1/14 Procedimiento Nº PS/00066/2015 RESOLUCIÓN: R/02009/2015 En el procedimiento sancionador PS/00066/2015, instruido por la Agencia Española de Protección de Datos a las entidades ACCIONES Y SERVICIOS DE TELEMARKETING LEON S.L. y JAZZ TELECOM, S.A.U, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17/03/2014 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara: HECHOS DENUNCIADOS: Con fecha 06/04/2011, JAZZ TELECOM, S.A.U. (en lo sucesivo JAZZTEL) le confirma, mediante escrito, cuya copia adjunta, que han procedido a gestionar su solicitud de oposición a la utilización de sus datos con fines comerciales. No obstante, con fecha 04/03/2014, recibió en su número de teléfono ***TEL.1, contratado con JAZZTEL, una llamada publicitaria de la compañía, realizada desde el número ***TEL.2. El denunciante aporta copia del contrato suscrito con JAZZTEL, correspondiente a la línea ***TEL.1, con fecha 21/01/2011, en la que constan marcadas las opciones de NO aparecer en guías de abonados y servicio de consulta y NO aparecer en guías con fines de venta directa. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ACCIONES Y SERVICIOS DE TELEMARKETING LEON S.L. (en lo sucesivo AST) y a JAZZTEL, - Con fecha 29/12/2014, se ha verificado que los datos relativos al denunciante no constan en el repertorio de abonados “Páginas Blancas”, accesible a través de internet. Así mismo, se comprueba en la página web de la Comisión Nacional de los Mercados y la Competencia que el número de teléfono ***TEL.2, pertenece a la compañía JAZZTEL. - Con fechas 02/12/2014 y 13/01/2015, JAZZTEL ha remitido a esta Agencia la siguiente información: 1. El denunciante es cliente de JAZZTEL, con fecha de alta 10/01/2011, teniendo activo el servicio de internet y llamadas en la línea ***TEL.1. 2. Confirman la recepción en la citada línea de una llamada, con fecha 04/03/2014, desde el número ***TEL.3. 3. El titular del número ***TEL.3 es la empresa AST con domicilio en LEON (Distribuidor de JAZZTEL). 4. Según consta en sus ficheros, el número de teléfono del denunciante se encuentra marcado con la opción de no figurar en guías y también están marcados como excluidos del tratamiento con fines comerciales por parte de la compañía, con fecha 04/04/2011. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 5. El número de teléfono del denunciante (***TEL.1) no ha sido facilitado por JAZZTEL a su distribuidor AST, en los meses previos a la realización de la llamada al denunciante (aunque en escrito de 04/03/2015 manifiesta lo contrario). 6. Aportan copia impresa de parte del fichero de “Lista Robinson”, remitido a los distribuidores con fecha 14/02/2014, donde consta el número de teléfono del denunciante. - Con fecha 23/01/2014, AST ha remitido a esta Agencia la siguiente información: 1. A la fecha del escrito no constan en sus ficheros datos relativos al número de teléfono ***TEL.1. 2. No obstante, manifiestan que el rango de numeración correspondiente al número de teléfono ***TEL.1, les fue facilitado por JAZZTEL, con fecha 13/02/2014, en el marco del contrato de prestación de servicios de marketing telefónico, suscrito con fecha 25/02/2010, del que aportan copia. TERCERO: Con fecha 10/02/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a JAZZTEL y a AST por presuntas infracciones del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.00 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de AST presento escrito el 03/03/2015 si bien no formulaba alegaciones. La representación de JAZZTEL mediante escrito de fecha 04/03/2015, formuló las siguientes alegaciones: que los datos del cliente fueron excluidos del tratamiento para fines comerciales el 06/04/2011; que se le imputa la comisión de la infracción del artículo 6.1 de la LOPD por la realización de una llamada comercial; sin embargo, la responsabilidad es de AST, puesto que JAZZTELL había transmitido instrucciones precias para garantizar la exclusión de los usuarios Robinson entre los que se encontraba el teléfono del denunciante. QUINTO: Con fecha 23/03/2015 se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/04086/2014. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00066/2015 presentado por AST y por JAZTELL y la documentación que acompaña. Solicitar al denunciante copia de documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 SEXTO: En fecha 29/06/2015, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a JAZTELL por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica y se archivara a AST por supuesta infracción del artículo 6.1 de la LOPD. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de JAZTELL mediante escrito de 03/07/2015 solicitó acceso a la documentación del expediente; el 09/07/2015 la representación de la empresa se personó en la Agencia para obtener copia de la documentación solicitada. La representación de JAZTELL el 16/07/2015 presentó escrito de alegaciones reiterando las formuladas con anterioridad señalando que el responsable era AST al incumplir las instrucciones pactadas con JAZZTEL haciendo caso omiso a los ficheros recibidos, solicitando el archivo del expediente. HECHOS PROBADOS PRIMERO. Con fecha 17/03/2014 tiene entrada en esta Agencia escrito del afectado denunciando que había recibido una llamada del teléfono ***TEL.3 de índole comercial en nombre de JAZZTEL vulnerando la normativa en materia de protección de datos ya que anteriormente había ejercitado ante dicha entidad el derecho de oposición a la recepción de las mismas (folio 1). SEGUNDO. El denunciante ha aportado copia de su DNI nº ***DNI.1 (folio 3). TERCERO. JAZZTEL ha aportado copia CD donde consta la grabación de la contratación de la portabilidad de la línea de telefonía móvil asociada al número ***TEL.4 y la grabación de la contratación del servicio Pack Ahorro ADSL y móvil de los números ***TEL.1(fijo) y ***TEL.4 (móvil). También el denunciante ha aportado copia del contrato de la línea de telefonía fija asociada al número ***TEL.1 suscrita con JAZZTEL el 21/01/2011 (folios 19). CUARTO. Consta la respuesta ofrecida al denunciante por JAZZTEL el 06/04/2011 ante el ejercicio del derecho de posición en el que indica “En respuesta a su solicitud de ejercicio de su derecho de oposición donde solicita que sus datos no sean incluidos en los servicios de consulta telefónica ni en las guías de abonados, ni sean utilizados para fines comerciales de publicidad de Jazztel. Le informamos que Jazztel ha procedido a efectuar dicha gestión” (folio 4). QUINTO. JAZZTEL en escrito de 02/12/2014, en contestación al requerimiento de información de la Inspección, ha confirmado que el denunciante recibió en su línea ***TEL.1 una llamada el 04/03/2014 del número ***TEL.2, cuyo titular es la empresa AST (folio 18). SEXTO. JAZZTEL en escrito de 12/01/2014, en contestación al requerimiento de información de la Inspección, aporta impresiones de pantalla de sus sistemas informáticos en las que consta el nº ***TEL.1 excluido del Servicio de Directorio y de Cesión a Terceros; asimismo, consta que los datos del denunciante fueron excluidos del tratamiento con fines comerciales por JAZZTEL el 06/04/2011 (no recibir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 llamadas y no recibir comunicaciones postales) (folios 30 y 31). SEPTIMO. Consta Diligencia de la inspectora actuante, de fecha 30/01/2015, en la que se indica que los datos del denunciante no figuran en páginas blancas y el resultado de la consulta realizado en la página web de la Comisión Nacional de los Mercados y de la Competencia en la que figura AST como titular del nº ***TEL.2 (folios 70 y 71). OCTAVO. JAZZTEL y AST formalizaron, el 25/02/2010, en Madrid Contrato de Prestación de Servicios cuyo objeto es la prestación de servicios de marketing telefónico. Contiene cláusula de protección de datos en relación con el artículo 12 de la LOPD, ostentando AST la condición de encargado del tratamiento (folios 56 a 68). NOVENO. AST en escrito de 23/01/2015 ha manifestado que “no figuran a fecha de este escrito datos asociados a ningún fichero cuya gestión ostente AST” y que “el número de teléfono ***TEL.1, fue suministrado por la compañía JAZZTEL en el marco del precitado contrato, en la fecha del 13/02/2014” (folios 40 y 41). DECIMO. JAZZTEL en escrito de 04/03/2015 ha aportado copia de un CD donde constan los correos conteniendo los Ficheros Robinson enviados a sus distribuidores los días 14/02/2014, 03/03/2014 y 04/03/2014, conteniendo el número de teléfono del denunciante ***TEL.1. No obstante, los citados correos no acreditan que los citados ficheros fueran enviados a AST (folios 132). Además, JAZZTEL indicaba que el primer fichero se había enviado el 14/02/2014, “(un día después de la entrega a AST de una base de datos en la que aparecía el número de teléfono del denunciante)” (folio 94). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a JAZZTEL en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. JAZZTEL no ha acreditado en el procedimiento que contara con el consentimiento inequívoco del denunciante para el tratamiento de sus datos con posterioridad a su solicitud del derecho de oposición ejercitado ante la entidad para que estos no fueran incluidos en servicios de consulta telefónica, guías de abonados, ni para fines comerciales de publicidad de la compañía. Hay que señalar que en el presente supuesto, el control y disposición del denunciante sobre sus datos personales perdió toda virtualidad y eficacia ya que a pesar de solicitar su oposición al citado tratamiento, estos continuaron tratándose en contra de su expresa voluntad. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a JAZZTEL tratar los datos de la denunciante sin su consentimiento. III El artículo 6.4 de la LOPD establece una previsión general, según el cual "En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado." El artículo 17 de la LOPD, señala: "1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente. 3. No se exigirá contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación." También los artículos 34 y 35 del Reglamento de la LOPD aprobado por Real Decreto 1720/2007, determinan: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 "Artículo 34. Derecho de oposición. El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
- a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.
- b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.
- c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento. Artículo 35. Ejercicio del derecho de oposición. 1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
- a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo." En caso examinado, ha quedado acreditado que el denunciante remitió una solicitud ejercitando su derecho de oposición a JAZZTEL en la que solicitaba que sus datos no fueran incluidos en los servicios de consulta telefónica en las guías de abonados, ni utilizados para fines comerciales de publicidad de JAZZTEL y que dicha solicitud fue estimada mediante escrito de 06/04/2011, en la que se indicaba que la compañía había procedido a efectuar dicha gestión, por lo que la llamada comercial recibida el 04/03/2014 por el denunciante desde el número ***TEL.2 en nombre de JAZZTEL ofreciéndole oferta de índole comercial constituye infracción del principio de consentimiento regulado en la LOPD. Por otra parte, el art. 30 de la LOPD regula "Tratamientos con fines de publicidad y de prospección comercial. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 A este respecto establece el art. 49.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal que: "Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento." El tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el artículo 30 de la LOPD, el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público. En el supuesto examinado, los datos personales del denunciante fueron utilizados con fines publicitarios y sin su consentimiento. En el presente caso, se ha acreditado que JAZZTEL no tenía el consentimiento del denunciante y no concurre ninguno de los supuestos que dispensan éste y legitiman el tratamiento de datos denunciado, esto es, la utilización del dato personal del denunciante relativo al número de línea de telefonía para la realización de llamadas promocionales con posterioridad a la fecha en la que tales datos se registraron en el fichero propio de exclusión del denunciado. Así las cosas, el titular de los datos denunció cómo éstos son tratados en contra de su expreso deseo, lo que parece escapar del poder de "disposición y control" que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales, por cuanto sus datos personales continuaron tratándose en contra de su expresa voluntad. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: "El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa". Por ello, de conformidad con lo previsto en las normas transcritas los datos personales del denunciante debieron ser excluidos de las acciones publicitarias realizadas por el denunciado. IV En relación con la llamada comercial recibida por el denunciante el 04/03/2014 desde el número ***TEL.3, alega JAZZTEL que el citado número pertenece al distribuidor AST, que actúa en la condición de encargado del tratamiento, debiendo haber excluido el número del denunciante de las bases de datos utilizadas para la compaña comercial de JAZZTEL y no lo hizo incumpliendo las instrucciones de la compañía. Hay que señalar que la LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. También dispone el artículo 3
- g)de la LOPD, que “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales", por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento”. Y en sentencia de 17/05/2013, recurso 25/2010, señala “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento”. El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
- q)del artículo 5, señala lo siguiente: “
- q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque JAZZTEL no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 JAZZTEL ha tratado los datos del denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (AST), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada empresa quien remitió a su distribuidor el fichero conteniendo el número del denunciante para la realización de la compaña de JAZZTEL; quien decide si los datos son incorporados a su fichero y quien los trata de forma automatizada y, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. Por otra parte, también conforme al artículo 46.2
- a)del RDLOPD: "2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
- a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos". V Establece el artículo 44.3.
- b)de la LOPD que considera como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a los dispuesto en esta ley y sus disposiciones de desarrollo”. En el presente caso, se cumplen los supuestos de hecho que tipifica el precepto al resultar acreditado un tratamiento de datos personales sin el consentimiento del denunciante y sin ser aplicables las excepciones previstas en la norma. VI En segundo lugar, se imputa en el presente procedimiento a AST la vulneración del artículo 6.1 de la LOPD. Como ya se ha señalado con anterioridad el artículo 6 de la LOPD determina que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. VII No obstante, en el presente caso existen circunstancias que evidencian que no pueda considerarse lesionado el principio de consentimiento, consagrado en el artículo 6.1 de la LOPD en relación con AST. Hay que señalar que AST y JAZZTEL suscribieron en 25/02/2010 Contrato de Prestación de Servicios cuyo objeto era la prestación de servicios de marketing telefónico para la operadora de telefonía; el citado contrato contiene cláusula de protección de datos, ostentando AST la condición de encargado del tratamiento. En respuesta al requerimiento de información de los Servicios de Inspección de este centro directivo, AST en fecha 23/01/2015 manifestaba que el rango de numeración correspondiente al número de teléfono ***TEL.1, perteneciente al denunciante, fue aportado por JAZZTEL en el marco del cumplimiento del contrato de prestación de servicio en fecha 13/02/2014. Por su parte JAZZTEL en escrito de 04/03/2015 manifiesta que remite diariamente a sus distribuidores por correo electrónico el Fichero Robinson, que incluye los números de teléfono que han de ser excluidos del tratamiento con fines comerciales por parte de estos. Aporta un CD con los ficheros y correos enviados a AST. E-mails que no acreditan ni justifican la remisión de los citados ficheros a AST, señalando además que el primer fichero se había enviado el 14/02/2014, es decir, “(un día después de la entrega a AST de una base de datos en la que aparecía el número de teléfono del denunciante)” (folio 94). Por tanto, la propia operadora de telefonía reconoce que en la base de datos enviada a su encargado del tratamiento el 13/02/2014, entre los teléfonos contenidos en dicho fichero, figuraba un número de teléfono que en ningún caso debió de figurar ya que su titular había ejercitado el derecho de oposición a recibir llamadas para fines comerciales de publicidad de JAZZTEL, derecho que había sido reconocido mediante escrito de 06/04/2011, pretendiendo justificar dicho comportamiento con el envío diario de ficheros de exclusión y a pesar de que en escrito de 13/01/2015 manifestaba que “El número de teléfono ***TEL.1 no fue facilitado a AST en ninguno de los meses previos a la realización de la llamada el 4 de marzo de 2014” (folio 31). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Por tanto, hemos de considerar que la actuación de AST está exenta de responsabilidad, habiendo actuado de buena fe y en la creencia de que el fichero remitido por JAZZTEL el 13/028/2014 no contenía datos de clientes excluidos del tratamiento don fines comerciales. VIII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IOS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, JAZZTEL ha vulnerado el 6.1 al tratar los datos personales del denunciante sin su consentimiento, materializado en la llamada recibida el 04/03/2014 en su línea número ***TEL.1 procedente del número ***TEL.2; llamada que no debió producirse puesto que el denunciante había ejercitado su derecho de oposición a recibir llamadas para fines comerciales de publicidad de JAZZTEL, así como para servicios de consulta telefónica y de inclusión en guías de abonados, obteniendo respuesta confirmatoria de la compañía telefónica el 06/04/2011, por lo que su actuación ha de ser objeto de sanción. Por tanto, las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
- d)y
- e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en los siguientes apartados del artículo 45.4 de la LOPD
- c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el apartado
- d)“volumen de negocio” toda vez que se trata de una gran operadora de telefonía del país, por cuota de mercado y
- g)reincidencia por comisión de infracciones de la misma naturaleza. Hay que indicar que en el presente caso se propone imponer una sanción de 40.001 €. JAZZTEL ya ha sido sancionada por hechos similares en los Procedimientos Sancionadores PS/766/2010, PS/46/2012, PS/232/2013 y PS/233/2013 además de seguirse en la actualidad diversas Actuaciones Previas de Inspección y procedimientos sancionadores todos ellos por tratamiento de datos personales para la realización de llamadas comerciales. Por último debe subrayarse que esta Agencia sigue recibiendo denuncias por hechos similares. Todas estas circunstancias impiden aplicar la atenuante del artículo 45.5 de la LOPD. Por tanto, valorados los criterios de graduación de las sanciones tanto favorables como adversos establecidos en el artículo 45.4, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado
- d)y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 reincidencia en la comisión de infracciones similares (apartado g), se propone multa 40.001 € por la infracción del artículo 6.1 de la LOPD de las que JAZZTEL debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad JAZZ TELECOM, S.A.U, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 40.001 € (cuarenta mil un euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: ARCHIVAR a ACCIONES Y SERVICIOS DE TELEMARKETING LEON S.L., por la supuesta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. TERCERO: NOTIFICAR la presente resolución a ACCIONES Y SERVICIOS DE TELEMARKETING LEON S.L., JAZZ TELECOM, S.A.U y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es