← España

PS-00056-2014

1/18 Procedimiento Nº PS/00056/2014 RESOLUCIÓN: R/01206/2014 En el procedimiento sancionador PS/00056/2014, instruido por la Agencia Española de Protección de Datos a la entidad ADSALSA PUBLICIDAD, S.L., , vista la denuncia presentada por C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20 de febrero de 2013 tiene entrada en esta Agencia un escrito de D. C.C.C. en el que declara que recibe llamadas comerciales a su móvil número E.E.E., que está a nombre de su empresa, pero las llamadas se dirigen a su persona. Indica que ha conseguido saber que los datos provienen de la empresa ADSALSA.COM. Al solicitarles la baja de su base de datos le responden que debe enviar copia de su DNI a lo que se niega contestando que no va a revelar más datos personales suyos de los que ya tienen y no recuerda haberles facilitado. Aporta copia del correo electrónico de fecha 19/02/2013 donde solicitaba no recibir llamadas publicitarias en caso de ser cliente o haberles facilitado sus datos en alguna ocasión. Aporta también copia del correo de contestación, de fecha 20/02/2013, donde de solicitan copia del DNI para poder atender “su derecho de acceso, rectificación, cancelación y/o oposición”, indicando que el motivo es poder acreditar su identidad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ADSALSA PUBLICIDAD, S.L.,., , teniendo conocimiento de que: Solicitada a la entidad ADSALSA PUBLICIDAD SL (en adelante ADSALSA) documentación acreditativa del origen de los datos del afectado que obran en su poder, los representantes de la entidad manifiestan lo siguiente: “ … ADSALSA PUBLICIDAD, realiza diversas promociones y sorteos exclusivamente on-line, a través de los cuales lo usuarios, previa información y obtención de su consentimiento, pasan a formar parte del fichero ADSALSA MEMBERS, cuya finalidad es la gestión de la participación de los usuarios que se registran en los sorteos organizados y la realización de campañas publicitarias.” Aportan copia impresa del registro de los datos del Afectado. Indicando que, como consta el mismo, D. C.C.C. se inscribió en su fichero el 19/11/2005 a las 22:01:35 horas. El registro aportado incluye básicamente los datos de: nombre y apellidos, dirección de correo electrónico, número de teléfono móvil ( E.E.E.), población y fecha de nacimiento. Los representantes de la entidad manifiestan que son los datos que facilitó el denunciante en el momento de su registro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 Dado que la entidad no aporta copia de la información que fue facilitada al afectado en el momento de su registro, con relación al tratamiento de sus datos, se ha realizado un segundo requerimiento de información a la entidad, solicitando aportar impresiones de pantalla, u otra documentación acreditativa de que dispongan, sobre la información que se facilitaba durante el registro de los usuarios en aquella fecha. Ante ello, los representantes de la entidad manifiestan que ADSALSA únicamente recoge datos personales on line, sin que en ningún caso haya captado datos personales por otro medio distinto. Indican que debido a que han pasado casi ocho años desde el registro del usuario, no pueden aportar impresiones de pantalla sobre el formulario de registro que en 2005 rellenó y envió el afectado. Indican que sí aportan su política de privacidad, aplicable a su fichero ADSALSA MEMBERS, que los usuarios aceptan mediante la pulsación de un checkbox prevía a la inscripción y sin la cual el registro en el fichero resulta imposible. Se verifica que en la política de privacidad aportada se cita, entre otra, información sobre los sectores sobre los que se realiza la publicidad, entre los que se incluye “...entidades financieras, Aseguradoras y de Previsión Social…”. Se cita así mismo “La realización de estas campañas publicitarias supondrá en ocasiones la comunicación de sus datos a las empresas interesadas en realizar sus campañas …“ y que “el usuario consiente que ADSALSA PBLICIDAD pueda comunicar sus datos a terceras empresas relacionadas con los sectores citados anteriormente para su tratamiento y normalización…” También se ha solicitado a la entidad información sobre las empresas a las que se han comunicado los datos personales del afectado y copia de los contratos suscritos con dichas entidades, en su caso, donde figuren las cláusulas relativas a los tratamientos de datos personales. Los representantes de ADSALSA informan que los datos del afectado sólo han sido comunicados en fecha 22/01/2013 y para un solo uso, a SANITAS SA, DE SEGUROS, a través de PDM DATACENTRIC IBERIA, SL (en adelante PDM). Indican que ADSALSA mantiene suscrito un contrato con PDM de Agencia de Intermediación y de encargado de tratamiento, así como un poder notarial que le habilita a la contratación en nombre de ADSALSA. Aportan:  copia del contrato de fecha 01/01/2013 entre PDM y SANITAS SA, DE SEGUROS en el que se citan : o el contrato de Agencia entre PDM y ADSALSA, de 2008, mediante el que la segunda encomienda a la primera servicios de intermediación comercial para campañas de empresas clientes de ADSALSA, efectuadas con el fichero de ADSALSA, o el apoderamiento de ADSALSA a favor de PDM, también de 2008.  Copia del poder notarial que habilita a PDM a formalizar contratos en nombre de ADSALSA, efectuado en 2008.  Copia del contrato de Agencia suscrito en 2008 entre PDM (AGENTE) y ADSALSA.  Copia del contrato, de 2008, de encargo de tratamiento de ADSALSA a PDM. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 TERCERO: Con fecha 3 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ADSALSA PUBLICIDAD, S.L.,., con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción de los artículos 6 y 11 de la LOPD, tipificadas como grave en el artículo 44.3

  1. b)y 44.3
  2. k)de la citada Ley Orgánica, y a ADSALSA PUBLICIDAD, S.L., ( SANITAS en adelante) con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  3. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ADSALSA PUBLICIDAD, S.L.,., mediante escrito de fecha 20/04/2014 formuló alegaciones, significando en síntesis, que: Primera.- Entre los años 2005-2008 el GRUPO ALDANITI organizo un concurso a través del sitio web “www.lotonazo.com “mediante el cual los usuarios podían inscribirse para participar en un sorteo siempre y cuando cumplieran dos requisitos, que eran rellenar un formulario con datos de carácter personal como son nombre, dirección postal y electrónica, fecha de nacimiento, teléfono y datos relativos a la participación en el sorteo. Y en segundo lugar, aceptar el tratamiento de sus datos y la cesión para determinadas finalidades comerciales. A continuación incluye en el escrito de alegaciones copia del aviso que constaba en la página web y la leyenda de dos casillas que había que aceptar. pues si el usuario no marcaba como leídas y aceptadas alguna de las dos casillas, se bloqueaba la página y no se registraban los datos. Aporta como documentos 4 las condiciones de protección de datos a las que se accedía al marcar las casillas. Segunda.- Se levantó acta notarial en el año 2006 (documento nº 5) haciendo constar que todos los usuarios que se registraran en dicho sorteo marcaran la casilla de aceptar las condiciones de protección de datos cuyos términos eran idénticos a los que figuran en la pantalla impresa señalada como documento nº 4 Tercera: el denunciante participo en el concurso lotonazo.com inscribiéndose on line el día 19/11/2005, aportando certificado de ALDANTI INTERNACIONAL NETWROK LTD, acompañado como documento nº 6 y como ha reconocido el propio usuario en su correo de 18/2/2013 en el que señalaba que “al registrar sus datos no le solicito acreditar la veracidad de su identidad” Cuarta: como está legitimada para la cesión de datos, con fecha 22/01/2013 suscribió un contrato con SANITAS y cedió los datos del denunciante para un solo uso, sin comunicárselo al denunciante por entender que concurría lo previsto en el apartado 2c) del art. 11 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 Quinta: el denunciante debido recibir entre enero y febrero de 2013 una llamada de SANITAS, y decidió que no quería que se tratasen sus datos para fines comerciales, dirigiéndose a la dirección de correo de Adsalsa que nada tiene que ver con SANITAS, lo que prueba que ésta le informo correctamente del origen de sus datos. Asimismo en los correos electrónicos de 18 y 19 de febrero de 2013, el denunciante no descarta haber facilitado sus datos a Adsalsa. Sexta: Adsalsa ante el ejercicio del derecho de cancelación, procedió a exigir el DNI de acuerdo con la normativa vigente y a bloquear sus datos cautelarmente. Séptima: en el caso de relaciones por medio de internet, la vía para acreditar el consentimiento es la acreditación de la mecánica de funcionamiento de la página principal. Existen indicios que coadyuvan a entender como acreditado el cumplimiento por ADSALSA de las obligaciones de información y obtención del consentimiento. QUINTO: Notificado el acuerdo de inicio, SANITAS mediante escrito de fecha 25/02/2014 formuló alegaciones, significando, que dentro de su actividad desarrolla campañas publicitarias de sus productos, bien sobre sus bases de datos bien sobre las adquiridas a tercero, como es el presente caso. Cuenta con un contrato de fecha 01/01/2013 con PDM DATACENTRIC IBERIA SL como agente de ADSALSA, dicho contrato es prueba de diligencia y cumplimiento. A SANITAS se le garantiza que los datos son aportados directamente por los interesados y han dado su consentimiento para recibir publicidad. Que se eliminan los datos cuyos titulares se hayan opuesto o hayan ejercitado algún otro derecho arco. Que los datos se ceden para un uso y tiempo determinado, en concreto dos meses y no pudiéndose hacer más de una acción comercial. En relación con el derecho ejercitado por el denunciante, son recibidos las siguientes notificaciones en SANITAS: Jueves 21/02/2013, 10.02 PDM comunica a SANITAS el ejercicio del derecho de cancelación y Robinson sobre el teléfono E.E.E.. El mismo día, a las 16:52 es remitida por SANITAS a sus agentes encartados de las campañas telefónicas la comunicación respecto del derecho ejercitado. El mismo día a las 18:28 pm se comunica uno de los agentes encargados de la realización de las campañas telefónicas a SANITAS, la localización del registro y la baja del mismo en la base de datos utilizada. Desde que tuvo conocimiento del ejercicio del derecho, se procedió a bloquear y cancelar los datos del denunciante. SEXTO: Con fecha 11/04/2014 se acordó por el Instructor del Procedimiento, de acuerdo con lo dispuesto en el art. 17 del Real Decreto 1389/1993 de 4 de agosto, incorporar como prueba documental: I.- Se dan por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ADSALSA PUBLICIDAD, S.L.,., SANITAS, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01773/2013. II.- Se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 PS/00056/2014 presentadas por ADSALSA PUBLICIDAD, S.L.,., SANITAS., y la documentación que a ellas acompaña. III.- Se dan por reproducidos a efectos probatorios, la información obtenida mediante Diligencia de Instrucción de fecha 19/02/2014 relativa a las políticas de privacidad recogidas en los siguientes enlaces: http://www.adsalsa.com................ http://www.adsalsa.com................1 IV.- La información obtenida mediante Diligencia de Instrucción de fecha 28/03/2014 relativa a la política de privacidad recogida en los siguientes enlaces: http://www.adsalsa.com................2 http://sorteos.............1 http://sorteos.............2 http://sorteos.............3 http://sorteos.............2 V.- La información aportada por el denunciante de fecha 11/04/20104 a requerimiento de esta Agencia, donde hace constar que “no ha participado en 2005 en concurso alguno de la citada web, ni de haberme dado de alta.” SEPTIMO: En fecha de 28/04/2014 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de: I.- Que por el Director de la Agencia Española de Protección de Datos se sancione a ADSALSA PUBLICIDAD, S.L.,., con multa de 20.000 € (veinte mil euros) por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  4. b)de dicha norma. II.- Que por el Director de la Agencia Española de Protección de Datos se sancione a ADSALSA PUBLICIDAD, S.L.,., con multa de 10.000 € (diez mil euros) por la infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3 k ) de dicha norma. III.- Que por el Director de la Agencia Española de Protección de Datos se archive el procedimiento sancionador a ADSALSA PUBLICIDAD, S.L., por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  5. b)de dicha norma. OCTAVO: En fecha de 22/05/2014 la representación de ADSALSA PUBLICIDAD, S.L.,. formuló escrito de alegaciones en el que manifiesta que: Los datos están fuera del ámbito de la LOPD, tan solo se trató el número de teléfono y se hizo en la condición de consultor independiente en TIC, lo lógico es que siendo un teléfono de uso profesional, las llamadas guarden relación con su actividad empresarial. No acredita que las llamadas fueran a título personal o privado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 Pruebas directas y no indiciarias: entiende el instructor que los documentos aportados por la entidad constituyen una prueba indiciaria insuficiente. Niega el valor probatorio del pantallazo informático con los datos del denunciante, y utiliza el mismo medio de pantallazo para comprobar las condiciones de privacidad de la web de la empresa denunciada, lo que es un contrasentido. No reconoce que el denunciante utilizara el procedimiento de inscripción acreditado con Acta Notarial, y sin analizar que lo que se recoge son las condiciones de participación en lotonazo.com que es el concurso al que se inscribió el denunciante. Niega el valor probatorio del certificado de ALDANITI. Sin embargo es emitido por un tercero fiable, independiente y auditable, asimismo respecto de la fecha, señalar que existe un simple error tipográfico, ya que si se analiza el sobre en el que se envía el certificado se puede comprobar que lleva fecha de 14/02/2014 y por tanto se aporto precisamente para la defensa en este procedimiento sancionador. Llega a la conclusión de que los correos no ponen de manifiesto un reconocimiento de inscripción voluntaria, no entendiendo como se le da credibilidad al denunciante y no a la entidad denunciada habiendo aportado suficiente documentación en defensa de su inocencia. Carencia indubitada de la comisión de las infracciones. de la documentación aportada no se puede afirmar que el denunciante no le suministro los datos ni que ADSALSA no recabo el consentimiento para tratar sus datos con fines comerciales. La carga de la prueba corresponde a quien acusa. La entidad denunciada realiza su actividad dejando evidencias claras de que tiene en cuenta la normativa de protección de datos en todos los tratamientos, el instructor ni tan siquiera se plantea el principio “in dubio pro reo”. Lo único de lo que no se dispone es de una comunicación del denunciante confirmando la suscripción, pero al menos existe una presunción de que ADSALSA disponía de los datos del denunciante lo era porque se los facilito aquel tal como se acredita con el certificado de ALDANITI Ausencia de responsabilidad subjetiva en las infracciones imputadas. No debe extrañar que actuó en el convencimiento de que contaba con el consentimiento para le tratamiento y la cesión de los datos. Se extrema el cumplimiento de la normativa relativa a la protección de datos, y no solo eso, sino que conserva ocho años después, evidencias que justifican ese cumplimiento. Existencia del concurso medial de infracciones. Debiendo sancionarse tan solo por una de ellas. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS Uno.- En fecha de 14/02/2013 el denunciante comunica a ADSALSA que está recibiendo llamadas comerciales no solicitadas y cuyo origen es la tenencia de sus datos por parte de ADSALSA en sus ficheros, solicitando que le borren de la base de datos y hagan extensiva la solicitud a otras empresas que hayan podido ser cesionarias. (Folio 6) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 Dos.- Ante la comunicación del denunciante ADSALSA para satisfacer los derechos ARCO que le asisten, solicita subsanación de la solicitud requiriendo copia del DNI. (Folios 3 a 5) Tres.- Los datos personales del denunciante constan en el fichero de ADSALSA, según captura de pantalla de sus sistemas informáticos desde la fecha de 19/11/2005, consistentes en nombre y apellidos, dirección de correo electrónico, domicilio completo, teléfono móvil y fecha de nacimiento. (Folio 14) Cuatro.- Las llamadas denunciadas tienen como beneficiario de la acción publicitaria a SANITAS. SANITAS adquirió una base de datos a PDM DATACENTRIC, agente de ADSALSA, para su explotación en acciones comerciales mediante contrato de fecha 01/01/2013. Cinco.- Según manifestaciones de ADSALSA, los datos personales del denunciante fueron cedidos a SANITAS en fecha de 22/01/2013 (Folio 19). En el contrato de fecha 01/01/2013 el agente de ADSALSA, garantiza al CLIENTE (SANITAS) la adecuación a la normativa de protección de datos del fichero objeto de explotación. En el contrato se adjunta como Anexo I la política de privacidad que afirma se ha seguido para la obtención de los datos y gestión de derechos ARCO. (Folios 133-142). Seis.- ADSALSA firmó un contrato de explotación del fichero para acciones comerciales con FIRST STOP SOUTH WEST donde se encontraban los datos personales del denunciante para la realización de una campaña por SMS en fecha de 04/12/2012. En el contrato consta que las acciones promocionales las realiza ADSALSA sin que se produzca una entrega física al CLIENTE de los datos personales de los destinatarios (Folios 147 a 152) Siete.- ADSALSA manifestó que los datos personales del denunciante se incorporan a su fichero cuando el denunciante decide participar en un concurso a través de la web www.lotonazo.com previa aceptación de la política de privacidad. Preguntado expresamente por este extremo el denunciante ha negado tal posibilidad (Folios 165166). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD II El artículo 6.1 y 2 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III Dispone el art. 3
  7. g)de la LOPD, que Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. Dispone el art. 5.1
  8. i)del Real Decreto 1720/2007, de 21 de diciembre, RDLOPD en adelante que el Encargado del tratamiento es La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). En el presente caso, el responsable del fichero es ADSALSA PUBLICIDAD, SL. ( ADSALSA en adelante) , de conformidad con la definición del art. 3
  9. d)de la LOPD y 5 .1
  10. q)del RDLOPD: Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Y SANITAS es responsable del tratamiento consistente en la utilización de los datos personales del denunciante para la realización de llamadas comerciales, que constaban en el fichero de ADSALSA y que adquirió en virtud de contrato de fecha 01/01/2013. IV ADSALSA ha manifestado en sus alegaciones formuladas a la propuesta de resolución, que los datos objeto de tratamiento estarían fuera del ámbito de la LOPD, por tratarse de la vertiente profesional. En este sentido debe recordarse lo dispuesto en el art. 2. 3. Del RDLOPD que están excluidos del ámbito de aplicación: (…) los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal.(…) En el caso analizado, los datos objeto de tratamiento no pueden interpretarse de acuerdo con el citado precepto, ya que de acuerdo con la documentación aportada en la que se encuentran éstos, no se puede inferir tal cualidad. No consta campo alguno en la captura de pantalla reservado a profesión o actividad comercial/empresarial sino que se hace referencia a datos de carácter personal. Asimismo para aplicar la excepción prevista en el citado precepto, el tratamiento ha de ser referido dicha condición, es decir, a la de empresario o comerciante. Por otro lado, ADSALSA otorga desde el primer momento tal cualidad de dato de carácter personal, pues los somete al ejercicio de los derechos ARCO y los comunica al abrigo de la LOPD. Admitir la interpretación propuesta por ADSALSA iría en contra de sus propios actos. V En el presente caso ADSALSA ha aportado en las alegaciones al Acuerdo de inicio elementos que, a su juicio, prueban el tratamiento de los datos personales del denunciante con su consentimiento, y se reafirma en las alegaciones formuladas a la propuesta de resolución analizando la valoración de la prueba realizada por el Instructor. No obstante lo anterior, debe señalarse lo siguiente: Según manifestaciones de la entidad, los datos personales del denunciante causaron alta en sus sistemas tras la inscripción voluntaria de éste en el sitio web www.lotonazo.com en fecha de 19/11/2005, aporta impresión de pantalla de sus sistemas con los datos personales del denunciante (Folio 14) Asimismo sostiene que tuvo aceptar la política de privacidad vigente a dicha fecha, aportando al efecto una Acta Notarial que recoge el proceso de inscripción en la web y la política de privacidad vigente. (Folios 107-119) También aporta un certificado de ALDANITI INTERNACIONAL NETWORK LTD., de fecha 10/02/2012 en el que aportan el nº de registro del denunciante en sus sistemas PK498902, adjuntando las impresiones de pantalla del registro donde constan las condiciones de participación y que según dicho certificado, deberían aceptarse las condiciones generales y política de privacidad con carácter previo a su inscripción. Finalmente sostiene, que de la literalidad de alguno de los correos electrónicos del denunciante (de 18/02/2013 y 19/02/2013), se infiere que afirma que se registró en la citada página web, tales como “...que al registrar sus datos no le solicitó acreditar la veracidad de su identidad…” o como “…en caso de ser cliente o de haberles facilitado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 mis datos en alguna ocasión…..” Para concluir sus alegaciones en que ha aportado indicios suficientes que permiten entender prestado el consentimiento informado por parte del denunciante. Llegados a este punto conviene recordar la virtualidad de la prueba indiciaria cuya admisión en el procedimiento administrativo sancionador se admite en la Sentencia del Tribunal Constitucional núm. 45/1997 (Sala Primera), de 11 de marzo (RTC 1997,45). Así los requisitos necesarios para su admisión vienen desarrollados, con cita de la doctrina del Tribunal Supremo, por la Sentencia del TSJ de Andalucía, núm. 255/2003 de 27 de enero, que dice: “Sobre ella precisar que la jurisprudencia constitucional y la de la Sala 2ª del TS han perfilado los requisitos necesarios para que la prueba indiciaria pueda ser apreciada como tal y que pueden resumirse en los siguientes extremos: 1º- Que el hecho base no se único, pues uno solo podría inducir a error – STC núm. 111/1990 de 18 de junio (RTC1990, 111); 2º- Que estos hechos estén directamente acreditados – SSTS de 18 y24 de enero de 1991 (RJ 1991,282)- ; y 3º Que la inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general – STC 107/1989 de 8 de junio y 510/1989 de 10 de marzo ( RTC 1985,510) …………” Pues bien, en primer lugar respecto a la captura de pantalla aportada en el trámite de Actuaciones Previas de Inspección, obrante en el folio 14, conviene traer a colación lo recogido en la Sentencia de la Audiencia Nacional de 9 de abril de 2008 ( Rec 235/2006), que viene a señalar que los pantallazos o reflejos informáticos no acreditan la prestación del consentimiento: “…no se trata más de un simple “pantallazo” informático, que nada acredita ni aporta ninguna información relevante a la hora de poder acreditar el consentimiento del titular de los datos”. A este respecto ADSALSA alego en el trámite procedimental al efecto, que el Instructor cuestionó el carácter probatorio de una captura de pantalla, para dar validez a la política de privacidad de la web de la entidad denunciada utilizando idénticos medios, es decir, una captura de pantalla y posterior impresión. Sin embargo en la Propuesta de Resolución no se cuestionó la validez de dicho medio de obtención de información, sino que de acuerdo con la sentencia citada ut supra, analiza la validez para la acreditación del consentimiento y no para otras cuestiones. Es decir, lo único que acredita tal elemento es que los datos personales del denunciante constan en el fichero propiedad de ADSALSA, pero no que los haya proporcionado el titular y menos con el consentimiento informado. En segundo lugar, el Acta Notarial que recoge el proceso de inscripción en la web y la política de privacidad de éstas, es del año 2006, y por tanto, posterior a la fecha en que ADSALSA afirma que se inscribió el denunciante, por lo que no puede establecerse la presunción de que se utilizó tal procedimiento de inscripción a la fecha en que causaron alta los datos del denunciante. A mayor abundamiento, debe señalarse que el acta acredita que el procedimiento de inscripción es el que consta en dicho documento público, pero no que el denunciante hubiera inscrito sus datos. Es decir, del Acta Notarial se infiere que cualquier usuario de la web que se inscribiera a la fecha que consta en la misma, ha de seguir dicho proceso, pero no acredita que la totalidad de los registros que consten en los ficheros de ADSALSA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 provenga de tal proceso de inscripción a través de la web. En tercer lugar, respecto del certificado de ALDANITI INTERNACIONAL, no puede desplegar los efectos pretendidos por la denunciada, habida cuenta de que es de fecha 10/02/2012, y los hechos valorados son de enero y febrero de 2013. Es decir, a la fecha de emisión del certificado ni siquiera se había interpuesto la denuncia (20/02/2013) por lo que difícilmente ADSALSA conocía y podía establecer la necesidad en su defensa en un hipotético procedimiento sancionador de esta Agencia, de la solicitud y expedición del certificado de ADALANTI INTERNACIONAL. A este respecto sostiene la entidad denunciada en sus alegaciones formuladas a la propuesta de resolución que el problema de las fechas se debe a un error tipográfico y que se analice el sobre en el que se envía el certificado donde se puede observar la verdadera fecha. Pues bien, la fecha que conste en el sobre tan solo acredita la fecha de puesta en la empresa de mensajería D.D.D. , y sin perjuicio del valor probatorio que se le pretende otorgar a tal elemento, no puede obviarse el carácter de prueba aportada por parte interesada, pues por mucho que según manifieste ADSALSA estamos ante un “tercero, independiente y auditable”, ADSALSA y ALDANITI tienen relaciones comerciales y empresariales, cuestionándose la integridad y posibilidad de creación o modificación ad hoc del certificado. Tanto es así, que en las citadas alegaciones se adjunta otro certificado idéntico pero con una fecha que ADSALSA entiende que refuerza su derecho de defensa. En cuarto lugar, respecto de la literalidad de los correos electrónicos que pretende atribuir ADSALSA un reconocimiento de inscripción voluntaria por parte del denunciante, parece obviar que existen otros en los que precisamente se señala lo contrario y anteriores en el tiempo a los aducidos por la mercantil, en concreto, mediante comunicación de 14/02/2013 el denunciante señala que “...Ruego me borren ustedes de vuestra base de datos que B.B.B.,….” (Folio 6). Además respecto de los correos citados por la entidad, cabe señalar que del correo electrónico de 18/02/20413 no puede deducirse un reconocimiento de haber proporcionado los datos, pues señala que “no es justo, para la inscripción no pidieron entonces acreditar la veracidad de la identidad.” Es decir, la interpretación que merece tal afirmación en consonancia con la comunicación señalada en el párrafo anterior ha de ser en el sentido de que si hubieran pedido la veracidad de la identidad en el momento del registro, no se habrían producido los hechos denunciados, pues precisamente niega la circunstancia de que hubiera dado él sus datos y por ello interpone la denuncia. A mayor abundamiento, mediante escrito de fecha 31/03/2014 se le requirió al denunciante, a la vista de las alegaciones de ADSALSA, que manifestara si se había inscrito en la web lotonazo.com en el mes de noviembre de 2005, contestando negativamente (Folio 166). Es decir, es en este momento procedimental y no en otro, cuando el denunciante puede tener somera idea del origen de los datos que aduce la entidad denunciada, pues debe recordarse que en los correos electrónicos de enero y febrero de 2013, lo que precisamente solicita el denuncian es su derecho de acceso (y cancelación) para conocer la causa que motiva el tratamiento de sus datos, no siendo contestado por ADSALSA, por carencias formales en su solicitud (ausencia de DNI). Por lo tanto, una vez analizados los elementos indiciarios de los que pretende valerse ADSALSA, no puede entenderse probado la prestación del consentimiento informado para el tratamiento de datos acreditado. Pues el establecimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 presunciones se ha de realizar respecto de hechos de los que no existe duda acerca de su producción, es decir, de la inscripción en la web y aceptación de una política de privacidad determinada. Y en el caso analizado no hay prueba fehaciente de tal circunstancia. El establecimiento de presunciones o la alusión a la hipotética inscripción voluntaria del denunciante en www.lotonzazo.com con los elementos probatorios aportados ( Acta Notarial de fecha posterior, pantallazo de los sistemas de la entidad, certificado de la empresa matriz internacional y correos remitidos ) resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular. VI El art. 12 del Real Decreto 1720/2007, que desarrolla la LOPD, señala “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. En este sentido, a quien realiza el tratamiento, le compete guardar prueba de que cuenta con el consentimiento del afectado , así tal como se recoge ut supra la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” ADSALSA manifiesta en sus alegaciones formuladas a la propuesta de resolución, que la carga de la prueba corresponde a quien acusa y que de lo único de lo que no hay prueba es de una comunicación del denunciante confirmando la suscripción, pero al menos existe una presunción de que disponía de los datos del denunciante porque este los facilito al inscribirse en la web tal como lo acredita el certificado emitido por ALDANITI. Pues bien, en cuanto a la carga de la prueba procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Y en cuanto al valor probatorio del certificado como presunción de inscripción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 voluntaria del denunciante, ya se ha analizado en párrafos anteriores y no puede desplegar los efectos pretendidos. Debiendo señalarse que acreditado el tratamiento de datos personales del denunciante y habiendo negado la prestación del consentimiento (hecho constitutivo) ADSALSA no ha presentado ninguna prueba que pueda evidenciar que contaban con su consentimiento, (hecho extintivo o impeditivo). Es decir, se produce una suerte de modulación de la carga de la prueba, al abrigo de la jurisprudencia citada, en el que tras la instrucción del procedimiento sancionador, la Agencia Española de Protección de Datos probó el hecho constitutivo objeto de sanción. Los datos personales del denunciante fueron tratados por ADSALSA, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos, por tanto la actuación de esta entidad no encuentra cobertura en ningún supuesto a la excepción a la prestación del consentimiento que recoge el artículo 6.2 de la LOPD, considerando vulnerado dicho precepto. VII Dispone el artículo 44.3.
  11. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VIII El art. 11 de la LOPD establece que: Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. En el presente caso ha resultado probado que ADSALSA a través de su agente, cedió los datos personales del denunciante sin su consentimiento. Ahora bien, el art. 12.1 y 2 de la LOPD establece que: 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el presente caso, ADSALSA a través de su agente PDM DATACENTRIC y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 SANITAS firmaron un contrato de fecha 22/01/2013 en virtud del cual ésta podía utilizar el fichero de ADSALSA para prospección comercial. En el contrato DATACENTRIC en nombre y por cuenta del titular del fichero, certifica el origen de los datos y su adecuación a la normativa vigente, adjuntando entre otras cuestiones un Anexo I en el que consta la política de privacidad que informa que se ha aceptado por los titulares de los datos personales que consten en dicho fichero. (Folio 133-142). Es decir, no puede exigirse más diligencia a SANITAS que la prestada, atendiendo a los elementos del contrato, que con independencia de la ilegalidad en el tratamiento de datos del denunciante, SANITAS no tenía forma alguna de verificar este extremo. Por lo que concurre en dicha mercantil la falta del elemento subjetivo de la culpabilidad, en el tratamiento sin consentimiento por parte de los datos del denunciante. IX Dispone el art. 44.3
  12. k)de dicha norma que es infracción grave: La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave. En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado una cesión de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. X ADSALSA manifiesta la concurrencia de un concurso medial de infracciones, entendiendo que la infracción del art. 11 LOPD no puede cometerse sin la infracción del art. 6 LOPD solicitando con carácter subsidiario que tan solo se sancione por una de ellas. Sin embargo han de ser desestimados tales alegaciones pues no concurre la figura del concurso citado. El propio art. 4.4 del Real Decreto 1398/1993, señala como requisito para aprecia tal figura, que de la comisión de una infracción derive necesariamente la comisión de otra u otras, condición que no se da en el caso analizado pues se podría haber obtenido tener el consentimiento para un tratamiento determinado de acuerdo con la información previamente ofrecida y no tenerle para una cesión o comunicación. Por tanto los datos personales del denunciante han sido objeto de tratamiento sin consentimiento (6 LOPD) con independencia de que hayan sido cedidos o comunicados posteriormente (11 LOPD) pues la cesión sin consentimiento, es un hecho independiente y autónomo que responde únicamente a la voluntad de ADSALSA. A mayor abundamiento, que para apreciar la figura del concurso de infracciones, es requisito que (…)una derive necesariamente de la otra(…), y para interpretar tal circunstancia es fundamental el elemento temporal relativo a la producción de las mismas en concreto que sea simultaneo o sucesivo, y en el presente caso los datos personales del denunciante causan alta en el fichero de ADSALSA en el año 2005 y la cesión de los mismos se produce en el año 2013, es decir ocho años después, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 lo que no concurre la “necesidad” requerida para la apreciación de la citada figura. A sensu contrario, la jurisprudencia de la Audiencia Nacional, ha interpretado que existe dicha necesidad cuando el acto es simultaneo (SAN 479/2010), en este caso se apreciaría tal figura si en el momento de causar alta los datos personales del denunciante en los ficheros de ADSALSA, éstos fueran comunicados a un tercero. En ese caso el tratamiento sin consentimiento podría subsumirse en la cesión, es decir, el único tratamiento producido seria la cesión en sí misma. En presente caso, hay que acudir a la definición de tratamiento de datos recogida en el art. 3 j LOPD, que considera como tal, recogida, grabación, conservación , circunstancia acreditada de acuerdo con la documentación aportada y que se diferencia material y temporalmente ( 8 años trascurren entre una y otra) de la conducta consistente en la cesión o comunicación sin consentimiento. XI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados.
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Respecto de SANITAS, tal y como se ha adelantado en el fundamento de derecho VI conviene señalar que la presencia del elemento subjetivo es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. Por lo que de acuerdo con su actuación procede el archivo del procedimiento sancionador. Por otro lado, respecto de ADSALSA y la valoración de su actuación en los hechos analizados, procede aplicar el art. 45.5 de la LOPD respecto de las infracciones imputadas. En primer lugar, respecto de la infracción del art. 6 de la LOPD, consistente en el tratamiento sin consentimiento de los datos personales del denunciante, concurre el 45.5
  28. a)(concurrencia de varios apartados del art. 45.4 e),
  29. f)y j), por lo que procede aplicar la degradación prevista en el citado precepto y establecer el importe de la sanción a proponer dentro de la escala de las infracciones leves. Ahora bien, atendiendo a los criterios de graduación previstos en el art. 45.4 de la LOPD, y sin perjuicio de las circunstancias atenuantes antes señaladas, no puede obviarse la concurrencia de las circunstancias agravantes previstas en el apartado
  30. c)dada su profesionalidad cuyo objeto principal de su actividad es la explotación de un fichero con datos de carácter personal ( sirva a modo de ejemplo la campaña publicitaria a través de sms con FIRST STOP SOUTH WEST obrante en los folios 147 a 156), lo que le hace tributario de un celo y rigor exquisito en el cumplimiento de la LOPD. Por todo ello se propone la sanción por la vulneración del art. 6 de la LOPD en la cuantía de 5.000 €. En segundo lugar, respecto de la infracción del art. 11 de la LOPD, consistente en la cesión de datos personales sin el consentimiento del titular, concurre el 45.5
  31. a)(concurrencia de varios apartados del art. 45.4, e),
  32. f)
  33. i)y j), pues no puede obviarse la comunicación de los datos mediando un contrato de encargado de tratamiento, el tiempo transcurrido desde la fecha en que se causó alta en los sistemas en 2005, hasta la fecha de la cesión producida, los procedimientos para la gestión de los derechos ARCO instaurados. Ahora bien, atendiendo a los criterios de graduación previstos en el art. 45.4 de la LOPD, y sin perjuicio de las circunstancias atenuantes antes señaladas, no puede obviarse la concurrencia de las circunstancias agravantes previstas en el apartado
  34. c)dada su profesionalidad cuyo objeto principal de su actividad es la explotación de un fichero con datos de carácter personal, asimismo en cuanto a la diligencia prestada, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 previniendo que la base de datos a ceder podía tener registros cuyo origen se remontaba tiempo atrás, podía haber desplegado cierta cautela para la verificación del consentimiento de los registros que podían ser objeto de comunicación a un tercero, circunstancias que impiden determinar la sanción en su cuantía mínima procediendo la sanción por la vulneración del art. 11 de la LOPD en la cuantía de 5.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ADSALSA PUBLICIDAD, S.L.,., , por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  35. b)de dicha norma, una multa de 5.000 € (cinco mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad ADSALSA PUBLICIDAD, S.L.,., , por una infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3 K) de dicha norma, una multa de 5.000 € (cinco mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a ADSALSA PUBLICIDAD, S.L., y a C.C.C.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.