PS-00056-2015

1/12 Procedimiento Nº PS/00056/2015 RESOLUCIÓN: R/00745/2015 En el procedimiento sancionador PS/00056/2015, instruido por la Agencia Española de Protección de Datos a la entidad AFFINION INTERNATIONAL S.L., TELEFÓNICA MÓVILES ESPAÑA, S.A.U., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12 de febrero de 2014 tiene entrada en esta Agencia un escrito de A.A.A., en adelante el denunciante, en el que manifiesta lo siguiente: 1. El 3 de febrero de 2014 a las 20:55 recibe en su teléfono una llamada con origen en la línea ***TEL.1 en la que se le ofrece un servicio denominado “Disfruta más por menos”. Tras indicar a su interlocutor que no está interesado en ninguna oferta y preguntar por el origen del dato de su línea de teléfono, se le indica que las llamadas telefónicas se realizan de forma aleatoria según su propia base de datos. 2. Con anterioridad había solicitado de forma explícita no recibir comunicaciones comerciales a través de ningún medio y que sus datos no fueran cedidos como lo fueron en el presente caso a AFFINION INTERNATIONAL S.L., en adelante AFINION. 3. En respuesta a la reclamación que interpuso ante TELEFÓNICA MOVILES ESPAÑA S.A.U., en adelante MOVISTAR, recibe un correo electrónico en el que se le informa de la recepción de la misma y de que para cualquier consulta sobre el programa Disfruta más por menos debe ponerse en contacto con AFFINION, de la que se le proporcionan datos de contacto. Responde a su vez a MOVISTAR indicando que su reclamación no es contra el programa en sí, sino debida a que había solicitado no recibir comunicaciones comerciales por ningún medio. 4. Recibe una llamada en la que desde MOVISTAR se le informa de que no les consta que haya expresado su deseo de no recibir publicidad a lo que responde que se dio de baja de todos los servicios a través del 224407. Comprueba a través del sitio web www.protecciondatos.movistar.es que tiene desactivadas todas las notificaciones. Junto con el escrito de denuncia se aportan copia del correo electrónico citado en el punto 3 y capturas de pantalla del sitio web www.protecciondatos.movistar.es en las que se muestra que el denunciante ha expresado su deseo de no recibir comunicaciones comerciales en todas las opciones disponibles. En respuesta a la solicitud de subsanación de denuncia remitida por esta Agencia, el 18 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 de junio de 2014 tiene entrada un escrito de denunciante en el que aporta la siguiente información: 5. La línea que recibe las llamadas es la ***TEL.2 a la que presta servicio MOVISTAR. 6. Fue cliente de TELEFONICA DE ESPAÑA SAU para una línea de telefonía fija, pero ya no es el titular de dicha línea y ese contrato no ha tenido relación con ala línea móvil receptora de la llamada publicitaria. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad AFFINION INTERNATIONAL S.L., TELEFÓNICA MÓVILES ESPAÑA, S.A.U., teniendo conocimiento de que: 1. Con fecha 2 de enero de 2013 de 2013 se suscribió un contrato con AFFINION al objeto de ofrecer a sus clientes los productos y servicio de esta entidad, uno de estos servicios era “disfruta y ahorra”. La campaña comercial la realizó Movistar, realizando previamente una selección sobre sus ficheros de aquellos clientes que cumplieran con los siguientes requisitos:  No hubieran manifestado su oposición a recibir llamadas de telemarketing.  No hubieran manifestado su oposición al tratamiento de sus datos de tráfico con la finalidad de recibir promociones comerciales. 2. Para la realización de la campaña publicitaria de los productos de AFFINION, se utilizaron tres centros de servicios telefónicos que actuaban a través de un contrato firmado con la entidad en calidad de encargados del tratamiento. A cada uno de los tres centros se le entregó un fichero en los que figuraban los siguientes datos de clientes de MOVISTAR: nombre y apellidos, teléfono móvil de contacto, NIF, cuenta corriente y dirección postal. Los ficheros que se remitieron inicialmente se actualizan cada 10 o 15 días con otros que se envían con los datos de las oposiciones ejercidas por los clientes. 3. En los contratos suscritos por los clientes de la entidad figura una cláusula de protección de datos que informa sobre la posibilidad de oponerse al tratamiento de datos para fines comerciales. El literal de la citada cláusula es el siguiente: “Protección de datos: Telefónica Móviles España, S.A.U., en cumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, informa al cliente de que los datos personales que aporta en este acto junto a los obtenidos durante la vigencia del contrato por Telefónica Móviles España, S.A.U., o su red de distribución, serán incluidos en ficheros informatizados de datos de carácter personal titularidad de esta Empresa, responsable del tratamiento y destinataria de los datos, siendo necesarios para la relación contractual y teniendo el carácter de obligatorio a excepción de los marcados como opcionales. Asimismo, con la intención de ofrecerle nuestra mejor atención e informarle de nuestros servicios de telecomunicaciones, y en cumplimiento de lo dispuesto en el 65.3 del Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios (BOE, 29 abril de 2005), Telefónica Móviles España, S.A.U., solicita su consentimiento para tratar, junto con los datos personales que usted nos facilita, todos los datos de tráfico necesarios para realizar la facturación y pagos de las interconexiones y todos los datos de los servicios de los que sea usuario, para ofrecerle promociones comerciales o para la prestación de servicios con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 valor añadido, durante la vigencia de la relación contractual, y siempre que no se oponga a este tratamiento en el plazo de un mes a contar desde la firma del contrato dirigiendo escrito a Telefónica Móviles España, S.A.U., Ronda de la Comunicación s/n. Distrito Telefónica. Edificio Sur 3. 2ª planta. 28050 Madrid, llamando al teléfono gratuito 224407 o en www.movistar.es. Asimismo, podrá revocar dicho consentimiento en cualquier momento a través de los medios indicados. No obstante, el consentimiento para el tratamiento de todos los datos de tráfico para la prestación de servicios con valor añadido se considerará otorgado desde el momento de solicitud, uso o acceso a cualquier servicio de este tipo. El cliente consiente que Telefónica Móviles España, S.A.U., en su continuo afán de mejorar la satisfacción de sus clientes, le envíe promociones comerciales, le comunique las ofertas más interesantes, las últimas novedades y toda la información de los productos y servicios de la Compañía que puedan ser de su interés. Si no desea que Telefónica Móviles España, S.A.U., le envíe promociones y ofertas de productos y servicios propios de Movistar que puedan ser de su interés a través de mensajes cortos (SMS) y correos electrónicos, en cumplimiento del art. 21.2 y 22.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, dirija escrito a Telefónica Móviles España, S.A.U., Ronda de la Comunicación s/n. Distrito Telefónica. Edificio Sur 3. 2ª planta. 28050 Madrid, llame al teléfono gratuito 224407 o entre en www.movistar.es. El cliente puede ejercitar los derechos de acceso, rectificación, cancelación y oposición previstos en la Ley, dirigiéndose por escrito al domicilio social de Telefónica Móviles España, S.A.U., Referencia DATOS, en Ronda de la Comunicación s/n. Distrito Telefónica. Edificio Sur 3. 2ª planta. 28050 Madrid. Telefónica Móviles España, S.A.U., tiene la obligación de secreto de los datos y el deber de guardarlos, y adoptará las medidas necesarias para evitar su alteración, pérdida, tratamiento o acceso no autorizado. En cualquier caso, Telefónica Móviles España, S.A.U., garantiza al cliente que en la utilización de sus datos personales se observarán escrupulosamente las obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, así como en el restante ordenamiento aplicable donde se establecen garantías y cautelas en cuanto al tratamiento de los datos de carácter personal del cliente. El cliente otorga su consentimiento a Telefónica Móviles España, S.A.U., para grabar las llamadas que él mismo pueda realizar al servicio de atención telefónica 1004, o las que se le pudieran hacer desde Telefónica Móviles España, S.A.U., o desde cualquier empresa autorizada por ésta. Dicha grabación se realiza con la finalidad de mejorar la calidad de prestación de los servicios objeto del contrato, con la de verificar la satisfacción de los clientes, así como de acreditar la contratación. Se encuentra adjunta al acta de inspección E/1019/2014-I/2 una copia de las cláusulas de los contratos en los que se recogen la posibilidad de oponerse al tratamiento de datos para fines comerciales. Según indican los representantes de la entidad, cuando la contratación es telefónica el operador lee el siguiente texto "TELEFONICA MOVILES ESPAÑA le informa de que sus datos personales serán incorporados en un fichero del que es responsable para prestar el servicio contratado. Puede ejercitar sus derechos de protección de datos, mediante escrito a Telefónica Móviles España. Referencia Datos. Apartado de correos 56. 48080 Bilbao." Finalizada la venta, se informa al cliente de que recibirá en su domicilio una carta de bienvenida, con la siguiente información: “En el link www.movistar.es/contratos se pueden consultar las condiciones que se adjuntan en el anexo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 El cliente puede acceder por internet a las cláusulas de protección de datos detalladas anteriormente. Adjunta al acta de inspección E/1019/2014-I/2 una copia del texto legal que se lee a los clientes en el proceso de contratación telefónica de servicios utilizado. 4. El teléfono 224407 permite a los clientes de MOVISTAR, a través de una llamada a ese número, ejercer sus derechos de oposición en relación con los distintos tipos de publicidad que realiza la entidad o terceros a partir de sus datos. Los sistemas de la entidad registran las solicitudes realizadas a través de este medio de forma que se puede conocer la fecha en la que se realizó la solicitud de oposición. El 29 de enero de 2015 se realiza una inspección en la sede de MOVISTAR en la que se constatan los siguientes hechos: 1. En el sistema de información en el que se registran las solicitudes de oposición realizadas por los clientes de la entidad, tanto a través de la línea 224407 como por otros medios, constan como ejercidos por el denunciante 6 derechos de oposición, todos ellos el día 1 de septiembre de 2014 a través del sitio web de MOVISTAR. La lista es la que sigue: 1.1. No envío de publicidad de TME por SMS/correo elec. (21.2 LSSI) 1.2. No envío publicidad postal 1.3. No envío publicidad postal de terceros 1.4. No llamadas automáticas/fax para venta directa (38.h LGTel) 1.5. No tratam. Datos tráfico para prestar SVA’s 65.3 RD424/2005 1.6. No tratam. Datos tráfico para prom. comerciales 65.3 RD424/2005 En los sistemas no se muestra ninguna otra solicitud en el histórico. Los representantes de MOVISTAR manifiestan que la oposición del punto 1.6 es uno de los criterios de exclusión de los ficheros remitidos a los centros de atención telefónica por lo que no recibirá, a partir de esa fecha, llamadas promocionales de productos de AFFINION. 2. Durante la inspección se observa en el listado de derechos de oposición no ejercidos, que el de “No llamadas de telemarketing art. 69.2 RD 424/2005.”, que prevendría el uso de los datos del afectado para la realización de llamadas de telemarketing de cualquier campaña, no ha sido ejercido. 3. A pesar de que el denunciante aporta en febrero de 2014 capturas de pantalla del sitio web www.protecciondatos.movistar.es en las que se muestra que el denunciante ha expresado su deseo de no recibir comunicaciones comerciales en todas las opciones disponibles, lo cierto es que los datos mostrados podrían haberse modificado en ese momento y no haberse almacenado los cambios por falta de confirmación del usuario o por un error del sistema. En cualquier caso no se puede acreditar a través de la impresión de pantalla aportada que en fecha anterior a la presentación de la denuncia el denunciante hubiese ejercido efectivamente el derecho de oposición tal y como este afirma. 4. Los datos del denunciante constan en los ficheros remitidos el 26 de septiembre de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 2014 a uno de los centros de atención telefónica y también aparecen como remitidos en ficheros de actualizaciones (aquellos que contiene las solicitudes de oposición a los envíos) remitidos los días 14 de octubre y 28 de octubre de 2014. Los representantes de la entidad desconocen el motivo por el que se incluyeron los datos del denunciante el fichero enviado el 26 de septiembre de 2014 con posterioridad al ejercicio de su derecho de oposición (1 de septiembre de 2014) ni por que aparece en dos ocasiones en ficheros de actualización (que contienen las solicitudes de oposición). 5. En los sistemas de MOVISTAR consta el registro de una llamada realizada el día 3 de febrero de 2014 a las 20:53 horas con origen en la línea ***TEL.1, destino en la línea ***TEL.2 y una duración de 162 segundos. Es destacable que la llamada denunciada y registrada por MOVISTAR fue realizada en fecha anterior a la proporcionada como fecha de envío del fichero remitido al centro de atención telefónica en el que constaban los datos. TERCERO: Con fecha 9 de febrero de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a TELEFONICA MOVILES ESPAÑA, S.A.U. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, TELEFÓNICA MÓVILES ESPAÑA, S.A.U. mediante escrito de fecha 5/03/2015 formuló alegaciones en las que señalo que por un error en el proceso de extracción del publico objetivo, el denunciante fue contactado por movistar para informarle acerca de los productos de Affinion a pesar de haberse opuesto a que sus datos se trataran con fines comerciales. Por tanto, reconociendo la responsabilidad y solicitado la aplicación del art. 8 del RD 1398/1993 de 4 de Agosto, para la aplicación del art. 45.5
2. d)de la LOPD en cuanto a la imposición de la sanción. QUINTO: En fecha de 10/03/2015 se incorporó como prueba documental y se dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03352/2014 y las alegaciones al acuerdo de inicio PS/00056/2015 presentadas por TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y la documentación que a ellas acompaña. SEXTO: Al haber reconocido la entidad denunciada los hechos que se le imputan y la responsabilidad que se deriva de los mismos, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 UNO.- El denunciante es titular de la línea ***TEL.2 que recibió una llamada del número de línea ***TEL.1 el día 3/02/2014 relativas a la comercialización del producto Disfruta más por menos” correspondiente a AFFINION INTERNACIONAL. DOS.- TME ha reconocido que el denunciante ejerció su derecho de oposición a que sus datos fueran tratados con fines publicitarios y que por error se produjo una extracción de los datos del denunciante de un fichero utilizado al efecto. TRES.- En el sistema de información en el que se registran las solicitudes de oposición realizadas por los clientes de la entidad, tanto a través de la línea 224407 como por otros medios, constan como ejercidos por el denunciante 6 derechos de oposición en fecha de 1/09/2014. CUATRO.- Los datos del denunciante constan en los ficheros remitidos el 26/09/2014 a uno de los centros de atención telefónica y también aparecen como remitidos en ficheros de actualizaciones (aquellos que contiene las solicitudes de oposición a los envíos) remitidos los días 14 de octubre y 28 de octubre de 2014, sin que los representantes de la entidad hayan podido explicar porque se produce esta circunstancia con posterioridad al 1/09/2014. CINCO.- TME suscribió un contrato de fecha 27/03/2013 en virtud del cual realiza acciones comerciales a través de su encargado de tratamiento, TRASNCOM ofreciendo productos de la entidad AFFINION INTERNACIONAL en virtud de contrato de 02/01/2013, para lo cual utiliza el fichero de sus clientes. SEIS.- El titular de la línea ***TEL.1 es la compañía TRANSCOM (encargado del tratamiento de TME) que realizó la llamada para la promoción de productos de AFFINION en el desarrollo de la relación contractual de esta con TME (responsable del fichero), FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que la denunciada ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III Dispone el art. 6 de la LOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. IV Dispone el art. 3 de la LOPD las siguientes definiciones:
4. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. Dispone el art. 12.1 y 2 de la LOPD: 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el presente caso TRANSCOM realiza el tratamiento por cuenta de TME, estando sus obligaciones reguladas en un contrato de acuerdo con el art. 12 de la LOPD. Asimismo, en cuanto a la cesión de datos en favor de AFFINION puesta de manifiesto por el denunciante, no hay prueba de la misma. V TME reconoce la existencia de un error en el proceso de extracción del público objetivo destinatario de la campaña que promocionaba productos de AFFINION ya que el denunciante se había opuesto expresamente al tratamiento de sus datos con fines comerciales y por tanto no debía formar parte del dichero extraído. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 No obstante lo anterior, y sin perjuicio del reconocimiento de la responsabilidad por parte de TME en tanto que no atendió una oposición expresa del denunciante, debe recordarse que con independencia del derecho de oposición no atendido, la cláusula que consta en las actuaciones previas de inspección no da cobertura al tratamiento de datos personales del denunciante para acciones publicitarias de terceros. Para analizar la adecuación a la norma del tratamiento realizado por TME, es preciso acudir a los principios de finalidad y consentimiento, en la medida que si bien de la cláusula analizada se extrae la posibilidad de que el cliente sea receptor de acciones comerciales, éstas han de ser de productos y servicios de la “Compañía” y no para productos de otras entidades, a saber: TME utilizó el fichero de clientes para finalidades distintas a las informadas y por tanto aceptadas, pues por mucho que tenga acuerdos comerciales con AFFINION y con su encargado de tratamiento TRASCOM, tiene que haber obtenido el consentimiento de los destinatarios de las acciones comerciales de terceras empresas. Circunstancia que no ampara la cláusula aportada al expediente. Teniendo en cuenta que TRASCOM actúa por cuenta de TME, ésta ha de ser responsable del tratamiento realizado consistente en utilizar los datos personales del denunciante en la medida de que es de sus clientes, para finalidades distintas de las aceptadas previamente y no amparadas en la citada clausula. TME a través de su encargado de tratamiento promociona productos de AFFINION, es decir, un tercero ajeno a la relación contractual entre el denunciante y TME y que es para lo único que el tratamiento basado en el apartado 2 del art. 6 de la LOPD puede obtener su cobertura. VI En atención a lo expuesto, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado, esto es, el tratamiento para recibir acciones comerciales de productos y servicios de terceros como es la compañía AFFINION INTERNACIONAL. Asimismo, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 consentimiento de las personas en las que se basa la sanción” (el subrayado es de la Agencia Española de Protección de Datos). En el caso analizado, TME reconoce el incumplimiento de lo dispuesto en el art 6 de la LOPD, y tampoco encontraría cobertura el tratamietno realizado en la cláusula aportada al efecto. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. En el presente supuesto, el control y disposición de sus datos personales por parte del denunciante amparado en la cláusula de protección de datos inserta en las Condiciones Generales del Servicio, y tras el ejercicio de oposición realizado, pierde virtualidad y eficacia, pues el tratamiento acreditado en primer lugar excede de la finalidad para la cual se otorgó inicialmente el consentimiento, y en segundo lugar, existía oposición expresa previa, suponiendo la vulneración del art. 6 de la LOPD. VII Dispone el artículo 44.3.
6. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VIII El artículo 45 de la LOPD, apartados 2,4 Y 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción.
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso se han acreditado circunstancias que permiten la aplicación del citado precepto, concretamente previstas en el apartado 5
22. a)en relación con los apartados 4e) y 4h) y el apartado d), al haber reconocido la responsabilidad en la comisión de la infracción. Por todo ello, procede imponer, la infracción cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. Para determinar la cuantía de la sanción en relación con los criterios de graduación recogidos en el apartado 4 del tan citado artículo 45, y en especial los apartados e), f,
23. g)y h), y
24. j)en relación con el reconocimiento de responsabilidad previsto en el art. 45.5 d), procede la imposición de una sanción en la cuantía de 10.000 €, atendiendo al volumen de tratamiento de datos y a la profesionalidad de la entidad, de la que es tributaria de un rigor y celo exquisito en el tratamiento de los datos personales de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
25. b)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a AFFINION INTERNATIONAL S.L., TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y a A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es