato la posibilidad de que MEYDIS pudiera realizar tareas de intermediación en las relaciones entre MSP y sus clientes, aprovechando la infraestructura y medios con los que MEYDIS contaba y de los que MSP carecía. Todo ello consta en las cláusulas Primera I y II. del contrato. En las campañas de marketing de PLENISAN, los servicios llevados a cabo por cada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/98 empresa eran los siguientes: - Servicios prestados por MSP a PLENISAN: Del contrato firmado y del concepto de las facturas emitidas, se deducen los siguientes servicios: I.Diseño de campañas. II.Fijación de criterios de segmentación de destinatarios. III.Selección de direcciones, tratamiento, spool de impresión y personalización. -Servicios prestados por MEYDIS a PLENISAN: Del contrato y del concepto por las facturas emitidas, se deducen los siguientes servicios: I.Plegado de carta, ensobrado, cierre de sobre, clasificación y preparación para su distribución (incluye materiales). II.Puesta en correos de las piezas publicitarias. - Servicios prestados por MEYDIS a MSP en las campañas realizadas por ésta última para PLENISAN: Del contrato firmado entre MEYDIS y MSP y del concepto por las facturas emitidas, se deduce que MEYDIS prestaba los siguientes servicios: I.Recepción de carta publicitaria a utilizar en cada campaña. II.Maquetación de cartas. III.Recepción de fichero elaborado por MSP con datos personales de los destinatarios de la campaña. IV.Impresión de los datos en las piezas publicitarias. V.Servicios de intermediación las relaciones entre MSP y sus clientes. Los servicios de doblado, ensobrado, franqueo y envío de las cartas, que también se incluyen en el contrato marco suscrito entre MSP y MEYDIS, no se prestaban por MEYDIS a MSP en las campañas de PLENISAN. Dado que PLENISAN ya los tenía contratados con MEYDIS desde un año antes (6 de mayo de 2013). El hecho de que esos servicios figurasen también en el contrato de MEYDIS con MSP se debe a que éste era un contrato marco, que pretendía regular no sólo las campañas realizadas para PLENISAN, sino también las de otros clientes de MSP, con respecto a los cuales ésta sí podría haber necesitado subcontratar con MEYDIS los servicios de manipulado. En definitiva, parte de los servicios que MSP facturaba a PLENISAN, después, los subcontrataba con MEYDIS (recepción del modelo de publicidad, maquetación e impresión y personalización de las cartas publicitarias), mientras que otros servicios que MSP facturaba a PLENISAN (como la selección de los destinatarios de la campaña) eran prestados directamente por MSP. En todo caso, tanto en la relación comercial entre MEYDIS y PLENISAN, como en la que existía entre MEYDIS y MSP, MEYDIS actuaba siempre en calidad de encargada del tratamiento de los datos, limitándose a cumplir las instrucciones que cada uno de sus clientes le daba, según consta en los respectivos contratos. El esquema de relaciones mercantiles y servicios que ha sido descrito no sólo se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/98 desprende de la documentación obrante en el procedimiento, sino que ha sido ratificado por PLENISAN y MSP en las respuestas que estas empresas han dado a los requerimientos de información de la AEPD y que figuran en el Expediente. -Sobre el modo de realización de las campañas de Plenisan. De la documentación obrante en el expediente se constata que, en las campañas realizadas por la empresa Plenisan, la intervención de MEYIDS se limitaba a recibir la orden de trabajo de Plenisan, acceder al correspondiente fichero segmentado subido por MSP a un FTP, realizar las pruebas de impresión t, tras la conformidad del cliente, imprimir los datos en las cartas publicitarias, doblarlas, ensobrarlas y ponerlas en Correos. -Sobre las tareas de intermediación y otras actuaciones auxiliares realizadas por MEYDIS para MSP. Como se ha indicado, la relación entre el Presidente de MEYDIS y el administrador de MSP devenía de los contactos institucionales y comerciales que, tras muchos años de desempeño profesional, mantenía aquel. Esa relación, añadida a la falta de medios de MSP (por su reciente constitución y pequeño tamaño), determinó que MEYDIS llevase a cabo habitualmente ciertas tareas de gestión de las relaciones entre MSP y sus clientes (en cumplimiento de la cláusula Primera II del contrato), asi como otras actividades auxiliares que, sin venir expresamente reguladas en aquel, eran realizadas, por indicación del Presidente de MEYDIS, como deferencia hacia MSP, en aras al mantenimiento de la buena relación con este cliente. Existen en el expediente varios ejemplos de dichas actividades auxiliares y de intermediación, que MEYDIS llevaba a cabo en nombre y por cuenta de MSP: A En el documento 3 de los anexos al Acta de Inspección E/2253/2015/1-01, consta cómo las órdenes de servicio de las campañas de PLENISAN se remitían desde ésta directamente a MEYDIS, para que las ejecutara con el fichero que MSP había previamente seleccionado para cada campaña. B Durante la inspección a PLENISAN, manifestaron que se relacionaban con MSP a través de dos personas de MEYDIS: su Presidente y otra empleada de la entidad. C Otro ejemplo consta en los documentos 7 y 8 de las actuaciones de inspección 1/00005/2015/1-01, en los que, mediante un correo electrónico dirigido a MSP, PLENISAN solicita a esta "Una muestra de 50 registros del fichero de Macro Select Print que estén en los repertorios telefónicos de la ciudad de León, antes del 23 del 10 de 2014.” Posteriormente, por orden de MSP, MEYDIS devuelve esta petición a PLENISAN, enviándole un fichero que cumplía los requerimientos del cliente, extraído de los ficheros de MSP, que, tras cada campaña y ser convenientemente cancelados, se mantenían bloqueados en cumplimiento del artículo 22.2 del RD1720/2007. Puesto que en el expediente PS/53/2016, incoado también contra nosotros, consta una diligencia de 27 de enero de 2016, realizada por la AEPO, en la que se constata que MEYDIS figura entre las entidades que tienen acceso al SGDA, y ante la convicción de que se interpretará este hecho como indicio en nuestra contra también en este procedimiento, queremos destacar que PLENISAN, en la referida solicitud, no pide C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/98 registros extraídos de repertorios telefónicos, sino "registros del fichero de Macro Select Print" que estén en dichos repertorios, lo cual evidencia que los datos se debían extraer, exclusivamente, del fichero de MSP, no de los listados públicos de teléfonos a los que MEYDIS tenia acceso. D Otro ejemplo se contiene en el documento 6 de los anexos al Acta de Inspección E/2253/2015/1-01. En él figura el correo electrónico de 30 de julio de 2014, en el que la asesoría jurídica de Multigestión remitió a un abogado externo de MEYDIS (con copia a una empleada de esta entidad) un contrato a firmar entre Multigestión y MSP. Consta la revisión de dicho contrato y la respuesta con la conformidad de ambas partes. Asimismo, consta un e-mail de la asesoría jurídica de Multigestión, dirigido a una empleada de MEYDIS, En dichos e-mails, Multigestión (que es también cliente de MEYDIS) remite a MSP (a través de MEYDIS) un contrato para su revisión y firma. Ante la inexistencia de una asesoría jurídica propia en MSP y en el marco a la buena relación comercial existente, el Presidente de MEYDIS pidió a su abogado externo que revisase el contrato de MSP y, una vez definido el texto, Multigestión solicitó a MEYDIS que lo trasladase a MSP para su firma por esta y posterior devolución por el mismo canal. Existe un importante error en el Acuerdo de Inicio del Procedimiento en relación con los remitentes y destinatarios de estos e-mails. Dice literalmente la AEPD ( subrayado de MEYDIS): Examinado dicho correo, se observa que contiene múltiples reenvíos: • El 30/7/2014 una persona de Multigestión Iberia, S.L comunica al abogado de Meydls "..."aquí tienes una versión del contrato más simplificada". • El mismo día el abogado de MEYDIS reenvía a una persona de la entidad dicho contrato Te adjunto el contrato conforme a lo hablado". • Seguidamente una persona de MEYDIS responde: "Conforme a los cambios. Procedo a imprimir y pasar a firma aquí. Te enviaré el pdf y luego circulamos dos ejemplares a través de ***NOMBRE.1 y ***NOMBRE.3 y doy la orden de pago de las facturas". Lo anterior es incorrecto. Del examen del e-mail se deduce que la comunicación del abogado de MEYDIS en la que dice Te adjunto el contrato conforme a lo hablado", no se reenvía por él a una persona de MEYDIS, sino que se redacta en respuesta al anterior e-mail recibido de E.E.E. (abogada de Multigestión) y se dirige a esta. E igualmente es erróneo decir que el e-mail "Conforme a tos cambios. Procedo a imprimir y pasar a firma aquí. Te enviaré el pdf y luego circulamos dos ejemplares a través de ***NOMBRE.1 y ***NOMBRE.3 y doy la orden de pago de las facturas" fue enviado por una persona de MEYDIS en respuesta a los anteriores. Puede comprobarse viendo los datos del remitente que este correo fue enviado por la abogada de Multigestión y va dirigido al abogado de MEYDIS. Es cierto que en copia de todos esos correos va el e-mail de una empleada de MEYDIS, pero todos ellos son intercambiados entre el abogado de MEYDIS y la abogada de Multigestión. Posiblemente el error de la AEPD sea consecuencia de que, después, consta un e-mail enviado por la abogada de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/98 Multigestión a las 11:53 que sÍ se dirige a una empleada de MEYDIS en relación al modo en que esta debia dar traslado del contrato a MSP para su firma. Este e-mail, confirmando que el papel de MEYDIS era de mero intermediario, termina diciendo: A la carta de cesión, como veréis, también le falta una firma, asi que simplemente tomad nota y va os la volveré a enviar totalmente firmada para que me la devolvéis firmada por MSP. Llama la atención que este párrafo, que revela sin lugar a dudas que el único sentido del e-mail era el de solicitar a MEYDIS que trasladase el contrato para su firma a MSP y, una vez firmado por esta, lo devolviese a Multigestión, haya sido suprimido en el Acuerdo de Inicio del Procedimiento Sancionador. Obsérvese, por último, cómo esta cadena de e-mails se cierra con uno, desvinculado de los anteriores, pero que guarda relación indirecta con ellos, en el que una trabajadora de MEYDIS remite a otros empleados de esta empresa una comunicación en la que se informa de que Multigestión (que es también cliente de MEYDIS) no depositará ese día ningún fichero, ya que va a proceder a un cambio de denominación social, para acreditar lo cual reenvía internamente los e-mails anteriores. Este último correo es ajeno a la relación Multigestión-MSP y se refiere sólo a los servicios que MEYDIS presta a aquella. E En el documento 7 de los anexos al Acta de Inspección E/2253/2015/1-01, figura un correo electrónico de 31 de julio de 2014, remitido desde la cuenta de una empleada de MEYDIS a otros empleados de la entidad y a MSP. En el correo se comunica que ya se dispone de un certificado de la FNMT que se ha obtenido para MSP y que hay que trasladar a esta. Es este otro ejemplo de las tareas auxiliares que MEYDIS realizaba para MSP. MSP pidió al Presidente de MEYDIS el favor de que obtuviese para ella un certificado digital, por carecer de conocimientos técnicos para hacerlo por si misma y el Presidente de MEYDIS pidió a una de sus empleadas que lo hiciese en nombre de MSP. El sentido meramente auxiliar de esta acción puede verse en el hecho de que en el email se dan órdenes de trasladar el certificado a su legítimo propietario, que es MSP. Se adjunta declaración emitida por F.F.F., empleada de MEYDIS que obtuvo el certificado de MSP y remitió el correo electrónico informando de que habla que trasladarlo a dicha empresa, con el fin de que quede acreditado lo expuesto. F Otro claro ejemplo de lo indicado y que también consta en el expediente es el hecho de que, para facilitar a MSP la recogida de las devoluciones que se producían en su apartado de correos, se le habla permitido que autorizase a los mensajeros de MEYDIS (D. H.H.H. y 0. G.G.G.). Esto no es extraño. Existen otros clientes de MEYDIS que también han autorizado a los mensajeros de ésta para la recogida de devoluciones en sus apartados de correos. Se adjunta declaración emitida al efecto por D. H.H.H.. En definitiva, en la relación comercial entre MSP y MEYDIS, ésta realizaba, en nombre y por cuenta de aquella, diversas actuaciones auxiliares, de gestión administrativa, de ayuda o de intermediación, que, aunque no generaban un beneficio económico directo a MEYDIS, sí contribuían al mantenimiento de una buena relación comercial con MSP. Sobre la resolución del contrato entre MEYDIS y MSP. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/98 A principios del mes de septiembre de 2015, el administrador de MSP ya había manifestado que se estaba planteando dejar su actividad, ante el elevado número de denuncias y quejas que estaban recibiendo tanto MSP como sus clientes. La posibilidad de que MSP desapareciera sin previo aviso, hizo saltar las alarmas en MEYDIS ante el nesgo de que las facturas emitidas a MSP que en ese momento estaban pendientes de pago resultasen finalmente incobrables. Por ello, se alcanzó un acuerdo con MSP para garantizar el pago: MEYDIS y MSP acordaron que los créditos correspondientes a las facturas emitidas por MSP contra sus clientes y que aún no hablan sido pagadas fuesen cedidos a MEYDIS en pago de la deuda existente en favor de ésta. A tal fin, MEYDIS y MSP firmaron un contrato de cesión de créditos en fecha 9 de septiembre de 2015. El 10 de noviembre de 2015, MEYDIS recibió carta certificada de MSP, fechada el 28 de octubre, en la que comunicaba el cese definitivo de sus actividades y la resolución del contrato. La cesión de créditos implicaba la posibilidad prevista en el citado contrato de que MEYDIS pudiera acceder a la cuenta bancaria del BBVA a nombre de MSP para verificar los pagos que se le realizaban a ésta por otros clientes y conocer el estado financiero de sus cuentas para poder exigir el pago de las facturas correspondientes emitidas por MEYDIS a MSP. En ningún caso son accesos con operaciones de transferencias etc., sino meras consultas. Aclaraciones sobre el FTP utilizado por MSP para depositar los ficheros. Interesa en este punto aclarar una conclusión equivocada a la que llega el Acuerdo de Inicio del Procedimiento, reproduciendo las erróneas manifestaciones del Informe de Actuaciones Previas de Inspección E/02253/2015 en relación con el FTP que era utilizado por MSP para depositar los ficheros a utilizar en las campañas de sus clientes. Como se manifestó por el representante de MEYDIS durante la inspección de la AEPD a esta entidad, el FTP utilizado por MSP era titularidad de MEYDIS y se puso a disposición de MSP con dicho fin. Ha de precisarse que esto es habitual en la relación entre MEYDIS y sus clientes, puesto que, disponiendo MEYDIS de una infraestructura informática bien definida, sólida y segura para el intercambio habitual de ficheros, muchos clientes prefieren utilizar nuestros FTP antes que montar uno específico. Se pedirá en fase de prueba el testimonio de otros clientes de MEYDIS que confirmen lo anterior. Durante su visita, los inspectores de la AEPD solicitaron un acceso al FTP que era utilizado por MSP para depositar sus ficheros, comprobándose que no se encontraban ficheros alojados en él, lo cual es lógico, si tenemos en cuenta la previsión de la cláusula Sexta VI del contrato suscrito entre MEYDIS y MSP y el hecho de que hace varios meses que se hablan dejado de prestar servicios a dicha compañía. Accediendo los inspectores al directorio real asociado al FTP del usuario MACRO, comprobaron que estaba vacío y que no se habían guardado los registros de acceso, lo cual es coherente con la manifestación efectuada en el acto por el administrador de sistemas de MEYDIS, que indicó que la reciente instalación de un antivirus habla estropeado la configuración del sistema, perdiéndose los datos del registro de accesos. En todo caso, en relación con el funcionamiento y contenido de esa carpeta FTP, ha de tenerse en cuenta que, en la fecha de la inspección de la AEPD, el contrato de MSP hacía varios meses que ya había sido resuelto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/98 Indica el informe de Actuaciones Previas que se comprobó por los inspectores que la dirección del servidor era ***IP.1, realizándose una búsqueda de dicha IP en el servicio WHOIS y comprobándose que estaba asignada a un prestador de servicios de EEUU. Asimismo, dice el Acuerdo de inicio y el Informe de Actuaciones Previas que "Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es inferior a un milisegundo." Dice también la AEPD que, posteriormente, desde su sede, "Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.1; no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada". Realiza la Agencia en su escrito una explicación sobre las diferencias entre IP públicas y privadas, indicando que las primeras, que son asignadas por operadores en Internet, permiten identificar unívocamente un dispositivo en Internet, mientras que las privadas son asignadas internamente por el administrador del sistema de una red y sólo identifican un dispositivo dentro de esta, pudiendo repetirse en distintas organizaciones o redes. Dice también la Agencia a este respecto que la utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna". Añadiendo que "En el caso de ¡as presentes actuaciones, ¡a dirección IP ***IP.1 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica; pero a través de la dirección ***IP.1 el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde internet" La conclusión que alcanza la AEPD es que "a través de la dirección IP ***IP.1 únicamente se puede tener acceso desde la red interna de Meydís, sin que hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP serla únicamente porque los sistemas de MSP se encuentran dentro de la red interna de Mevdis'. Sin embargo, incurren los inspectores en un trascendente error, para acreditar lo cual se acompaña a estas alegaciones Informe Pericial Informático emitido por experto independiente. Realmente, la dirección IP a la que hace referencia el expediente, ***IP.1, es una dirección IP privada de la red de MEYDIS, si bien no se corresponde con el servidor FTP, sino con el Sistema de Alimentación Ininterrumpida (SAI). La dirección que si se corresponde con el servidor FTP es ***IP.2, como se acredita en el Informe Pericial. Y no se trata de un mero error material, consistente en haber reflejado en el Acuerdo de Inicio y el Informe de Actuaciones Previas la dirección IP con una errata, sino que en la diligencia firmada por el inspector el 26 de enero de 2016, consta que las comprobaciones de verificación en WHOIS, el intento de acceso al FTP, el intento de acceso a los servicios web y el resultado de la ejecución del comando PING se llevaron a cabo todos ellos en relación con la IP ***IP.1, y, por tanto, sobre una dirección IP equivocada, diferente de la del servidor FTP en el que MSP depositaba sus ficheros. Dicho error, por sí sólo, ya debería invalidar los argumentos contenidos en el Acuerdo de Inicio sobre el FTP. No obstante, abundaremos en ello, para no dejar lugar a dudas. Un servicio FTP permite la transferencia de ficheros entre sistemas que una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/98 organización pone a disposición de terceros para enviar o recibir información. Desde dentro de la organización que presta el servicio de FTP se presenta como una carpeta de un disco duro accesible mediante un nombre de carpeta o una dirección IP privada. Desde fuera de la organización que presta el servicio de FTP, a este se accede mediante una IP pública, con la que se configura un software cliente de FTP (una aplicación para poder transferir ficheros). Como decíamos más arriba, la dirección real interna que si se corresponde con el servidor FTP es ***IP.2 Este servidor FTP es gestionado por MEYDIS para dar servicio a numerosos clientes, con el objeto de poder recibir ficheros y confeccionar los documentos para las campañas encargadas a MEYDIS. En todos estos casos, MEYDIS trabaja igual que lo hacía con respecto a (os ficheros depositados por MSP: se utilizan esos ficheros para llevar a cabo la correspondiente impresión de documentos de distinta tipología, según las instrucciones de los dientes (piezas comerciales, extractos bancarios, facturas de servidos, comunicaciones a dientes finales, etc.). El acceso a este FTP desde dentro de Mevdis se realiza mediante el nombre de la carpeta o la dirección IP privada ***IP.2 Ahora bien, MEYDIS proporciona a los clientes una IP Pública para que puedan acceder a este servicio. Dicha IP es ***IP.3 El acceso como FTP a esta IP sólo puede realizarse desde fuera de la red de Mevdis. Esta es la IP que MSP (como otros dientes), utilizaba para depositar los ficheros correspondientes a las campañas de PLENISAN. Por lo tanto, lo manifestado en el punto 13
  9. a)del Acuerdo de Inicio de Procedimiento "Si MSP pudo tener acceso a dicha dirección IP sería únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS" es erróneo, debido a que MSP (como otros clientes) no accedía al FTP mediante la IP interna de Mevdis. Sino mediante la dirección IP pública ***IP.4 configurada a tal efecto. En conclusión, es errónea la conclusión de que los sistemas de MSP se encontraban dentro de la red de MEYDIS. Se adjunta a estas alegaciones Informe Pericial emitido por Ingeniero Informático colegiado y perito judicial que acredita todo lo anterior. Por otra parte, se solicitará que, en fase de prueba, las comprobaciones efectuadas por la AEPD en fase de actuaciones previas en relación con la IP ***IP.1 se reiteren con respecto a la IP ***IP.4 y que se incorpore al expediente el resultado de dichas actuaciones. Sobre la consideración de MEYDIS como responsable del tratamiento de los datos de la denunciante. De acuerdo con los arts. 6, 44.3
  10. b)y 3
  11. c)y
  12. d)todos ellos de la LOPD, ha de distinguirse la posición de quien adopta decisiones ("decide'') en relación con la finalidad, contenido y uso del tratamiento de los datos, de la de quien simplemente "trate datos personales por cuenta del responsable del tratamiento", que se configura legalmente como un mero encargado del mismo. En aquellas operaciones de tratamiento de datos en las que intervengan varías entidades, es necesario precisar en qué condición interviene cada una de ellas, puesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/98 que esto es lo relevante en la determinación de las eventuales responsabilidades. Sólo al responsable tratamiento puede imputársele legalmente un tratamiento inconsentido de los datos. Para que MEYDIS hubiera sido responsable de la infracción imputada, debería haber adoptado alguna decisión sobre la finalidad, contenido y uso del tratamiento de los datos de la denunciante. Sin embargo, esto no consta. Al contrario, MEYDIS se limitó a ejecutar las instrucciones que recibió de sus clientes, por lo que intervino, tanto en su relación con PLENISAN como en su relación con MSP, como encargada del tratamiento de los datos. Así se refleja, con respecto a Plenisan, en el clausulado del contrato de servicios suscrito entre las partes con fecha de 6 de mayo de 2013, en cuyas cláusulas II, III, IV y V se contienen específicamente las previsiones que anuda a este tipo de contratos el mentado artículo 12 LOPD. Y así se establece también en la relación de prestación de servicios de MEYDIS a MSP, ya sea en la prestación directa de los servicios contratados con ella, ya en su calidad de subcontratista de algunos de los servicios que a MSP encargaban sus clientes. Así se determina en la cláusula Sexta del citado contrato incorporado al expediente. De conformidad con esas previsiones, en la medida en que MEYDIS destine los datos a la finalidad establecida en dichos contratos, no los comunique a terceros y los trate conforme a las instrucciones recibidas en cada caso, deberá ser considerada encargada del tratamiento, por lo que, por aplicación sensu contrario del articulo 12.4 LOPD, no es responsable de las infracciones que el responsable del tratamiento hubiese cometido. A mayor abundamiento, no existe en el expediente ningún elemento que permita concluir que MEYDIS adoptó decisiones por cuenta propia en relación con los datos de la denunciante. Y tampoco consta ningún dato que revele que MEYDIS pudo incumplir en la campaña objeto de la denuncia sus obligaciones como encargada del tratamiento y las instrucciones de sus clientes. Así:
  13. a)En el marco del contrato suscrito con Plenisan, MEYDIS recibe un e-mail, con fecha de 19 de diciembre de 2014, con un pedido para la impresión de determinadas cartas publicitarias para una convocatoria de venta de los productos de Plenisan en la ciudad de Bilbao (folio 1/8 del documento 3 de los incorporados al Acta de Inspección E/2253/2015/1-01). Dicho e-mail incorpora un anexo en el que Plenisan facilita las instrucciones de impresión de las cartas (folio 2/8).
  14. b)En fecha de 22 de diciembre de 2014, una empleada de MEYDIS remite a Plenisan la carta publicitaria impresa para el ok del cliente (folio 3/8 y 4/8). Ese mismo dia, se recibe su conformidad (folio 5/8).
  15. c)En fecha de 26 de diciembre de 2014, una empleada de MEYDIS remite la carta definitiva, ya personalizada a Plenisan, para su conformidad (folio 7/8). En esta misma fecha, Plenisan confirma que la carta es correcta para su impresión y envío (folio 8/8).
  16. d)Posteriormente, en cumplimiento del contrato con MSP, MEYDIS lleva a cabo la impresión de las cartas con los datos del fichero que ha segmentado MSP y ha colocado en el FTP a tal fin. En este fichero, como se ha sabido después, se incluían los datos de la denunciante.
  17. e)Una vez impresas las cartas, se lleva a cabo por MEYDIS el manipulado material y puesta en conreos, en cumplimiento del contrato con Plenisan.
  18. f)Los servicios prestados por MEYDIS a una y otra sociedad cliente aparecen correctamente facturados, como figura en los documentos 4 y 5 de los adjuntos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/98 la referida Acta de Inspección. Las facturas han sido contabilizadas por MEYDIS y pagadas, como se reconoce en el Informe de Actuaciones Previas de Inspección E/02253/2015. Además, a la hora de definir a la entidad responsable del tratamiento en una campaña de marketing, en relación con lo que dispone el art. 46 RDLOPD, debe señalarse que en la realización de campañas de marketing con ficheros de terceros, este precepto legal hace responsable sólo a la empresa o empresas que determinen los parámetros identificativos de los destinatarios. En la campaña denunciada (como en el resto) MEYDIS no fijó parámetro alguno en tal sentido. Se limitó a cumplir las instrucciones recibidas de cada cliente, facturando a cada una de ellos los correspondientes servicios. En este sentido y para reforzar lo anterior, interesa mencionar el Dictamen 1/2010 del Grupo de Trabajo del articulo 29 de la Directiva 95/46/CE (GT 29), sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento», que es esclarecedor a la hora de delimitar ambas figuras y que establece criterios interpretativos vinculantes para las autoridades de control nacionales de la UE. Dicho Dictamen dice que la delimitación de concepto de responsable del tratamiento y encargado del tratamiento es determinante a la hora de fijar la responsabilidad por la realización de tratamientos ilícitos de datos personales, reconociendo que "de hecho, todas las disposiciones que establecen condiciones para el tratamiento lícito se dirigen esencialmente al responsable del tratamiento". Y afirma que "La distinción entre «¡responsable del tratamiento» y «encargado del tratamiento» sirve primordialmente para diferenciar entre quienes asumen la responsabilidad en tanto que responsables y quienes sólo actúan por cuenta de éstos. De nuevo, se trata básicamente de cómo asignarla responsabilidad.' Según el GT 29, para tener la consideración de responsable del tratamiento ha de concurrir el elemento de que la entidad en cuestión determine los fines v los medios del tratamiento de los datos. Para concluir quién ha determinado esos elementos, dice el GT 29 que 'se debe atender a las operaciones concretas del tratamiento en cuestión y ha de comprenderse quién las determina, respondiendo en un primer momento a las preguntas «¿por qué se produce este tratamiento?, ¿quién lo ha iniciado? Ser responsable del tratamiento es consecuencia, en primer lugar, de la circunstancia de hecho de que un ente ha decidido tratar datos personales para sus propios fines." Entiende, asimismo, el GT 29 que, aunque no es un elemento definitivo, "la designación de una parte como responsable o encargado del tratamiento en un contrato puede revelar información pertinente respecto del estatuto jurídico de dicha parte". Entiende el GT 29 que la principal característica del concepto del responsable del tratamiento es su autonomía. En definitiva, lo determinante es la capacidad de influencia de hecho que tenga el sujeto al determinar el tratamiento. Y añade que "En caso de duda pueden ser de utilidad otros elementos que no sean las condiciones de un contrato para determinar quién es el responsable del tratamiento, como el grado de control real ejercido por una parte, la imagen dada a los interesados o las expectativas razonables de los interesados sobre la base de esta visibilidad (véase a continuación el tercer elemento de la letra b). Esta categoría es particularmente importante puesto que permite examinar las responsabilidades y asignarlas también en aquellos casos de conducta ilegítima en que las actividades efectivas de tratamiento puedan realizarse en contra de los intereses y la voluntad de algunas de las partes. ° En conclusión, dice el GT 29 que "un organismo que no tenga capacidad de influencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/98 de hecho ni de derecho para determinar cómo se tratan los datos personales no puede considerarse responsable del tratamiento". En la campaña de marketing en la que se trataron los datos de la denunciante, MEYDIS no adoptó ninguna decisión, no tuvo capacidad de influencia sobre el tratamiento de dichos datos y no actuó autónomamente, limitándose a atender las peticiones de servicios recibidas, como se refleja en el Expediente. Además, MEYDIS aparece contractualmente configurada como encargada del tratamiento, asume las obligaciones propias de esta figura, no ejerce ningún control real sobre los datos de la denunciante y no se presenta en modo alguno ante esta como responsable de dicho tratamiento, puesto que en la carta publicitaria sólo figuran, como no podía ser de otro modo, los datos del anunciante (Plenisan) y los del responsable del fichero origen de los datos (MSP). Para cerrar este punto, es relevante el ejemplo que el GT 29 pone en su Dictamen en relación con la realización de campañas de marketing: Ejemplo n° 2: Publicidad por correo electrónico La empresa ABC suscribe contratos con distintas organizaciones para realizar campañas de publicidad por correo electrónico y ocuparse de los pagos. Da instrucciones precisas a tal fin (qué material de publicidad ha de enviarse, a quién, cómo debe pagarse, qué cantidades, en qué fechas, etc.). A pesar de que las organizaciones tienen algún margen discrecional (incluido en lo referente al software que van a utilizar), sus cometidos estén definidos con bastante claridad y precisión y, aunque la empresa responsable de la distribución del correo pueda brindar asesoramiento (por ejemplo, desaconsejando el envío de correo en agosto), estén claramente sujetas a actuar según las instrucciones de ABC. Además, solo un ente, la empresa ABC, tiene el derecho de usar los datos procesados; los demás entes tendrían que remitir a la base legal de la empresa ABC en caso de que se cuestionara su capacidad jurídica para tratar los datos. En este caso está claro que la empresa ABC es la responsable del tratamiento de los datos y cada una de las demás organizaciones puede considerarse encargada del tratamiento en lo relativo al tratamiento específico de datos realizado por cuenta de aquélla. De lo expuesto se deduce que MEYDIS no ha adoptado ninguna decisión sobre la finalidad, contenido o uso del tratamiento de los datos de la denunciante, por lo que, actuando sólo en calidad de encargada del tratamiento y habiéndose ajustado a las instrucciones contractuales recibidas, no puede ser considerada responsable de una infracción del articulo 44.3
  19. b)LOPD en relación con el artículo 6. Consideraciones legales sobre la presunción de inocencia de MEYDIS y la prueba indiciarla. La imputación de MEYDIS parece deducirse sólo de que ciertas informaciones obtenidas durante la fase de actuaciones previas han sido interpretadas de tal modo que revelarían que MEYDIS podía tener alguna capacidad de disposición sobre los datos del fichero de MSP. Estas conclusiones se deducen de hechos meramente indiciarios y susceptibles de diversas interpretaciones, meras conjeturas, por lo que consideramos necesario precisar, desde el punto de vista jurídico, el alcance que pueden tener a la hora de enervar la presunción de inocencia que legalmente asiste a MEYDIS. Dispone el art. 137 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/98 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, "1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario." La STEDH de 20 de marzo de 2001, caso Tefner contra Austria, sostiene que dicho principio implica que no cabe partir de una idea preconcebida de que al acusado ha cometido la infracción que se le imputa, que el peso de la prueba recae sobre el Estado que sanciona y que cualquier duda debe beneficiar al acusado; vulnerándose la presunción cuando 'el peso de la prueba se traslade de la acusación a la defensa'. En el mismo sentido en la STEDH de 6 de diciembre de 1988 caso Barbera, Messegué y Jabardo contra España. Para que dicha presunción de inocencia quede desvirtuada, será necesario verificar si se han practicado, con contradicción de partes, pruebas de cargo válidas y con un significado incriminatorio suficiente (más allá de toda duda razonable) para estimar acreditada la intervención de MEYDIS en la ejecución de los hechos integrantes de la infracción (la adopción de decisiones sobre el tratamiento de los concretos datos de la denunciante); pruebas que, además, tienen que ser valoradas con arreglo a las máximas de la experiencia y a las reglas de la lógica, debiendo constar siempre debidamente motivado el resultado de esa valoración; todo ello conforme a las exigencias que viene imponiendo de forma reiterada la jurisprudencia del Tribunal Constitucional (SSTC137/2005,300/2005,328/2006,117/2007,111/2008 y 25/2011, entre otras). Pues bien, no existe en este procedimiento ninguna prueba real que permita concluir que MEYDIS tomó decisiones sobre el tratamiento de los datos de la denunciante. La imputación se basa, según se deduce del Acuerdo de Inicio, en hechos accesorios que son susceptibles de varias interpretaciones y todos los cuales, además, han sido explicados en este escrito, por lo que no ha quedado acreditado de ningún modo que MEYDIS tuviese algún poder de disposición sobre el fichero de MSP. Pero es más, aunque ese presunto poder de disposición hubiera sido acreditado, que no lo ha sido, no debemos olvidar que la actividad probatoria de carao sólo seria suficiente si demostrarse que MEYDIS. Efectivamente, ejerció alguna decisión en relación con los concretos datos de la denunciante o. al menos, en la campaña en que dichos datos fueron tratados. Es evidente que una eventual sanción puede basarse en una prueba por indicios, pero ello ha de producirse sin menoscabo del derecho a la presunción de inocencia, como el Tribunal Constitucional viene sosteniendo desde sus primeras sentencias sobre la materia (SSTC 174/1985,175/1985,24/1997,157/1998,189/1998,68/1998,220/1998,44/2000 y 117/2000). La existencia de indicios no es suficiente para destruir la presunción de inocencia, en su vertiente de regla de juicio, a pesar de que se parta de una actividad probatoria lícita, cuando del hecho base acreditado no se infiere de modo inequívoco la conclusión a la que se llega, es decir, cuando se trata de una inferencia irrazonable o de inferencias no concluyentes por excesivamente abiertas, débiles o indeterminadas, lo que equivale a rechazar la conclusión cuando ja deducción sea tan inconcluyente que en su seno C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/98 quepa tal pluralidad de conclusiones alternativas que ninguna de ellas pueda darse por probada (SSTC 189/1998 ,220/1998,124/2001 y 137/2002). No cabe confundir una prueba indiciaría de cargo con las meras sospechas o conjeturas. Y, obviamente, no cabe apreciar como prueba de cargo meros indicios cuando se han aportado por esta parte otros tantos contra indicios que desmontan aquellas apreciaciones y que explican por qué la interpretación que hace la AEPD en contra de MEYDIS en el Acuerdo de Inicio del Procedimiento no es correcta. Así, frente a los presuntos indicios en los que se basa el Acuerdo de Inicio del Procedimiento, existen los siguientes hechos probados que llevan a la conclusión de que MEYDIS no tuvo nunca poder de disposición sobre el fichero de MSP y, en concreto, que no adoptó ninguna decisión en relación con los datos de la denunciante. Solicita la práctica de pruebas. Documental: Declaraciones de los empleados de MEYDIS; Copia del contrato de cesión de créditos entre MEYDIS y MSP de 9/09/2015. Copia de la Carta de resolución de contrato de servicios remitida por MSP de 28/10/2015 y copia del anverso del sobre de dicha carta que consta entregada en fecha de 10/11/2015. Pericial: Informe Pericial realizado por un perito contratado por MEYDIS; Solicitud de diligencias de instrucción sobre la dirección IP ***IP.3 Testifical: al administrador de MSP; a Multigestión; a Dña. E.E.E. de la asesoría jurídica de Multigestión; a D. I.I.I. del Grupo Netma. SEXTO: En fecha de 04/03/2016 tiene entrada un escrito de PLENSIAN, S.L en que se formulan, en síntesis, las siguientes alegaciones al acuerdo de inicio: No han cometida la infracción prevista en el art. 6.1 LOPD pues los datos han sido proporcionados por MSP. Las cláusulas de los contratos determinan que PLENISAN no ha realizado ninguna labor de tratamiento de datos personales puesto que las mismas han sido realizadas por terceros conforme al contrato formalizado en su día con MSP y MEYDIS. Caducidad de las actuaciones previas de acuerdo con el art. 122.4 del RDLOPD. La denuncia de la afectada es de 30/01/2015 presentada ante una administración del Principado de Asturias el día 02/02/2015 y la notificación del acuerdo de inicio se produce en fecha de 4/02/2016. Por lo que han transcurrido más de doce meses entre la fecha de interposición de la denuncia y la notificación. Vulneración de derechos fundamentales en la inspección de 03/11/2015 puesto que se ha accedido a correos electrónicos que tienen nombre y apellidos de personas físicas. Los inspectores sabían que estaban accediendo a correos privados y vulneraron los derechos fundamentales de dichas personas. Solicita como prueba la aportación de los correos electrónicos a los que se tuvo acceso y una valoración de porque se accedió a los efectos de que si se tuvo en cuenta que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/98 iba a acceder a información privada. SEPTIMO: En fecha de 16/03/2016 tiene entrada un escrito de MEYDIS en el que solicita la anulación del presente expediente sancionador y de otros que tiene abiertos la citada entidad y que se incorporen sus actuaciones al único procedimiento PS/00047/2016 por tratarse de una única infracción continuada de acuerdo con el art. 4.6 del Real Decreto 1398/1993 de 4 de agosto. OCTAVO: En el trámite de práctica de pruebas se determinó lo siguiente: 7.0 Se dan por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MEYDIS, S.L. y PLENISAN, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04038/2015 y las alegaciones al acuerdo de inicio PS/00053/2016 presentadas por MEYDIS, S.L.,, y PLENISAN, S.L. la documentación que a ellas acompaña. 7.0.1 Se incorporó la diligencia realizada el 26/01/2016 en las Actuaciones E/002553/2015; respuesta de BBVA sobre los accesos efectuados a través de la banca on line de la cuenta titularidad de MSP. ; Impresión del resultado de las comprobaciones relativas a la web www.meydis.com y copia de las pruebas practicadas hasta la fecha – 05/05/2016 – relativas a los PS/0047/2016. 7.1 MEYDIS solicito la incorporación de las diligencias probatorias del PS/0047/2016 al presente expediente, por lo que, junto con las peticiones realizadas por el Instructor en dicho procedimiento se incorporaron, consistiendo en las siguientes: (…) 7.1 Solicitud de ratificación a los Inspectores actuantes respecto del contenido del Acta y requerimiento de información ante las alegaciones de MEYDIS, S.L. En las alegaciones presentadas por MEYDIS, S.L., en el procedimiento PS/107/2016 en las páginas 24 a 29 cuya copia se adjunta y en atención al Informe Pericial aportado por dicha mercantil respecto del uso de las direcciones IP de MEYDIS, S.L. se solicita responda a las siguientes preguntas en relación con las Actuaciones de Inspección practicadas que han derivado en los procedimientos sancionadores arriba referenciados: 1. Explique la razón por la que se realiza el acceso y comprobaciones en la dirección IP ***IP.1. 2. A la vista de las alegaciones e informe pericial aportado y cuyo traslado se ha dado, ¿se ratifica en el informe de actuaciones previas de Inspección, en todos sus extremos? En caso de que quiera realizar alguna precisión o corrección apórtelo junto a la respuesta, así como cualquier otra apreciación que considere de interés para la instrucción del presente expediente sancionador. 7.1.1 Contenido del Informe emitido por el Inspector y Subinspector actuante de fecha 09/05/2016: (…)A solicitud del instructor actuante en el Procedimiento Sancionador de referencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/98 arriba indicada, se emite el presente informe: 1. Antes de nada, es preciso aclarar que durante la inspección ocurrieron una serie de hechos que instalaron en los inspectores actuantes la sombra de duda respecto de la colaboración real del inspeccionado: - Solicitada la presencia de una persona, fuimos informados que estaba de baja. - Solicitada la presencia de una segunda persona, fuimos informados que se había pedido el día de permiso. - Solicitada la presencia de una tercera persona, fuimos informados que había tenido que ausentarse del trabajo. Los intentos de contacto telefónico posteriores con esta persona resultaron infructuosos. - Llegando a dudar que en realidad faltasen todas estas personas, se solicitó acceso al sistema de control de presencia. Fuimos informados de que el sistema no funcionaba desde hacía unas semanas. - Solicitado el acceso al sistema de control de accesos, se realizaron varias consultas. En una de ellas aparecía que había salido del local una de las personas de las que se había solicitado previamente su presencia. Los representantes de MEYDIS SA (en adelante MEYDIS) dijeron que el personal se prestaba las tarjetas de control de acceso. - En numerosas preguntas realizadas, los representantes de MEYDIS o los empleados de la entidad se limitaron a responder que no sabían o no recordaban. Entiende el inspector que suscribe que, aunque se haya permitido el acceso a las instalaciones de la entidad, el levantamiento de un muro infranqueable de obstáculos a los inspectores constituye, de facto, una obstrucción real a la acción inspectora. 2. Durante la inspección los representantes de MEYDIS informaron que recibía los ficheros para realizar la emisión de la publicidad a través de un servidor FTP en el que MACRO SELECT PRINT SL (en adelante MSP) depositaba los mismos. Por ello, los inspectores actuantes solicitamos que se accediese a dicho servidor, y fue personal de la propia MEYDIS quien realizó ese acceso, era una dirección IP que ellos designaron y que ya aparecía en el cliente FTP utilizado al efecto. Los inspectores actuantes anotamos la dirección IP a la que se había accedido, que fue posteriormente reflejada en el acta de inspección Dado que el directorio al que se tuvo acceso aparecía vacío, que el personal de MEYDIS aseguraba que los ficheros se borraban tras terminar el trabajo y que, sin embargo, MEYDIS pudo enviar a PLENISAN SL una selección de registros que en realidad habían sido solicitados presuntamente a MACRO SELECT PRINT SL, muchos meses después de emitida la publicidad, resultaba dudoso que realmente se hubiesen borrado los ficheros. Solicitado al personal de MEYDIS que accediese a un servicio web externo, se realizó una consulta para ver quien tenía asignada la IP, apareciendo una entidad extranjera. Por ello se solicitó el uso del TRACEROUTE, que mostró que había una distancia minúscula, menos de 1 milisegundo, entre el equipo en que se estaba realizando los accesos al FTP y el servidor FTP, que fue lo que llevó al personal de MEYDIS a reconocer que el servidor se encontraba en el mismo recinto en que se realizaba la inspección. Tras dicho reconocimiento, se solicitó el acceso al mismo. El propio personal de MEYDIS realizó el acceso mediante el explorador de Windows al directorio real en el que, según ellos, se daba el servicio FTP a MSP. Solicitado el acceso al log del servidor C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/98 FTP el personal de MEYDIS manifestó que dicho log se había borrado accidentalmente debido a la instalación del antivirus NOD32. Posteriormente se preguntó a J.J.J. – (J.J.J. en adelante) , director comercial y de tecnología de MEYDIS, y presente durante toda la inspección, el motivo por el que estaban utilizando una IP pública para acceder a un servidor FTP que estaba dentro de la red privada de MEYDIS. Se limitó a decir que no sabía el motivo. 3. La dirección IP recogida en el acta de inspección es la que los inspectores tomamos a la vista de los accesos que estaba realizando el personal de MEYDIS al servidor FTP. El acta fue ofrecida en borrador para su lectura a los representantes de MEYDIS, quienes solicitaron una serie de cambios que fueron realizados. Si estimaban que dicha IP era incorrecta, igualmente podrían haber solicitado que se corrigiese, pero no lo hicieron. 4. Si la dirección IP a la que se estaba accediendo fue la ***IP.1 o la ***IP.4 es irrelevante. Ambas direcciones pertenecen al conjunto ***IP.5 y están asignadas a la misma entidad y son direcciones IP públicas. En el supuesto en que MSP hubiese utilizado alguna vez dicha dirección IP para acceder a servicio FTP, para depositar algún fichero, debería haber estado en la red de MEYDIS. En ningún momento se nos informó que MSP utilizase otra dirección IP para el servicio FTP 5. Asegura MEYDIS que la dirección ***IP.1 o ***IP.4 es una dirección privada. El carácter de dirección privada no lo da el que ésta sea usada dentro de una red privada. Los estándares de internet son fijados a través de una serie de documentos denominados RFC. El documento RFC **** designa que direcciones son privadas. En dicho documento se establece que la Internet Assigned Numbers Authority (IANA, en español "Autoridad de Números Asignados en Internet"), ha reservado los tres siguientes bloques de direcciones IP para el uso en internéis privadas: ***IP.6 ***IP.7 ***IP.8 La IP ***IP.4 no se encuentra entre ellas, es más, está asignada a Pacific Northwest Laboratory, pues esta entidad tiene reservado todo el conjunto de direcciones que va del ***IP.9 al ***IP.10 El asignar una IP pública a un equipo de una red privada es atípico, tan anormal como el utilizar el número 112 (número de emergencias) dentro de una red telefónica privada. Es posible, pero no es normal. Señalaba por ello en el informe el condicional, que "si MSP pudo tener acceso a dicha dirección IP..." pero hasta ahora no se ha encontrado prueba material de tráfico real de datos de MSP a MEYDIS, aunque si de que MEYDIS tiene acceso a los datos. Pero, de haber existido ese tráfico y haber usado dicha IP, los equipos de MSP, o los que se utilizasen en su beneficio, estarían dentro de la red de MEYDIS. La entidad tía desaprovechado las oportunidades que ha tenido de que los inspectores realicen comprobaciones materiales que ratifiquen dicho tráfico de datos, esperando que la Agencia quede conforme con meras manifestaciones en lugar de pruebas materiales. 6. Informa MEYDIS que la dirección IP a través de la que se conectaba MSP es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/98 otra, la ***IP.4, una IP pública real. Resulta incomprensible el motivo por el que, de ser así, no fue manifestado durante la inspección, una dirección IP que MEYDIS facilita a sus clientes pero, sorprendentemente, no a los inspectores. Señala igualmente MEYDIS que la dirección IP ***IP.4 es usada por personal de la entidad para tener acceso a los ficheros depositados en el servidor FTP. Sencillamente, no lo necesitan, pueden tener acceso al mismo a través del explorador de Windows, como se hizo durante la inspección, cuando los inspectores solicitaron acceso al directorio real al que se correspondían los accesos realizados a través del FTP mostrado a los inspectores. 7. Se extraña MEYDIS que intentase el acceso a la dirección IP ***IP.1 desde la Agencia. El motivo de ello era comprobar que la teoría se correspondía con la realidad actual. Aunque hubiese sido sorprendente encontrar otra cosa, se quiso comprobar que dicha IP era realmente inaccesible desde el exterior, no porque lo dijese yo, sino porque lo corroboraban las pruebas. Respecto al informe pericial, fue realizado en un momento determinado, con posterioridad a la inspección, y las condiciones de la red informática podrían haber cambiado. Dice el perito que no se ha realizado intento de acceso a la IP ***IP.4, lo cual efectivamente es cierto, pues esa dirección no fue facilitada durante la inspección, a pesar de hallarse durante parte de la misma en el departamento de informática de la entidad acompañado de personal técnico de la misma. Esa dirección únicamente fue facilitada a los inspectores por MEYDIS con posterioridad a la realización de las pruebas periciales cuyo informe remitió a esta Agencia por lo que no ha sido conocida hasta la presentación de dichas alegaciones. Resulta sorprendente la conclusión del perito de que la dirección IP ***IP.1 ó ***IP.4 sean privadas, ya que dicha definición no corresponde al uso que se dé de las direcciones IP sino, como se ha citado previamente, a un estándar reconocido internacionalmente(…) 7.2 Testifical a I.I.I. GRUPO NETMA (se transcribe la respuesta). En relación con los correos electrónicos del día 22/09/2014 cuya copia se adjunta al presente escrito: I. ¿Por qué razón recibió usted esta petición desde una cuenta de correo electrónico de MEYDIS? Porque Meydis es un cliente de la empresa para la que trabajo actualmente. II. ¿Cuál es su relación o la de NETMA con MEYDIS, S.L.,? aporte documentación que acredite la respuesta si tiene o ha tenido relación jurídico-comercial. La relación de Netma con Meydis es comercial. Y yo soy empleado de Netma cuyo cometido es entre otros atender incidencias, plantear soluciones, etc, de Meydis y otros muchos más clientes. III. ¿Para que necesitaba el usuario de la empresa MACRO SELECT PRINT acceder a la aplicación? Los desconozco, en mi empresa tan solo se gestiona los accesos y servidores VPS, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/98 los contenidos, por lo que desconozco si el usuario iba a entrar a una aplicación, lo que se me estaba solicitando en dicho correo era un acceso al servidor de ese cliente. IV. ¿Cuál es su relación o la de NETMA con MACRO SELECT PRINT, S.L. aporte documentación que acredite la respuesta si tiene o ha tenido relación jurídico-comercial. Netma no tiene relación con Macro Select Print. A la vista del correo electrónico, supongo que Macro Select Print debe de tener algún relación con Meydis. A mi lo que me llega es una orden del cliente Meydis. V. ¿A quién pertenece e la aplicación de bajas Robinson? Desconozco lo que es la aplicación de bajas Robinson y a quien pertenece. Nunca hemos trabajado con eso. VI. ¿Por qué tiene acceso a la aplicación de bajas Robinson? En mi empresa no tenemos acceso a la aplicación de bajas Robinson, en el mail relacionado lo que se solicitaba era el acceso al servidor de mi cliente, no a una aplicación VII. Como se gestiona la aplicación, en concreto ¿ cada cuánto se actualiza? y de ¿dónde provienen las bajas, altas, etc.,.? aporte un ejemplo real en relación el servicio que presta a MACRO SELECT PRINT y a MEYDIS? Como se gestiona esa aplicación lo desconozco, pues no conozco dicha aplicación y en mi empresa no disponemos de acceso a ninguna aplicación de nuestros clientes, somos un empresa de servicios en la nube y soluciones tecnológicas. No prestamos ningún servicio a Macro Select Print ni a Meydis de ese tipo, por lo que no puedo aportar un ejemplo real VIII. ¿Sigue gestionando su empresa esa aplicación en la actualidad? Nunca ha gestionado esa aplicación ni mi empresa ni yo 7.3 Testifical a MULTIGESTION -Como cliente de la empresa MEYDIS, S.L., cuando tiene que facilitarle usted ficheros para la prestación de sus servicios ¿entrega dichos ficheros depositándolos en una carpeta FTP titularidad de MEYDIS, S.L.? Como cliente de la empresa MEYDIS, S.L. cuando tenemos que facilitarle ficheros para la prestación de los servicios concertados de mailing y correos, entregamos los ficheros depositándolos en un servidor SFTP. Desconocemos la titularidad del mismo. -En caso afirmativo, ¿Cuál es la dirección IP a la que ustedes se conectan para depositar dichos ficheros en el FTP? ***IP.4 7.4 Testifical a E.E.E. - Asesoría Jurídica de Multigestión – 1. ¿Por qué razón remitió un contrato entre Multigestión y MSP a un abogado externo de MEYDIS para su revisión, teniendo en cuenta que el contrato se refería solo a la relación entre Multigestion y MSP? C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 38/98 Como consecuencia de la operación de adquisición de determinados activos y pasivos de Multigestión Iberia S.A.U. por parte de Multigestión Iberia 2014, S.L.U. (en lo sucesivo "Multigestión 2014"), ésta última negoció con Macro Select Print, S.L. (en lo sucesivo "MSP") la firma de un documento, por el cual se cediesen a la nueva sociedad los derechos y obligaciones derivados del contrato que, en esa fecha, se encontraba vigente entre MSP y Multigestión Iberia S.A.U. MSP nos informó de que, como no tenía servicios jurídicos propios, la empresa Meydis, S.L. le iba a hacer el favor de pedir a su abogado externo que revisase dicho contrato, evitando así gastos extraordinarios a MSP. Para confirmar lo anterior, nos pusimos en contacto con la Dirección de Meydis, S.L. y, efectivamente, Ésta nos dijo que podíamos negociar el contrato de MSP con su abogado. En el marco de esa negociación, intercambié diversos e-mails con el abogado de Meydis,S.L. para alcanzar un texto que conviniese a Multigestión 2014 y MSP. 2. ¿Por qué razón traslado por email instrucciones MEYDIS para la firma de ese contrato y le solicitó a esta misma entidad que se lo devolviese, una vez firmado por MSP? Dado que el abogado con el que debíamos negociar el contrato era de la empresa Meydis, S.L. y Ésta intervenía en algunos asuntos como intermediaria para MSP, se nos solicitó que pusiésemos a Meydis, S.L. en copia de ios correos que intercambiásemos con su abogado en este asunto y que, para facilitar la firma, le diésemos traslado del contrato a Meydis, S.L. para que ésta lo hiciese llegar a MSP y, tras su firma, nos lo devolviese. Por esta razón, se indicó a Meydis, S.L. que procediese a dicho traslado, una vez alcanzado un acuerdo sobre el texto del contrato. 3. ¿Ha sido receptora de comunicación alguna por parte de MSP respecto de la posible ilegalidad del fichero que explota comercialmente? ¿ha recibido comunicación similar a la que se aporta al presente escrito como doc. 1? En caso afirmativo, acredite dicha recepción. Multigestión 2014, sí, ha sido receptora de una comunicación de fecha 28 de octubre de 2015 por parte de MSP sobre el fichero que explotaba. A la luz de los hechos en la misma comunicados se procedió a resolver el contrato de servicios que unía a MSP con Multigestión 2014. Se adjuntan, Documento n 1, carta recibida de MSP y Documento n 2, documento de resolución de contrato. 4. ¿Tiene MULTIGESTION IBERIA 2014 S.L. (o su antecesora MULTIGESTIÓN IBERIA S.A.U,) o ha tenido relación jurídico-comercial con MEYDIS, S.L. en orden a realización de algún servicio? En caso afirmativo determine las obligaciones de cada parte. ------------------------NO CONTESTA-------------5. ¿Cuál es el objeto del contrato que tienen o han tenido con MSP y al que hace referencia la primera y segunda pregunta? El objeto del contrato de servicios que Multigestión 2014 mantuvo con MSP, consistió en la actualización y completado de los datos de contacto de los deudores de las carteras de deudas gestionadas por Multigestión, por parte de MSP, a solicitud de Multigestión. 7.5 Testifical a MSP y/o su administrador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 39/98 1. -¿Entregaba MSP a MEYDIS, S.L. los ficheros a utilizar en las campañas comerciales de PLENISAN a través de una carpeta FTP titularidad de MEYDIS? Supongo que MSP son las siglas de mi empresa y no se lo que es ftp pero los ficheros para las cartas que enviaba PLENISAN se los daba yo a Meydis entrando en una carpeta de internet que me prestaba Meydis y luego ellos imprimían las cartas. Pero esto mismo lo hacia yo igual para las campañas de otros clientes que no era PLENISAN con los que yo también tenia un contrato parecido. Esta empresa se llamaba antes Sistemas Profesionales pero luego cambiaron el nombre a Plenisan. 2. -En caso afirmativo ¿Cuál era la dirección IP a la que MSP se conectaba para depositar dichos ficheros en el FTP? Yo me conectaba en el internet explorar de mi portátil poniendo unos números que Meydis me habla dado que eran "***IP.4" y luego metía mi contraseña y entraba a una carpeta, y dejaba allí el fichero con los datos de personas de la localidad elegida por el cliente para cada carta que se iba a enviar. 3. -¿Ha determinado MEYDIS, alguna vez, de modo directo o indirecto, los criterios de segmentación de destinatarios en dichas campañas y, en concreto, en la que es objeto de este procedimiento sancionador? No me han dicho ustedes la campaña a la que se refieren pero supongo que me preguntan a si Meydis hacia las extracciones de los ficheros o decidla dónde se iba a hacer una campaña del cliente o a quién se iban a enviar las cartas, pero no, Meydis nunca tenia que decidir nada de eso, porque las campañas las hacían los clientes y yo extraía de mi fichero los datos de cada campaña y se los enviaba a Meydis para que imprimiese las cartas del cliente. Después cada cliente ya hacia su acto de venta en un hotel y ahí ya yo no intervenía. 4. -¿Ha ordenado MSP alguna vez a MEYDIS que remita a PLENISAN extracciones de ficheros utilizados en campañas comerciales anteriores y que MEYDIS conservaba bloqueados? Si porque a veces si mis clientes me pedían ficheros o datos concretos, como es normal yo se los daba. Y casi siempre lo hacía todo a través de dos personas de Meydis que eran ***NOMBRE.2 y ***NOMBRE.1 (no se el apellido). Corro ellos tenían buena relación con los clientes me hacían de contacto y los clientes me pedían cosas a través de ellos. Si se refiere la pregunta a si los datos que el cliente me pidiera se los mandaba a través de Meydis la respuesta es que si y si lo que el cliente me pedía era de campañas antiguas que habla impreso Meydis yo se (o pedia a ellos porque era más fácil. 5. -¿Ha adoptado alguna vez MEYDIS decisiones en relación con los medios o los fines del tratamiento de los datos personales utilizados en las campañas realizadas por MSP para PLENISAN SL? No porque si habla que decidir algo lo hacía yo por el contrato que tenia con los clientes. Pero esto era igual con Sistemas Profesionales que con cualquier otro de mis clientes que también hacían campañas publicitarias. Meydis lo que me hacia era sólo el tema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 40/98 imprimir las cartas de mis clientes porque yo no tenia impresora potente y me emitía una vez al mes una factura. 6. -¿Tenía algún poder de disposición, directo o indirecto, sobre los ficheros de MSP? No sé si la pregunta se refiere a mi o a mis clientes o a Meydis pero yo desde luego que tenia poder sobre los ficheros de mi empresa porque era administrador y yo era el único. Meydis no tenía poder sobre los datos porque hacia solo lo que yo le pedia que hiciera y tenía un contrato firmado para eso, y los clientes como Sistemas profesionales tampoco tenían ningún poder porque no velan los ficheros. 7. Determine un lugar, fecha y hora para realizar las comprobaciones en su equipo/conexion que acrediten lo manifestado a las preguntas realizadas en los puntos 1 y 2 del presente escrito. El portátil que tenia los ficheros con el que trabajaba lo formateé cuando cerré mi empresa porque no quería ya saber nada de este negocio y no quería seguir teniendo datos. Si quieren ustedes se lo puedo enviar para que hagan comprobaciones pero no tiene nada y está vacio, ya escribí una carta a ustedes y a mis clientes para decirles que cerraba mi actividad por los problemas de las denuncias que habla tenido. Empecé con este negocio hace dos años, que me pude hacer con el fichero y monté por mi cuenta mi empresa para vendérselo a clientes que quisieran hacer publicidad pero yo no sabia que era ilegal y cuando me he enterado me he alejado de todo esto, y espero que esta colaboración con ustedes sirva para algo. 7.6 Instrumental. Se solicitó a MEYDIS, S.L. el permiso para poder solicitar a los operadores de telecomunicaciones los registros de acceso a la dirección IP ***IP.3 Indiquen en qué fechas y hora y dirección IP desde la que se conectaba MACRO SELECT PRINT, S.L. a su FTP y autorice a la Agencia Española de Protección de Datos a solicitar a los Operador/Proveedor de Servicios correspondiente, la consulta al registro de datos de tráfico que permita verificar las conexiones que afirman y la identidad de sus titulares. - (…) en cuanto al periodo de conservación de los datos por los operadores, dispone el artículo 4.1 de la Ley que: la obligación de conservación de datos impuesta cesa a los doce meses computados dese la fecha en que se haya producido la comunicación. Habiéndose realizado la campaña de marketing objeto de este procedimiento sancionador en el mes de enero del año 2015, es obvio, que aunque todos los límites legales antes expuestos no existiesen, de nada serviría solicitar la información a los operadores o proveedores implicados porque, por imperativo legal, a fecha de hoy no pueden haberla conservado.(…) sirva este escrito para dar por autorizada la consulta al registro de datos de tráfico, a los exclusivos efectos que figuran en el escrito de la AEPD de 08/04/2016 que ha sido remitido a esta parte con dicho fin.(…) 7.8 Documental. se incorpora como prueba documental: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 41/98 I.La solicitud de información realizada en el expediente de Investigación E/06878/2015 en fecha de 28/01/2016 al BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (BBVA en lo sucesivo) y la información recibida. II.La diligencia de Inspección del expediente de investigación E/06878/2015 de fecha 16/02/2016. III.La copia parcial del Informe de Actuaciones Previas de Inspección E/06878/2015 de fecha 19/02/2016 que recoge el punto 15. IV.Copia del contrato aportado por MEYDIS, S.L. en las alegaciones al procedimiento PS/00053/2016 relativo a un contrato de cesión de créditos con MACRO SELECT PRINT, S.L. V.La solicitud de información realizada en el PS/107/2016 de 3 de mayo de 2016 a BBVA. 7.9 Documental/Testifical a E.E.E. - Asesoría Jurídica de Multigestión – En relación con su escrito de contestación de fecha 8/04/2016 en el que explica la relación que ha tenido su mercantil con la empresa MACRO SELECT PRINT, S.L., en concreto señala lo siguiente: (…) El objeto del contrato de servicios que Multigestión 2014 mantuvo con MSP, consistió en la actualización y completado de los datos de contacto de los deudores de las carteras de deudas gestionadas por Multigestión, por parte de MSP, a solicitud de Multigestión.(…) Asimismo aporta un documento denominado RESOLUCION DE CONTRATO donde hace referencia a la resolución de un contrato de fecha 1/06/2014 entre MACRO SELECT PRINT y MULTIGESTION IBERIA S.A.U cedido a la actual MULTIGESTION IBERIA 2014, En virtud de lo expuesto le solicito para que remita a la mayor brevedad posible la siguiente información: I.Copia del contrato de fecha 01/06/2014 con MACRO SELECT PRINT, S.L. y que es objeto de resolución en el escrito que aporta. II.Ordenes de trabajo, encargos, y cualquier documentación generada a raíz de la ejecución del citado contrato. III.En la medida en que afirma que (…) El objeto del contrato de servicios que Multigestión 2014 mantuvo con MSP, consistió en la actualización y completado de los datos de contacto (…) aporte copia de una muestra de registros que fueron objeto de actualización como consecuencia de la ejecución del citado contrato. 7.9.1 Mediante escrito de fecha de entrada 20/05/2016 Cristina Gonzalez Ramos por orden de E.E.E., aporta el contrato entre MULTIGESTION IBERIA SAU y MSP y la carta de cesión de MULTIGESTION IBERIA 2014. Asimismo manifiesta lo siguiente en referencia al punto II: - En relación con el Punto II de la Solicitud de Colaboración, informa de que la ejecución del contrato con MACRO SELECT PRINT. S.L. se llevaba a cabo mediante intercambio de un dispositivo extraíble, generalmente pendrive, a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 42/98 través del que Multigestión hacía lle

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.