← España

PS-00092-2016

1/56 Procedimiento Nº PS/00092/2016 RESOLUCIÓN: R/02173/2016 En el procedimiento sancionador PS/00092/2016, instruido por la Agencia Española de Protección de Datos a las entidades IMPACTING EMAIL MARKETING SOLUTIONS S.L., MARKET 360 DEGREES, S.L, SERVICIOS GLOBALES DE GESTION ONLINE S.L. y VENTASK COMUNICACIÓN E IMAGEN, S.L., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27 de marzo de 2015 tiene entrada en esta Agencia un escrito de Don A.A.A., en adelante el denunciante, denunciando a la mercantil MARKET 360 DEGREES S.L., (en adelante MARKET 360), con motivo de la recepción el día 25/03/2015, a las 11:22 horas, de una llamada telefónica en su número ***TEL.1, cuya titularidad acredita, para ofrecerle una tarjeta de crédito de “BARCLAYS”, entidad con la que no tiene ni ha tenido ninguna relación. El denunciante señala que en la llamada, realizada desde el número ***TEL.2, preguntaban por su nombre y apellidos. Aporta acreditación de inclusión de su número en la Lista Robinson de Adigital, de fecha 26/03/

  1. Aporta también acreditación de su titularidad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: Solicitada información a la operadora de telecomunicaciones que presta el servicio a la línea origen de la llamada, ***TEL.2, se verifica que la titularidad de la misma corresponde a VENTASK COMUNICACIÓN E IMAGEN S.L. Solicitada información a la operadora que presta el servicio a la del denunciante se verifica que el día 25/03/2015 a las 11:22:59 horas consta registrada una llamada realizada al número ***TEL.1 desde la línea número ***TEL.2, con una duración de 157 segundos. A) En relación con MARKET 360 DEGREES S.L., 1) Realizada una visita de inspección a MARKET 360, los representantes de la entidad efectuaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores de la Agencia Española de Protección de Datos (AEPD) actuantes: - MARKET 360 presta a terceras entidades servicios de listbroking facilitándoles ficheros de los destinatarios de las campañas para la promoción de productos o servicios de determinados sectores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/56 Para ello suscribe contratos de colaboración con sus empresas clientes mediante los cuales MARKET 360 autoriza al cliente para dirigir campañas publicitarias de marketing directo a los titulares de los datos de carácter personal incluidos en los ficheros de datos de los que MARKET 360 es responsable. En el contrato se especifica que MARKET 360 es el titular o tiene la capacidad de actuar en nombre del titular de uno o diversos ficheros de titularidad privada, ya que, a su vez, MARKET 360 se nutre de ficheros de otras entidades, para lo cual suscribe contratos al efecto. Los datos son obtenidos de los propios interesados contando con el consentimiento expreso de los mismos y habiendo sido informados de la identidad del responsable del fichero y de cómo ejercitar sus derechos ARCO. En el caso del cliente VENTASK, (denominación social SERVICIOS GLOBALES DE GESTION ONLINE, S.L.), se indica que es el propio cliente el que define los destinatarios de las campañas publicitarias. - De forma adicional se suscriben anexos a los contratos en los que se definen diversos aspectos de la campaña que se va a realizar, incluyendo las fechas en que se va a realizar la campaña, criterios de segmentación y la leyenda informativa a facilitar al usuario ( destinatarios de la publicidad). Los inspectores de la Agencia informan que al usuario en cuestión se le llamó el 25/03/2015, ante lo que el representante de la entidad aporta el Anexo suscrito en fecha 04/03/30215 para las campañas de marzo y abril de 2015, perteneciente a todos los efectos al “Contrato entre MARKET 360 DEGREES, SL y SERVICIOS GLOBALES DE GESTION ONLINE, S.L.”, de fecha 14 de enero de
  2. - Cuando un usuario solicita la baja de sus datos personales por cualquiera de los medios reseñados, la entidad le incluye en un fichero de bajas (robinsones) propio de la entidad, no borrando los datos del fichero pero quedando bloqueados para futuras campañas. Para realizar la baja es necesario que el usuario aporte su número de teléfono o email, ya que la entidad no dispone del DNI, cancelándose todos los datos asociados a ese número de teléfono o email. Además, recientemente se ha introducido un nuevo filtrado, excluyendo de las campañas, además de las personas incluidas en el fichero de bajas propio, las personas que aparecen en la lista Robinson de Adigital. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/56 2) A raíz del acceso efectuado al fichero de usuarios de la entidad inspeccionada se realizan las siguientes comprobaciones: - Se realiza la búsqueda, mediante la opción de bajas, de datos asociados al número ***TEL.1, comprobando la existencia de un registro que continúa de alta, con dirección de correo electrónico asociada .....@yahoo.es, y asociado a la base “ServicioEmpleo-PromoAhorro-Móviles” con fecha de alta 24/04/
  3. - Se realiza una búsqueda de datos asociados al número ***TEL.1 en el fichero facilitado a VENTASK con fecha 4/03/2015, encontrándose un registro con el nombre y apellidos del denunciante, su número de teléfono móvil y código postal. - Se realiza una búsqueda de datos asociados al número ***TEL.1 en el fichero de la entidad, encontrándose un registro con el nombre y apellidos del denunciante, constando número de teléfono móvil, dirección postal, fecha de nacimiento, y dirección de correo electrónico, y el código postal. - Se realiza una búsqueda de datos asociados al número ***TEL.1 en la copia de la lista Robinson de Adigital de que dispone la entidad, encontrándose un registro a nombre del denunciante, constando número de teléfono móvil ***TEL.1.”. 3) En contestación a la solicitud de información y documentación efectuada durante dicha inspección, MARKET 360 indica que la cesión de los datos del afectado por parte de IMPACTING se realizó de conformidad con la LOPD, añadiendo que el dato del correo electrónico del denunciante forma parte de los ficheros de la entidad desde el 21 de noviembre de 2014, fecha a partir de la cual ha recibido comunicaciones comerciales en nombre de MARKET 360, entre las cuales se encuentran las gestionadas por VENTASK, sin que haya solicitado la baja del servicio, a pesar de haber sido informado de sus derechos. Asimismo, junto a dicha respuesta se aporta copia del “Contrato de campaña comercial” suscrito el 6 de junio de 2014 entre MARKET 360 e IMPACTING EMAIL MARKETING SOLUTIONS, S.L., “Titular de la Base de Datos” y en adelante IMPACTING. B) En relación con SERVICIOS GLOBALES DE GESTION ONLINE, S.L. Desde la AEPD se solicitó a SERVICIOS GLOBALES DE GESTION ONLINE, S.L., en lo sucesivo SERVICIOS GLOBALES, la siguiente documentación : Copia del contrato suscrito con “BARCLAYCARD” para las campañas publicitarias a las que se refiere el anexo al contrato con MARKET 360; Especificación detallada de cada uno de los tratamientos de datos de carácter personal que esa compañía ha contratado a terceros, para la realización de la citada campaña publicitaria, incluyendo copia de los contratos suscritos para ello; Relación con la entidad VENTASK COMUNICACIÓN E IMAGEN, S.L., en adelante VENTASK, entidad emisora de las llamadas comerciales; Especificación detallada de los parámetros identificativos de los destinatarios de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/56 campaña, indicando si los mismos fueron fijados por el cliente, aportando copia de toda la documentación que pueda acreditarlo (órdenes de trabajo, etc…). En contestación a lo requerido, dicha entidad señala que VENTASK es la empresa que tiene contratada los suministros. Respecto de las entidades MARKET 360, SERVICIOS GLOBALES., BARCLAYS BANK PLC ( en adelante BARCLAYCARD), REAL FORCE y VENTASK indica que “forman parte de una serie de empresas que trabajan en común para el mismo cliente BARCLAYS BANK PLC, poniendo medios en común tanto técnicos como personales, por Io que no en ningún caso vulneran el secreto de los datos personales.” Adjuntan copias del contrato firmado entre MARKET 360 y SERVICIOS GLOBALES de fecha 14 de enero de 2015 y del Anexo al mismo de fecha 4 de marzo de
  4. Asimismo, presenta “Anexo nº IX al contrato entre de colaboración comercial entre BARCLAYS BANK PLC, SUCURSAL EN ESPAÑA (BARCLAYCARD) y REAL FORCE, S.L. firmado el 7 de mayo de 2012”. Dicho documento, de fecha 8 de julio de 2012, tiene como objeto prorrogar la vigencia del “Contrato de Colaboración Comercial“ entre ambas partes para la aprobación por BARCLAYCARD de la emisión de tarjetas de crédito a favor de personas físicas o jurídicas cuyos datos personales son comunicaciones por REAL FORCE, S.L., en los términos y condiciones pactados en el Contrato al que las partes se remiten, cuya copia no se adjunta. C) En relación con INFOEMPLEO, S.L. Solicitada a INFOEMPLEO, S.L. , en lo sucesivo INFOEMPLEO, acreditación documental del origen de los datos del afectado, sus representantes manifiestan que los datos proceden de la relación del afectado con INFOEMPLEO, toda vez que según consta en sus archivos éste se dio de alta en la plataforma web de empleo de la entidad a las 12:57 horas del día 30 de enero de
  5. Para acreditar el alta aportan un certificado de parte suscrito por el Director de INFOEMPLEO S.L. Según la entidad, el denunciante seguía de alta a fecha 12 de enero de 2016, ya que mantenía su curriculum vitae activo en la plataforma web de empleo de la entidad. Manifiestan que la acción publicitaria en cuestión no depende de INFOEMPLEO, ya que se refiere al club de ahorro gestionado por IMPACTING al que el afectado se incorporó en el año
  6. La relación entre INFOEMPLEO e IMPACTING se enmarca exclusivamente en la acción llevada a cabo en el citado año 2012 para posibilitar la adhesión al club de ahorro gestionado por IMPACTING, incluyéndose en el apartado 1.3 del Anexo I del acuerdo de esa fecha una cláusula en los envíos publicitarios de la campaña con la finalidad de recabar el consentimiento de los interesados para la cesión de sus datos a IMPACTING. Añaden que no han realizado ninguna cesión a IMPACTING con posterioridad a la ya mencionada del año
  7. También aportan copia del contenido de la creatividad del envío supuestamente remitido al afectado para recabar su consentimiento tácito a la cesión de sus datos personales al club de ahorro gestionado por IMPACTING. Dicho documento no está personalizado y su contenido es coincidente con el de la comunicación que IMPACTING ha aportado como supuestamente enviada por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/56 INFOEMPLEO al denunciante. A la vista de las fechas que aparecen en la documentación contractual, se observa que la posible infracción grave que pudiera resultar imputable a INFOEMPLEO por la cesión inconsentida de los datos del afectado a efectos publicitarios a IMPACTING se produjo, según han afirmado ambas empresas, en el transcurso del año 2012, de tal modo que estaría prescrita conforme a lo previsto en el artículo 47.1 de la LOPD al haber transcurrido más de dos años desde que se produjo la cesión hasta el presente acuerdo de inicio de procedimiento sancionador. D) En relación con IMPACTING EMAIL MARKETING SOLUTIONS, S.L. Solicitada a IMPACTING acreditación documental sobre el origen de los datos del afectado, esta entidad indica que los datos provienen de la cesión realizada desde INFOEMPLEO, S.L. en fecha 23 de octubre de
  8. Aportan copia del “Contrato de Campaña Comercial” celebrado entre IMPACTING e INFOEMPLEO, S.L. el 26 de octubre de 2012 y del “Contrato de Campaña Comercial” celebrado entre IMPACTING y MARKET 360 el 6 de junio de 2014, ya mencionados anteriormente. La cesión de los datos del afectado entre INFOEMPLEO e IMPACTING se realizó previa recopilación del consentimiento del usuario, según el procedimiento previsto en el artículo 14 del Reglamento del RD 1720/
  9. Adjuntan impresión del el comunicado original de INFOEMPLEO (folio 84) remitido al usuario el 13 de noviembre de 2012, señalando que el usuario no se expresó en contra de la cesión. Manifiestan que desde la fecha de la cesión de los datos

(2012), el usuario ha recibido comunicaciones de IMPACTING informando de los tratamientos y de la forma de darse de baja de sus servicios y comunicaciones. Informan que con fecha 21 de noviembre de 2014 se llevó a cabo la cesión de los datos del denunciante a MARKET 360 mediante el mismo procedimiento: previa comunicación al usuario para recabar su consentimiento. Al no recibir respuesta negativa por parte del usuario se procedió a la cesión de los datos del afectado a MARKET 360. Adjuntan “Contrato de Campaña Comercial” suscrito el 6 de junio de 2014 entre ambas entidades. En el presente antecedente de hecho se han omitido las transcripciones parciales de la documentación contractual citados que se efectuaron en la notificación del acuerdo de inicio del presente procedimiento a los efectos de evitar su repetición, ya que se han incorporado en los Hechos Probados números 6) 8) 11) y 12) del Antecedente de Hecho Decimosexto. TERCERO: Con fecha 18 de marzo de 2016, la Directora de la Agencia Española de Protección de Datos acordó con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RLOPD, el inicio de procedimiento sancionador a las siguientes entidades: A la mercantil IMPACTING EMAIL MARKETING SOLUCTIONS, S.L. , en adelante IMPACTING, por la presunta infracción del artículo 11.1 de la de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en su relación con lo dispuesto en el artículo 11.3 de la misma norma, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/56 tipificada como grave en el artículo 44.3.
  1. k)de la citada Ley Orgánica. A la mercantil MARKET 360 DEGREES S.L., en adelante MARKET 360, por la presunta infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. k)de la citada Ley Orgánica. A la mercantil SERVICIOS GLOBALES DE GESTIÓN ONLINE, S.L., en adelante SERVICIOS GLOBALES, por la presunta infracción del artículo 6.1 de la LOPD en su relación con lo dispuesto en los artículos 46 y 49 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Personales, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RLOPD , tipificada como grave en el artículo 44.3.
  3. b)de la citada Ley Orgánica. A la mercantil VENTAS K COMUNICACIÓN E IMAGEN, S.L., en adelante VENTAS K, por la presunta infracción a lo dispuesto en el artículo 6.1 de la LOPD en su relación con lo dispuesto en el artículo 49 del RLOPD, tipificada como grave en el artículo 44.3.
  4. b)de la citada Ley Orgánica. Con fecha 22 de marzo de 2016 se notifica dicho acuerdo a las entidades IMPACTING y MARKET 360, a las que se concede con fechas 8 y 11 de abril de 2016 ampliación de plazo para formular alegaciones en contestación a sus respectivas solicitudes en tal sentido, siendo también entregada copia de la documentación obrante en el procedimiento a fecha 11 de abril de 2016 al Administrador único de esas dos sociedades. Dicho acuerdo de inicio consta como notificado con fecha 23 de marzo de 2016 a SERVICIOS GLOBALES y con fecha 4 de abril de 2016 a VENTAS K. CUARTO: Con fecha 19 de abril de 2014 se registra de entrada escrito de alegaciones de IMPACTING, solicitando el archivo de las actuaciones al concurrir los elementos de infracción continuada previstos en 4.6 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, en adelante RPS, debiendo sancionarse las infracciones imputadas a IMPACTING en los PS/00092/2015 y en el PS/00106/2016 como una sola infracción continuada, (cesiones de datos personales efectuadas en virtud de un mismo contrato, con la misma cláusula informativa y el mismo mecanismo para recabar el consentimiento tácito del afectado y en ejecución de un único plan), añadiendo que las infracciones imputadas a IMPACTING en los citados procedimientos, así como las que puedan denunciarse en el futuro con origen en los mismos hechos, deben ser objeto de una respuesta punitiva única y no de tantas cuantos actos ilícitos se hayan cometido. - C/ Jorge Juan, 6 28001 – Madrid Añade IMPACTING ha contado con los servicios de asesoramiento jurídico y auditoria de TARSYS en materia de protección de datos prácticamente desde su constitución. IMPACTING acude a dicha Agencia para que establezca el procedimiento a seguir para efectuarse la cesión a IMPACTING de los datos personales obrantes en el fichero de un tercero y poder tratarlos después en el contexto del Club Promoahorro. TARSYS arbitró y validó el mecanismo utilizado para la cesión de datos. El esquema diseñado por dicha Agencia fue que el titular de la base de datos enviara a los usuarios de su fichero una comunicación electrónica dirigida a recabar su consentimiento tácito, de tal manera que si el destinatario del correo electrónico no se oponía en el plazo de 30 días utilizando el email de www.agpd.es sedeagpd.gob.es 7/56 baja proporcionado se entendía, al amparo del artículo 14.2 del RLOPD, que consentía a la cesión a IMPACTIG para formar parte del Club Promoahorro y recibir información comercial del mismo por cualquier sistema de comunicación, fuese o no electrónico . También dio su aprobación al contrato de campaña comercial que se firmó con INFOEMPLEO (del grupo Vocento) el 26/10/2012 y a la cláusula informativa que se remitió por correo electrónico a los usuarios para recabar su consentimiento tácito, la cual se incluía en el Anexo I del contrato. El esquema anteriormente descrito se replicó para la cesión de datos llevada a cabo por IMPACTIN a MARKET 360 en virtud del contrato firmado entre ambas empresas el 06/06/2014 en relación con los usuarios que aquella había recibido de INFOEMPLEO. La cláusula segunda de dicho contrato refleja que IMPACTING incluyó una cláusula informativa idéntica en la comunicación comercial que remitió a los usuarios seleccionados procedentes de INFOEMPLEO para recabar el consentimiento tácito de los mismos para ceder sus datos a MARKET 360 para formar parte del Club “News Club” y enviarles información comercial, incluyendo medios electrónicos. - La primera vez que IMPACTING tiene conocimiento de que el mecanismo y los textos aprobados por TARSYS no son conformes a la LOPD se produce con la notificación del acuerdo de inicio del procedimiento el 15/03/2016. No sospechaba que la cláusula incluida en el Anexo I del contrato no fuera suficiente para recabar el consentimiento tácito del usuario por no informar de los sectores específicos y concretos de los que podía recibir información comercial, ni que el consentimiento tácito no fuera supuesto legitimador para remitir comunicaciones comerciales. - Subsidiariamente, defiende como en el PS/00106/2015 la concurrencia de los hechos que justifican la aplicación de los apartados 5 y 6 del artículo 45 de la LOPD. Respecto del artículo 45.5.
  5. d)de la LOPD, y aduciendo que la infracción imputada en este expediente es la misma que la infracción continuada imputada en el PS/00106/2015 realiza el mismo reconocimiento de responsabilidad a los efectos dispuestos en el artículo 8 del REPEPOS y el mencionado artículo 45.5.
  6. d)de la LOPD que se hizo en relación con los vicios que afectaban aquel plan, lo que determina la aplicación de la escala relativa a las infracciones leves en su grado mínimo, entendiendo que el consentimiento recabado del denunciante para ceder sus datos a MARKET 360 no fue válido al no haberse informado sobre los sectores concretos y específicos sobre los que podían recibir información comercial ni sobre la actividad concreta de MARKET. En cuanto a la aplicación del apartado
  7. b)del artículo 45.5 de la LOPD indican que después de recibir la solicitud de información de la AEPD modificaron su cláusula informativa y, adicionalmente, dieron de baja los datos de la denunciante con fecha 12/11/2015 a raíz de las consultas que efectúan a la Lista Robinson de ADIGITAL. Respecto del apartado
  8. a)del artículo 45.5 de la LOPD afirman que se produce una cualificada disminución de la culpabilidad del imputado al concurrir los supuestos b), d), e),
  9. f)g),
  10. h)
  11. i)y
  12. j)del apartado 4 del artículo 45. Aducen la reducida dimensión de la empresa el reducido resultado positivo del año 2014 y el elevado resultado negativo del año 2013 que reflejan las cuentas depositadas en el Registro Mercantil , inexistencia de beneficios como consecuencia de cesión del dato del denunciante. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/56 cuanto al grado de intencionalidad, se recalca que IMPACTING siguió el criterio de TARSYS como empresa experta en prestación de servicios de consultoría legal en materia de protección de datos convencida de que el mecanismo ideado por TARSYS para recabar el consentimiento tácito de los usuarios a la cesión de sus datos era conforme a la LOPD y la LSSI, siendo dicha empresa la que aprobó el contrato el contrato de campaña comercial suscrito con MARKET 360 y redactó la cláusula informativa que se remitió a los usuarios, inexistencia de perjuicio económico. El denunciante no ha sufrido perjuicio económico a raíz de la omisión de los sectores de actividad respecto de los que podía enviársele información comercial. Inexistencia de reincidencia por la comisión de infracciones de la misma naturaleza, contando la empresa al tiempo de la ocurrencia de los hechos de procedimientos adecuados de actuación auditados por TARSYS. Concurrencia de la letra
  13. b)del artículo 45.5 de la LOPD al subsanar la irregularidad tan pronto como la advirtió, adoptando las medidas dirigidas a evitar que los datos del denunciante pudieran ser tratados ara cualquier finalidad de prospección comercial. Así, desde que recibió la notificación de la solicitud de información, ha eliminado de la base de datos con origen en el fichero de INFOEMPLEO, ha comunicado a MARKET 360 que paralice cualquier campaña iniciada sobre los datos que le fueron cedidos por IMPACTING y se abstenga en el futuro de realizarlas sobre los mismos. Adicionalmente, como consecuencia de las consultas periódicas efectuadas a la Lista Robinson de ADIGITAL, dieron de baja los datos correspondientes al denunciante el día 12/11/2015, alegando que no consultaron antes dicho fichero común de exclusión siguiendo el criterio de TARSYS al informar que con carácter general no era preceptiva tal consulta, aportando un mail del 16/10/2013 de dicha Agencia en tal sentido. - Además, de la concurrencia de los criterios del artículo 45.5 de la LOPD, concurren los requisitos
  14. a)y
  15. b)del artículo 45.6 para transformar el procedimiento sancionador en apercibimiento como sujeto responsable de la citada infracción, de acuerdo con el apartado 6 del mismo precepto. QUINTO: Con fecha 19 de abril de 2014 se registra de entrada escrito de alegaciones del representante de MARKET 360 en el que, en síntesis, aduce: - En relación con la infracción del artículo 11.1 de la LOPD afirman que no cedieron el número de teléfono del denunciante a SERVICIOS GLOBALES, sino que comunicaron al amparo del artículo 12 de la LOPD para que realizará por su cuenta una actuación comercial, lo que sustentan en los siguientes hechos: 1) El denunciante consintió la cesión de sus datos por parte de INFOEMPLEO a IMPACTING, y ésta cedió el número de teléfono del afectado a MARKET 360 al haber prestado su consentimiento tácito a dicha comunicación. Se remiten a las alegaciones de IMPACTING en las que, según manifiestan, constan acreditados los siguientes hechos: 1.1 El dato del denunciante procede, en su origen, de un fichero titularidad de INFOEMPLEO, que fue cedido a IMPACTING, en virtud del contrato suscrito entre ambas entidades en el año 2012, redactado y revisado por TARSYS, en el que se acordaba que el dato sólo se cedería si el usuario prestaba su consentimiento tácito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/56 al amparo del artículo 14.2 del RLOPD a través del envío por INFOEMPLEO de una comunicación electrónica también revisada por dicha Agencia. 1.2 En el año 2014, bajo el asesoramiento jurídico de TARSYS, se replica el mismo mecanismo para que IMPACTING cediese a MARKET 360 los datos que IMPACTING había recibido de INFOEMPLEO ( los de quienes no se habían opuesto a la cesión o dato de baja en el Club Promoahorro.) 1.3 La primera vez que conocen de la posible inadecuación de su actuación y de las deficiencias del asesoramiento prestado por TARSYS es mediante la notificación del acuerdo de inicio del procedimiento. 1.4 ) MARKET tiene contratados los servicios de la consultoría legal OBJETIVO TARSYS, SL, en lo sucesivo TARSYS, en materia de LOPD, LSSI y Ley de Conservación de Datos, empresa que ha auditado los procesos de tratamiento de datos personales y ha prestado asesoramiento legal continuo en todas las cuestiones relacionadas con dicha materia. Esta empresa asesoró a MARKET 360 en relación con el contrato que se firmó con SERVICIOS GLOBALES, indicando a MARKET 360 que para transmitir a su cliente el dato del teléfono móvil a su cliente no se precisaba el consentimiento del afectado al tratarse de un contrato de encargado de tratamiento al amparo del artículo 12 LOPD “para que SERVICIOS GLOBALES pudiera ofrecerle, por cuenta de Market 360, información comercial sobre la tarjeta Barclaycard.” , como prueban los correos cruzados entre ambas empresas y el modelo de contrato anteriores a la firma del contrato con el cliente el 14/10/2015 aportados. La condición de encargado del tratamiento de SERVICIOS GLOBALES se refleja en los términos el Expositivo I de dicho contrato, la estipulación segunda, los puntos 3.3, 3.5, 6.2, el contenido del Anexo que acompaña al contrato y que entre las obligaciones asumidas por el cliente se encuentren las establecidas por los artículos 12 de la LOPD y 21 del RLOPD. - Subsidiariamente, aducen concurrencia de los requisitos exigidos en el artículo 45.6 de la LOPD para transformar el procedimiento sancionador en un apercibimiento junto con la concurrencia significativa de los criterios
  16. a)y
  17. b)establecidos en el apartado 45.5 de la LOPD. Respecto de la aplicación del apartado
  18. b)del artículo 45.5 de la LOPD indican que subsanaron diligentemente la situación irregular tan pronto como se advirtió, de tal modo que el 12/11/2015, es decir, pocos días después de la inspección del 04/11/2015, suprimieron los datos del denunciante conforme prueba el pantallazo de baja aportado para que no continuaran tratándose. Además, paralizaron cualquier entrega de datos con origen en el contrato firmado con IMPACTING el 27/10/2014, dada la nulidad del consentimiento tácito que se haya podido recabar por no informar sobre la actividad de la cesionaria o sobre los sectores concretos de los que podían recibir información comercial. Paralelamente, alegan haber creado un comité ad hoc para desarrollar medidas correctoras concretas y preventivas a adoptar con seguimiento del proceso de implantación de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/56 Respecto de la aplicación del apartado
  19. a)del artículo 45.5 de la LOPD afirman que se produce una cualificada disminución de la culpabilidad al concurrir los supuestos b), d), e),
  20. f)g),
  21. h)
  22. i)y
  23. j)del mismo debido a que: el denunciante recibió una única llamada, MARKET 360 es una pequeña empresa , como consecuencia de la transmisión del dato no obtuvo beneficio ninguno, el importe total facturado a SERVICIOS GLOBALES para realizar la campaña de Barclaydard fue de 4.803,15 €, el reproche a efectuar es mínimo, ya que la empresa se limitó a contratar los servicios y seguir las indicaciones de TARSYS, el denunciante ha denunciado directamente ante la AEPD sin solicitar previamente la baja o reclamar ante la empresa a través de los medios ofrecidos, el denunciante no sufrió ningún perjuicio, inexistencia de reincidencia, la empresa contaba con procedimientos implantados adecuados de actuación auditados por TARSYS. Entienden que ha habido un error en la imputación al no haberse producido una cesión de datos del denunciante a un tercero sin su consentimiento, si bien señalan que a los efectos de apreciar la cualificada disminución de su culpabilidad ha de tenerse presente que en todo momento siguió el consejo profesional de TARSYS, que redactó el contrato de encargado del tratamiento firmado con SERVICIOS GLOBALES. En todo caso solicitan, cuando menos, aplicar la escala relativa a las infracciones leves en su cuantía mínima conforme a lo dispuesto en el artículo 45.5 de dicha norma. SEXTO: Con fecha 28 de abril de 2016 se registra de entrada escrito de alegaciones de VENTAS K y de SERVICIOS GLOBALES alegando ambas entidades su falta de responsabilidad en los hechos imputados, habida cuenta que MARKET 360 es titular de los ficheros y responsable de haber eliminado los datos del denunciante en el fichero, toda vez que el contrato celebrado con esa entidad el 14 de enero de 2015 se suscribió con posterioridad a la inclusión de los datos del denunciante en la Lista Robinson. SÉPTIMO: Con fecha 10 de mayo de 2016 se inicia un período de práctica de pruebas en el que se dan por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección de esta Agencia con motivo de las actuaciones previas de inspección efectuadas en el expediente E/04270/2015, las alegaciones al acuerdo de inicio PS/00092/2016 presentadas por IMPACTING , MARKET 360 , SERVICIOS GLOBALES y VENTAS K junto con la documentación que a ellas acompaña, según el caso, los documentos de Aviso Legal, Política de Privacidad” y formulario de contacto del sitio web www.promoahorro.com acompañados de impresión de la información que aparece al acceder a dicha página. 7.1 Asimismo, con esa misma fecha, se acuerda la práctica de prueba consistente en solicitar a IMPACTING contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: 1) Acreditación tanto de la fecha de envío y recepción por parte del denunciante de la comunicación electrónica remitida por INFOEMPLEO para obtener su consentimiento a la cesión de sus datos a IMPACTING con la finalidad de recibir ofertas del “Club Ventajas Promoahorro” por los medios señalados en la cláusula validada por Tarsys. Se solicita remisión de copia y cabeceras de Internet del envío dirigido al denunciante. Asimismo, deberá justificarse que éste no se opuso a dicho tratamiento utilizando la cuenta de correo electrónica facilitada a tales efectos ni se dio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/56 de baja con posterioridad; 2) Detalle de los datos de carácter personal del denunciante comunicados por INFOEMPLEO a esa empresa, con indicación de la fecha exacta de la cesión e incorporación de los mismos a sus sistemas; 3) Especificación de las medidas adoptadas por esa empresa para asegurarse del origen de la información objeto de comunicación por INFOEMPLEO, existencia de consentimiento de los titulares de los datos cedidos para su uso por terceros en campañas publicitarias a realizar por correo postal o por vía telefónica o SMS referida a productos y servicios del sector financiero, así como respecto de su obtención conforme a lo dispuesto en la LOPD y la LSSI; 4) Acreditación del envío de comunicación de bienvenida al denunciante, con copia de la misma, y aportación de prueba justificativa de su recepción por éste; Remisión de los documentos de Condiciones de Uso, Aviso Legal y Política de Privacidad vigentes en el momento del envío de las comunicaciones “Opt out” y “bienvenida” del sitio web www.promoahorro.com; 5) Acreditación tanto de la fecha de envío y recepción por parte del denunciante de la comunicación electrónica remitida por IMPACTING al denunciante para obtener su consentimiento a la cesión de sus datos a MARKET 360 para enviarle ofertas del “News Club”. Se solicita remisión de copia del envío dirigido al denunciante y de sus cabeceras de Internet. Asimismo, deberá justificarse que éste no se opuso a dicho tratamiento utilizando el enlace ofrecido a tales efectos ni se dio de baja con posterioridad; 6) Detalle de los datos de carácter personal del denunciante comunicados por IMPACTING a MARKET 360, con acreditación de la fecha exacta de la cesión; 7) Fecha de alta en el servicio Lista Robinson de ADIGITAL por esa empresa y justificación de la vigencia del mismo entre junio de 2014 y marzo de 2015; 8) Relación de esa empresa con las entidades VENTAS K , BARCLAYS BANK PLC, SUCURSAL ESPAÑA (Barclaycard), REAL FORCE, S.L. y SERVICIOS GLOBALES en relación con el desarrollo de la campaña publicitaria en la que se trataron los datos de carácter personal del afectado. 7.2 También con esa misma fecha, se acuerda la práctica de prueba consistente en solicitar a MARKET 360 contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: 1) Acreditación tanto de la fecha de envío y recepción por parte del denunciante de la comunicación electrónica remitida por IMPACTING al denunciante para obtener su consentimiento a la cesión de sus datos a MARKET 360 para enviarle ofertas del “News Club”. Se solicita remisión de copia del envío dirigido al denunciante y de sus cabeceras de Internet. Asimismo, deberá justificarse que éste no se opuso a dicho tratamiento utilizando el enlace ofrecido a tales efectos ni se dio de baja con posterioridad; 2) Acreditación de la fecha exacta en que IMPACTING cedió los datos de carácter personal del denunciante, con detalle de los mismos así como de los que fueron registrados en los sistemas de MARKET 360; 3) especificación de las medidas adoptadas por esa empresa para asegurarse de la veracidad de las manifestaciones efectuadas por IMPACTING en la estipulación 6.1 del Contrato celebrado entre ambas empresas con fecha 6 de junio de 2014. En particular respecto del origen de la información objeto de comunicación, existencia de consentimiento de los titulares de esos datos para su uso por terceros en campañas publicitarias a realizar por correo postal o por vía telefónica o SMS referida a productos y servicios del sector financiero, así como respecto de su obtención conforme a lo dispuesto en la LOPD y la LSSI; 4) Remisión de los términos y condiciones y política de privacidad asociados al alta y/o aceptación de publicidad del Club “News Club” que estaban vigentes en la fecha en la que el denunciante supuestamente consintió, la cesión de sus datos a MARKET 360 y recibió la llamada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/56 publicitaria denunciada el 25/03/2015; 5) Acreditación del tipo del relación existente entre MARKET360 y el Club “News Club”, con especificación de la naturaleza y finalidades de dicho Club; 6) Justificación de la fecha de alta del servicio Lista Robinson de ADIGITAL por esa empresa y de la vigencia del mismo en el año 2015; 7) Acreditación de que esa empresa contaba con el consentimiento del denunciante tanto para el tratamiento de sus datos de carácter personal con fines comerciales como para la cesión de los mismos a terceros con idéntica finalidad (campaña de telemarketing) ; 8) Relación mantenida por esa empresa con las entidades VENTAS K, BARCLAYS BANK PLC, SUCURSAL ESPAÑA (en adelante Barclaycard), REAL FORCE, S.L. con motivo del desarrollo de la campaña publicitaria en la que se trataron los datos de carácter personal del afectado; 9) Atendido que MARKET 360 ha alegado que SERVICIOS GLOBALES actuaba como encargado de tratamiento, se solicita:
  24. a)Remisión de la copia del contrato suscrito por MARKET 360 con Barclaycard o, en su caso con REAL FORCE, S.L. para la realización de la campaña en cuestión. En caso de tratarse de otras empresas se aportará copia del contrato en que se encarga la realización de la campaña publicitaria analizada;
  25. b)Especificación detallada de los parámetros identificativos de los destinatarios de la campaña, indicando si los mismos fueron fijados por el cliente beneficiario de la publicidad o por el responsable del tratamiento o por ambos, aportando copia de toda la documentación que pueda acreditarlo, incluidas ordenes de trabajo;
  26. c)Envío de la documentación contractual correspondiente suscrita por esa empresa con arreglo a lo dispuesto en el artículo 12 de la LOPD y artículos 20 y 21 del Reglamento de Desarrollo de dicha Ley. En particular se acreditará la existencia de autorización de MARKET 360 a SERVICIOS GLOBALES para subcontratar los tratamientos supuestamente encargados, con aportación del contrato correspondiente a dicha subcontratación;
  27. d)Remisión de copia de las facturas abonadas por esa empresa a SERVICIOS GLOBALES o, en su caso, a VENTAS K:
  28. e)remisión de copia de las facturas giradas por SERVICIOS GLOBALES con motivo de la prestación de sus servicios como encargado de tratamiento. 7.3 En idéntica fecha, se acuerda la práctica de prueba consistente en solicitar a SERVICIOS GLOBALES contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: 1) Especificación de las medidas adoptadas por SERVICIOS GLOBALES para asegurarse de la veracidad de las manifestaciones efectuadas por MARKET 360 DEGREES, S.L., en adelante MARKET 360, en la estipulación 6.1 del Contrato celebrado entre ambas empresas con fecha 14 de enero de 2015; 2) En particular respecto del origen de la información objeto de comunicación, existencia de consentimiento de los titulares de esos datos para su uso por terceros en campañas publicitarias a realizar por correo postal o por vía telefónica o SMS referida a productos y servicios del sector financiero, así como respecto de su obtención conforme a lo dispuesto en la LOPD y la LSSI; 3) Acreditación de que esa empresa contaba con el consentimiento del denunciante tanto para usar su línea móvil ***TEL.1 en campañas publicitarias de marketing directo como para la cesión de sus datos a terceros con idéntica finalidad; 4) Indicación de si esa empresa estaba dada de alta en el servicio Lista Robinson de ADIGITAL entre enero y marzo de 2015; 5) Remisión de copia íntegra del contrato, incluyendo Anexos, de colaboración comercial celebrado el 7 de mayo de 2012 entre BARCLAYS BANK PLC, SUCURSAL ESPAÑA y REAL FORCE, S.L. ; 6) Remisión de la documentación contractual suscrita por esa empresa con “BARCLAYCARD” para la realización de las campañas publicitarias a las que se refiere el Anexo de fecha 4 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/56 marzo de 2015 aportado por esa empresa durante la realización de las actuaciones previas de inspección. Asimismo, se solicita copia de las creatividades facilitadas por la entidad beneficiaria de la publicidad; 7) Especificación de la vinculación comercial o contractual existente con la entidad REAL FORCE, S.L., con aclaración del papel desempeñado por ésta en el tratamiento de los datos cedidos por MARKET 360 para la realización de la mencionada campaña de telemarketing; 8) En caso de existir relación contractual con la entidad VENTAS K se solicita aportación de copia de dicho contrato; 9) Atendido que MARKET 360 ha alegado que esa empresa actuaba como encargada del tratamiento se solicita, junto con cualquier otra documentación referente al caso estudiado, la remisión de:
  29. a)La documentación contractual correspondiente suscrita con arreglo a lo dispuesto en el artículo 12 de la LOPD y artículos 20 y 21 del Reglamento de Desarrollo de dicha Ley;
  30. b)Copia de las facturas giradas por esa empresa a MARKET 360 por la prestación de los servicios encargados;
  31. c)Copia de la documentación contractual correspondiente a la autorización de la subcontratación de los servicios con un tercero que haya podido producirse. 7.4 Igualmente, el 10 de mayo de 2016 se acuerda la práctica de prueba consistente en solicitar a VENTASK contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: 1) Copia del contrato suscrito por esa entidad, incluyendo sus Anexos, para la realización de la campaña publicitaria de telemarketing en cuyo marco esa empresa efectuó una llamada al móvil ***TEL.1 el día 25 de marzo de 2015 desde el número ***TEL.2, línea de la que esa empresa es titular, ofertando una tarjeta de crédito del Barclays Bank; 2) Especificación detallada de los parámetros identificativos de los destinatarios de la campaña, indicando si los mismos fueron fijados por el cliente, por esa empresa o por ambas. Se aportarán también las creatividades y ordenes de trabajo recibidas; 3) Origen de los datos correspondientes al número de móvil destinatario de la llamada comercial y acreditación de contar con consentimiento del titular de la citada línea para la realización de dicho tratamiento publicitario; 4) Transcripción del contenido íntegro del mensaje publicitario, en especial de la información relativa a la titularidad de los ficheros utilizados y ejercicio de los derechos ARCO; 5) Relación mantenida por esa empresa con las entidades Barclaycard, REAL FORCE, S.L., SERVICIOS GLOBALES , MARKET e IMPACTING en lo que se refiere al tratamiento publicitario realizado ; 6) Acreditación de si con anterioridad a la realización de la llamada se consultó si el denunciante estaba dado de alta en la Lista Robinson de ADIGITAL. 7.5 Con esa misma fecha se acuerda la práctica de prueba consistente en solicitar al denunciante contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: 1) Aclaración de si ha consentido el uso de sus datos personales o la cesión de los mismos para el tratamiento publicitario de sus datos vía telefónica, postal o electrónica por parte de las entidades IMPACTING, REAL FORCE, S.L., MARKET 360, SERVICIOS. o VENTASK con ofertas de servicios propios o de otras empresas de diferentes sectores de actividad; 2) Especificación de si con fecha 30 de enero de 2009 se dio de alta en la plataforma web infoempleo.com de la entidad INFOEMPLEO, S.L. y si continúa de alta en la actualidad; 3) Indicación de si ha recibido en su cuenta de correo electrónico las comunicaciones cuya copia o contenido se adjunta al presente escrito solicitando su consentimiento tácito a la cesión de sus datos personales a las empresas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/56 responsables del “Club Promoahorro” (IMPACTING) o del “Club News” ( MARKET 360), así como emails de bienvenida de dichas empresas. También se solicita si u en caso de haberlas recibido utilizó, o no, el enlace ofrecido para oponerse; 4) Expresión de si además del número de teléfono móvil ***TEL.1 ha registrado en la Lista Robinson de ADIGITAL algún otro dato de carácter personal de su titularidad (domicilio postal, línea fija de teléfono, cuenta de correo electrónico), solicitándose, en ese caso, acreditación documental de esa circunstancia y de la fecha del alta correspondiente. 7.6 En la fecha antes señalada, se acuerda la práctica de prueba consistente en solicitar a INFOEMPLEO, S.L. contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: 1) Acreditación de que el denunciante se dio de alta en la plataforma web de esa sociedad y aceptó la política de privacidad vigente en ese momento, cuya copia se requiere; 2) En relación con el contrato celebrado el 26/10/2012 con IMPACTING se solicita:
  32. a)Acreditación de la fecha del envío por INFOEMPLEO y recepción por parte del denunciante de la comunicación comercial remitida por esa empresa al correo electrónico del denunciante para obtener el consentimiento a la cesión de sus datos a IMPACTING con la finalidad de recibir ofertas del “Club Ventajas Promoahorro” por los medios señalados en el envío;
  33. b)Remisión de copia y cabeceras de Internet del envío dirigido al denunciante. Asimismo, deberá justificarse que éste no se opuso a dicho tratamiento utilizando la cuenta de correo electrónico facilitada a tales efectos ni se dio de baja con posterioridad;
  34. c)Acreditación de la fecha exacta de la cesión a IMPACTING de los datos del denunciante a raíz de la realización de la citada campaña, con detalle de los datos del afectado comunicados. 7.7 En idéntica fecha, se acuerda la práctica de prueba consistente en solicitar a REAL FORCE, S.L. contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: 1) Remisión de copia del contrato de colaboración comercial celebrado el 7 de mayo de 2012 entre BARCLAYS BANK PLC, SUCURSAL ESPAÑA y REAL FORCE, S.L., incluyendo Anexos, con el fin de establecer un marco de colaboración entre ambas partes para la aprobación por BARCLAYCARD de la emisión de tarjetas de crédito a favor de personas físicas o jurídicas cuyos datos personales eran comunicados por REAL FORCE; 2) Vinculación de esa empresa con la realización de la campaña publicitaria de telemarketing en cuyo marco se efectuó una llamada al móvil ***TEL.1 el día 25 de marzo de 2015 ofertando una tarjeta de crédito del Barclays Bank, acción publicitaria que podría estar relacionada con el desarrollo del contrato de colaboración comercial antes reseñado. Se solicita remisión de copia de la documentación contractual obrante en su poder que pudiera estar asociada a la citada campaña de telemarketing; 3) relación contractual existente entre esa empresa y las mercantiles SERVICIOS GLOBALES y VENTASK asociada a la realización de una campaña de telemarketing en marzo del año 2015 en el que el beneficiario de la publicidad era BARCLAYCARD. Se remitirá copia de los correspondientes contratos y sus Anexos; 4) Nexo comercial y/o contractual existente con MARKET 360 asociado a la reseñada campaña de telemarketing. 7.8 Con fecha 11 de mayo de 2016, C/ Jorge Juan, 6 28001 – Madrid se acuerda la práctica de prueba www.agpd.es sedeagpd.gob.es 15/56 consistente en solicitar a DIGITAL información relativa a si el denunciante estaba dado de alta en el servicio Lista Robinson. OCTAVO: Notificados todos los escritos solicitando la prácticas de las pruebas requeridas, a excepción del envío dirigido a REAL FORCE, S.L. que fue devuelto por el Servicio de Correos por “Desconocido” en el domicilio que constaba en los antecedenes del procedimiento, con fecha 27 de mayo de 2016 se registra de entrada escrito de ADIGITAL informando de un error en el nº de DNI facilitado, motivo por el cual con fecha 15 de julio de 2016 se requiere nuevamente la información solicitada correspondiente al DNI del afectado, que es contestada el 21 de julio de 2016 señalando que el denunciante consta inscrito en el Servicio de Lista Robinson desde el 26/03/2014 en el canal telefónico, teniendo desde dicha fecha inscrito el número de teléfono ***TEL.1 con la finalidad de no recibir llamadas ni SMS . NOVENO: Con fecha 27 de mayo de 2016 se registran sendos escritos de SERVICIOS GLOBALES y de VENTASK adjuntando: Contrato entre MARKET 360 y SERVICIOS GLOBALES, Anexo de colaboración comercial celebrado entre BARCLAYCARD y REAL FORCE, SL y Facturas 2015 MARKET 360 . Añaden que VENTASK, titular del número de teléfono ***TEL.2 es la empresa que tiene contratada los suministros y que las empresas mencionadas anteriormente forman parte del de una serie de empresas que trabajan en común para el mismo cliente BARCLAYS BANK PLC, poniendo medios en común tanto técnicos como personales. DÉCIMO: Tras conceder con fecha 30 de mayo de 2016 ampliación de plazo para la práctica de las pruebas requeridas, con fecha 3 de junio de 2016 se registra de entrada escrito de contestación de IMPACTING informando: Que la comunicación electrónica para obtener el consentimiento del denunciante a la cesión de sus datos con la finalidad de recibir ofertas del Club Promoahorro fue remitida por INFOEMPLEO de acuerdo con las cláusulas 2.1 y 2.3 del contrato de campaña comercial, por lo que no dispone de la documentación solicitada, sin que haya sido remitida por esa empresa a pesar de habérsela reclamado. Aportan pantallazo que registra como fecha de creación de un archivo ZIP con nombre “promoahorro.rpt.ziip” el día 24/01/2013, pero que no prueba que esa sea la fecha de comunicación de datos de INFOEMPLEO a IMPACTING. Como medidas adoptadas por IMPACTING para asegurarse del origen de la información objeto de comunicación por INFOEMPLEO se refieren al certificado emitido por INFOEMPLEO el 11/01/2016 sobre el origen de los datos del denunciante (folio 100), al asesoramiento continuo de TARSYS que estableció el mecanismo previsto para que INFOEMPLEO pudiera ceder sus datos a IMPACTING, redactó el contrato firmado entre ambas entidades y el texto de la comunicación electrónica enviada a los usuarios de la base de datos (documentos 3 al 7 aportados al escrito de alegaciones), TARSYS revisó la política de privacidad de INFOEMPLEO juzgándola suficiente por incluir los sectores de actividad de los terceros respecto de los que el usuario que se registraba en la página web www.promoahorro.es consentía la cesión de sus datos personales para la recepción de comunicaciones comerciales, informando INFOEMPLEO en la comunicación electrónica referencia a algunos de estos sectores, se adoptaron las soluciones más respetuosas con la privacidad de los usuarios y se incluyó la cláusula informativa que figuraba en el Anexo I del contrato suscrito con INFOEMPLEO, se efectuaron comprobaciones de los envíos a través de emails de prueba, entre ellos la remisión de la comunicación comercial a la dirección personal representante legal de la entidad con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/56 27/11/2012, de la que no aportan las cabeceras de Internet, y resúmenes de envío, indican que se efectuó un muestreo sobre los datos cedidos para verificar que se había llevado a cabo la comunicación electrónica respecto de los mismos, si bien no aportan justificación documental ni resultado, señalan que adjuntan las condiciones de uso, aviso legal y política de privacidad vigentes en el momento del envío de la comunicación electrónica, aunque no aparece la versión de dichos documentos utilizada. Los datos del denunciante comunicados a MARKET 360 son los que se constataron durante la inspección realizada en la sede de esta empresa de la Se remiten a los datos No disponen de la comunicación electrónica remitida por IMPACTING al denunciante para obtener su consentimiento a la cesión de sus datos a MARKET 360 para enviarle ofertas del “News Club”. En el informe del departamento técnico de IMPACTING de fecha 02/06/016 aportado figura que no habían podido localizar entre los datos relativos al envío de cesión realizado en su momento los datos de los dos denunciantes (folio 684) entendiendo “que se ha producido un fallo a la hora de traspasarlos a la plataforma de email marketing en la que se realizó dicho envío, no siendo así con el resto de usuarios de los que, si tenemos el registro de envío realizado, con esto, todo apunta a que se produjo un fallo a l ahora de cargar dichos usuarios que posteriormente se cedieron por error.” . Los datos cedidos a MARKET 360 son los que se constataron en la inspección llevada a cabo por los servicios de Inspección en las oficinas de esa empresa, adjuntando pantallazo de la exportación efectuada por IMPACTIG a favor de MARKET 360 entre el 31/08/2014 y el 30/10/2014 (folio 686). Reiteran que la empresa MIRA Y VUELA, SL, del mismo grupo de empresas que IMPACTING y MARKET 360, estaba dada de alta al servicio de Lista Robinson de Adigital entre el 20/11/2014 y el 01/121/2016, por lo que ambas pueden consultar dicha Lista. Señalan que los datos correspondientes al denunciante fueron dados de baja el día 12/11/2015, es decir, antes de tener conocimiento de la denuncia y que no mantienen ni han mantenido relación alguna con las entidades VENTAS K, Barclays Bank ni REAL FORCE, SL, información también indicada por MARKET 360 . UNDÉCIMO: Tras conceder con fecha 30 de mayo de 2016 ampliación de plazo para la práctica de las pruebas requeridas, con fecha 3 de junio de 2016 se registra de entrada escrito de contestación de MARKET informando: Que la comunicación electrónica para obtener el consentimiento del denunciante a la cesión de sus datos para recibir ofertas del Club “News Club” de MARKET 360 fue remitida por IMPACTING de acuerdo con las cláusulas 2.1 y 2.3 del contrato de campaña comercial. Señalan que IMPACTING les ha informado que no dispone de la comunicación electrónica enviada al denunciante, aunque es una circunstancia excepcional ya que la empresa ha adoptado varias medidas para asegurarse del origen de la información comunicada por IMPACTING, circunstancia facilitada por la pertenencia de ambas sociedades al mismo grupo de empresas. Reiteran el papel de TARSYS en el diseño del esquema de cesión de datos y elaboración de los contratos y cláusulas de recogida del consentimiento de los usuarios para la cesión de sus datos, primero a IMPACTING y después a MARKET 360. También redactó la política de privacidad del sitio web www.promoahorro.es de IMPACTING. Han realizado comprobaciones relativas al envío y recepción de la preceptiva comunicación electrónica habilitante de la cesión y al origen último de los datos que forman parte de la base de datos de IMPACTING para poder acreditar su falta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/56 devolución. MARKET 360 tan pronto como recibió la notificación del acuerdo de inició decidió no tratar ningún dato personal que hubiera sido cedido por IMPACTING a través del esquema diseñado por TARSYS. Indican que aportan copia de la Política de Privacidad asociada al alta y/o aceptación de publicidad del Club “News Club” vigente en la fecha en la que el denunciante consintió la cesión de sus datos y recibió la llamada publicitaria denunciada. Aportan el aviso legal y la política de privacidad del sitio web www.mailnoticias.com, cuya titularidad corresponde a MARKET 36, a través del cual los usuarios pueden solicitar el tipo de secciones de noticias con la frecuencia deseada en la dirección de correo electrónico que faciliten. Alegan que lo que han acreditado es que, de acuerdo con el contrato redactado por TARSYS y el criterio legal ofrecido por dicha entidad en los documentos adjuntados, la entrega de datos por parte de MARKET 360 a SERVICIOS GLOBALES no se hacía al amparo del artículo 11 de la LOPD sino del artículo 12 de la LOPD, ya que según las explicaciones ofrecidas por TARSYS y las estipulaciones incluidas en el contrato, SERVICIOS GLOBALES sólo podía tratar los datos por cuenta de MARKET 360 y con la finalidad descrita en el Anexo (folio 46) : campaña de telemarketing a llevar a cabo en el plazo de dos meses para ofrecer información sobre la tarjeta de crédito de Barclaycard, entidad la beneficiaria de la publicidad. En todo caso, aunque repite que reconoce su responsabilidad en la infracción imputada, recalca que siempre siguió el consejo profesional de TARSYS, empresa que redactó el contrato de encargado del tratamiento que firmó con SERVICIOS GLOBALES. Adjuntan la única factura emitida a dicha empresa. DUODÉCIMO: Con fecha 17 de junio de 2016 se registra de entrada contestación de INFOEMPLEO señalando que el denunciante se dio de alta en la plataforma web de esa empresa el 30 de enero de 2009, facilitando sus datos personales y aceptando la Política de Privacidad vigente en aquel momento. El denunciante sigue siendo usuario activo de la plataforma de esa empresa en la actualidad. INFOEMPLEO remitió al denunciante con fecha 13 de noviembre de 2012 el correo electrónico por el que se le ofrecía la posibilidad de incorporarse al Club de ahorro gestionado por IMPACTING con los textos específicos requeridos por esa empresa para posibilitar la cesión, adjuntando copia de la creatividad del envío. Dicha persona no se opuso a la cesión a través de los mecanismos puestos a su alcance ni en el plazo concedido al afecto, por lo que en enero de 2013 se facilitó a IMPACTING los datos del afectado. No consta que con posterioridad se opusiera a dicha cesión o revocase su consentimiento. Adjuntan certificación de fecha 16 de junio de 2016 del Director de esa empresa certificando que el denunciante se dio de alta en su plataforma web de empleo en fecha 30/01/2009 según consta en sus archivos, y que la Política de Privacidad aceptada por el usuario el 30/01/2009 fue la que se adjunta al certificado. También certifica que INFOEMPLEO remitió al denunciante en fecha 13/11/2012 un correo electrónico por el que le ofrecía la posibilidad de incorporarse al club de ahorro gestionado por IMPACTING, sin que conste en sus ficheros que el usuario se opusiera al tratamiento ni que se diera de baja con posterioridad. DECIMOTERCERO: Con fecha 15 de julio de 2016 se incorpora al procedimiento impresión de la siguiente documentación obtenida en Internet : C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/56 - Documento de “Política de http://www.promoahorro.com Privacidad” de la página web Documento de “Aviso Legal” de la página web http://www.mailnoticias.com - Documento de “Política de Privacidad” de la página http://www.infoempleo.com y del formulario de alta. web DECIMOCUARTO: Con fecha 8 de agosto de 2016 se registran de entrada sendos escritos de SERVICIOS GLOBALES y de VENTASK indicando que en la base de datos de la empresa MARKET 360 aparece el número de teléfono ***TEL.1. Aportan captura de pantalla en la que aparece dicho número de línea. Añaden que dicha empresa en ningún momento ha procedido al borrado del número referenciado, ni se les ha comunicado por escrito o verbalmente la anulación o rectificación del fichero. DECIMOQUNTO: Con fecha 11 de agosto de 2016 se incorpora al procedimiento impresión del Aviso Legal del sitio web wwww.servicioempleo.com y de la página inicio del sitio web wwww.market 360.es DECIMOSEXTO: Con fecha 22 de agosto de 2016 se formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se sancionase A IMPACTING EMAIL MARKETING SOLUTIONS, S.L., con multa de 10.000 € (Diez mil euros) por la infracción del artículo 11.1 de la LOPD en su relación con lo dispuesto en el artículo 11.3 de la misma norma, tipificada como grave en el artículo 44.3.
  35. k)de dicha norma, con arreglo a lo previsto en el artículo 45.1, 2, 4 y 5 de la citada LOPD. A MARKET 360 DEGREES S.L con multa de 10.000 € (Diez mil euros) por la infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. k)de dicha norma, con arreglo a lo previsto en el artículo 45.1, 2, 4 y 5 de la citada LOPD. A SERVICIOS GLOBALES DE GESTIÓN ONLINE, S.L. con multa de 5.000 € (Cinco mil euros) por la infracción del artículo 6.1 de la LOPD, en su relación con lo dispuesto en el artículo 49 del RLOPD, tipificada como grave en el artículo 44.3b) de dicha norma, con arreglo a lo previsto en el artículo 45.1, 2, 4 y 5 de la citada LOPD. A VENTASK COUNICACIÓN E IMAGEN, S.L. con multa de 5.000 € (Cinco mil euros) por la infracción del artículo 6.1 de la LOPD, en su relación con lo dispuesto en el artículo 49 del RLOPD, tipificada como grave en el artículo 44.3b) de dicha norma, con arreglo a lo previsto en el artículo 45.1, 2, 4 y 5 de la citada LOPD. La citada propuesta de resolución consta como notificada a las entidades IMPACTING, MARKET 360, SERVICIOS GLOBALES con fecha 23 de agosto de 2016 y a la entidad VENTASK con fecha 24 de agosto de 2016. Con fecha 9 de septiembre de 2016, se recibió escrito de las entidades IMPACTING y MARKET 360, de alegaciones a la propuesta de resolución, en el que reproducen sus alegaciones a la apertura del procedimiento. En relación con la graduación de la multa, ambos escritos exponen los mismos argumentos de forma literal. En concreto, señalan que la propuesta no valora debidamente las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/56 que se declaran concurrentes, como la regularización llevada a cabo y la falta de intencionalidad; y que no se aprecian como atenuantes otras que concurren en este caso, como son el volumen de negocio de la entidad (sus resultados de explotación en 2014 reflejan pérdidas), la ausencia de perjuicios y que no ha existido falta de diligencia. HECHOS PROBADOS PRIMERO: Con fecha 27 de marzo de 2015 se registra de entrada en la AEPD escrito del denunciante comunicando la recepción, el día 25 de marzo de 2015, de una llamada publicitaria en su línea de teléfono móvil ***TEL.1 procedente de la línea ***TEL.2 , en la que le ofrecieron una tarjeta de crédito de la entidad “BARCLAYS”, sociedad la que no tiene ni ha tenido ninguna relación. El denunciante señala que el llamante conocía su nombre y apellidos. (folios 1 y 2 ) SEGUNDO: En los registros de ORANGE ESPAÑA VIRTUAL, S.L., operador que presta servicio al denunciante, consta que a las 11:22:59 horas del día 25/03/2015 se recibió una llamada en la línea de teléfono número ***TEL.1 proveniente de la línea número ***TEL.2, con una duración de 157 segundos. (folios 23 y 24) TERCERO: La entidad VENTASK COMUNICACIÓN E IMAGEN, S.L. es titular del número de línea ***TEL.2 desde el que se realizó la llamada telefónica publicitaria al número de línea ***TEL.1. (folio 27) CUARTO: El número de teléfono móvil ***TEL.1 consta registrado en el Servicio de Lista Robinson de ADIGITAL desde el 26 de marzo de 2014 con la finalidad de no recibir llamadas ni SMS. (folios 4 y 863) QUINTO: Durante la inspección realizada el 4 de noviembre de 2015 por los Servicios de Inspección de esta Agencia en la sede de MARKET 360 DEGREES, S.L. se constató: 5.1 Que en los sistemas de la entidad figuraba la siguiente información de carácter personal asociada al número ***TEL.1 : - En el fichero de Bajas Usuarios figuraba un registro sin dar de baja con la dirección de correo electrónico : .....@yahoo.es (folios 37 y 47) - En el fichero facilitado a SERVICIOS GLOBALES con fecha 04/03/2015 consta un registro a nombre de A.A.A. junto con su número de teléfono móvil y código postal (folios 37 y 48) 5.2 Que en la copia de la Lista Robinson de ADIGITAL disponible en la entidad consta un registro a nombre del denunciante asociado a su número de teléfono móvil (folios 38 y 50) SEXTO: Con fecha 26 de octubre de 2012 se suscribe “Contrato de Campaña Comercial” entre INFOEMPLEO, S.L., como “Titular de la Base de Datos” y la entidad IMPACTING EMAIL MARKETING SOLUTIONS, S.L, en el contrato IMPACTING. En dicho contrato las partes: “ EXPONEN I.- Que el Titular de la Base de Datos es una compañía que se dedica, entre otras actividades, al tratamiento de datos personales con fines de publicidad y de prospección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/56 comercial así como a la creación, tratamiento y gestión de ficheros de datos personales con plena sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, "LOPD"), y demás disposiciones que la desarrollan, disponiendo para ello de la organización v medios técnicos y humanos necesarios y suficientes. II.- Que en particular, el Titular de la Base de Datos dispone del siguiente fichero de datos personales., denominado Candidatos inscrito en el Registro General de la Agencia Española de Protección de Datos, (en adelante, el "Fichero"). III.- Que según manifiesta y garantiza el Titular de la Base de Datos, los datos contenidos en dicho Fichero han sido obtenidos de los propios interesados y/o con su consentimiento a través de la cumplimentación on line/off line de formularios, conforme a las exigencias previstas en la LOPD y el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007 de 21 de diciembre (en adelante, el "Reglamento"), en particular, aunque sin ánimo limitativo, en relación con la posibilidad de que sus datos se utilicen para realizar campañas publicitarias de información de productos y servicios de terceros, incluyendo campañas a realizar por medios electrónicos conforme a lo dispuesto en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, "LSSI"). III.- Que IMPACTING es una sociedad cuya actividad principal consiste en prestación de diversos servicios relacionados con diversos ficheros/bases de datos para acciones de marketing directo de direcciones, y está interesada en la realización de una campaña comercial para la presentación del "Club Promoahorro". (…) CLAUSULAS PRIMERA.-OBJETO 1.1. Constituye el objeto del presente contrato la realización por parte del Titular de la Base de Datos, por su cuenta y riesgo pero en interés de IMPACTING, de una campaña publicitaria en el ámbito del territorio español, consistente en la remisión mediante comunicación electrónica, de información relativa al "Club ventajas Promoahorro" utilizando a tal fin en forma no exclusiva, al conjunto de registros obrantes en el Fichero titularidad del Titular de la Base de Datos al que se ha hecho referencia en el anterior Expositivo II (en adelante, la "Campaña"). En virtud de dicha Campaña, el Titular de la Base de Datos se compromete a recabar el consentimiento válido e informado de los interesados para la cesión de sus datos a IMPACTING en los términos y condiciones descritos en el ANEXO I. 12.Los registros, formados cada uno de ellos por el nombre, apellidos, sexo, fecha nacimiento, dirección, población, Provincia, cp, e-mail, Móvil, Teléfono y categoría laboral, de los destinatarios de la Campaña, conforme se desglosa en el ANEXO I, se destinarán para la realización de la Campaña, que se iniciará el 26 de Octubre del 2012, finalizando el 04 de Noviembre del 2012 (…) SEGUNDA.- TRATAMIENTO DE LOS DATOS (…) 2.3 Como consecuencia de la operativa de la Campaña, los registros no pasarán en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/56 ningún momento durante la realización de la misma, a estar en posesión de IMPACTING ni se le revelará dato de carácter personal alguno y por consiguiente IMPACTING no tendrá conocimiento ni acceso material a los datos personales de los destinatarios de la Campaña. Consecuentemente, IMPACTING no llevará a cabo tratamiento alguno de los datos de carácter personal obrantes en el fichero del Titular de la Base de Datos. IMPACTING únicamente tendrá acceso y sólo introducirá en su ficheros los datos (
  37. i)de las personas que respondan a la Campaña y se interesen por el "Club ventajas Promoahorro" y, a tal efecto, soliciten su adhesión al mismo; y (
  38. ii)los datos de las personas que, una vez finalizada la Campaña hayan consentido la cesión de sus datos a IMPACTING en los términos y plazos descritos en el ANEXO 1. (…) En el Anexo I se estipula: “ANEXO I 1.1 .-Contenido del Fichero: {el nombre, apellidos, sexo, fecha nacimiento, dirección, población, Provincia, cp, e-mail, Móvil, Teléfono y categoría laboral } 1.2.- Calendario de la Campaña: La campaña se iniciará el iniciará el 26 de Octubre del 2012, finalizando el 04 de Noviembre del 2012. 1. 3 (…) En todos los envíos publicitarios de la Campaña deberá incluirse la siguiente cláusula de forma claramente visible, con la finalidad de recabar el consentimiento informado y válido de los interesados para la cesión de sus datos a IMPACTING. "El club Promoahorro pertenece y es gestionado por Impacting, Email Marketing Solutions, S.L con cif B******* y domicilio en Calle (C/...1)Madrid. Para que puedas beneficiarte de las ventajas de este club, y salvo que nos indiques lo contrario, procederemos a la cesión de tus datos a Impacting, Email Marketing Solutions, S.L con la finalidad de que puedas formar parte del Club Promoahorro, y de este modo, esta compañía te remita información comercial {incluyendo la newsletter electrónica) sobre sus actividades y servicios, por vía postal, correo electrónico, SMS, o cualquier otro medio de comunicación electrónica equivalente.. La cesión de tus datos no se producirá hasta transcurridos 30 días desde la recepción de la presente comunicación, plazo durante el cual puedes comunicarnos tu oposición a la misma a través de la siguiente dirección de correo electrónica: atencioncliente@'infoempleo.com. 1.4.- Finalización de la Campaña: Transcurridos 45 días de la fecha de envío de la Campaña, el Titular de la Base de Datos facilitará a IMPACTING únicamente los datos de aquellos usuarios que no hayan manifestado su oposición a la cesión de sus datos por cualquier medio.” (El subrayado es de la AEPD) SÉPTIMO: Los datos personales del denunciante que constan en los ficheros de IMPACTING le fueron cedidos por INFOEMPLEO, S.L. en virtud del reseñado “Contrato de campaña comercial” firmado entre ambas partes con fecha 26 de octubre de 2012. (folio 526) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/56 OCTAVO: Con fecha 6 de junio de 2014 se celebra “Contrato de campaña comercial” entre IMPACTING, “Titular de la Base de Datos” en el contrato y MARKET 360, en el que las partes EXPONEN (folios 85 al 94) “I.- Que el Titular de la Base de Datos es una compañía que se dedica, entre otras actividades, al tratamiento de datos personales con fines de publicidad y de prospección comercial así como a la creación, tratamiento y gestión de ficheros de datos personales con plena sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, "LOPD"), y demás disposiciones que la desarrollan, disponiendo para ello de la organización y medios técnicos y humanos necesarios y suficientes. II.- Que en particular, el Titular de la Base de Datos dispone del siguiente fichero de datos personales, denominado "Usuarios" inscrito en el Registro General de la Agencia Española de Protección de Datos, (en adelante, el "Fichero"). III.- Que según manifiesta y garantiza el Titular de la Base de Datos, los datos contenidos en dicho Fichero han sido obtenidos de los propios interesados y/o con su consentimiento a través de la cumplimentación on line/off line de formularios, conforme a las exigencias previstas en la LOPD y el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007 de 21 de diciembre (en adelante, el "Reglamento"), en particular, aunque sin ánimo limitativo, en relación con la posibilidad de que sus datos se utilicen para realizar campañas publicitarias de información de productos y servicios de terceros, incluyendo campañas a realizar por medios electrónicos conforme a lo dispuesto en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, "LSSI"). III.- Que MARKET 360 es una sociedad cuya actividad principal consiste en prestación de diversos servicios relacionados con diversos ficheros/bases de datos para acciones de marketing directo de direcciones, y está interesada en la realización de una campaña comercial para la presentación del Club "News Club"". (…) CLAUSULAS PRIMERA.-OBTETO 1.1. Constituye el objeto del presente contrato la realización por parte del Titular de la Base de Datos, por su cuenta y riesgo pero en interés de MARKET 360, de una campaña publicitaria en el ámbito del territorio español, consistente en la remisión mediante comunicación electrónica, de información relativa al Club "News Club" utilizando a tal fin en forma no exclusiva, al conjunto de registros obrantes en el Fichero titularidad del Titular de la Base de Datos al que se ha hecho referencia en el anterior Expositivo II (en adelante, la "Campaña"). En virtud de dicha Campaña, el Titular de la Base de Datos se compromete a recabar el consentimiento válido e informado de los interesados para la cesión de sus datos a MARKET 360 en los términos y condiciones descritos en el ANEXO I. 12.Los registros, formados cada uno de ellos por el nombre, apellidos, sexo, fecha nacimiento, dirección, población, Provincia, cp, e-mail y Móvil, Teléfono, de los destinatarios de la Campaña, conforme se desglosa en el ANEXO I, se destinarán para la realización de la Campaña, que se iniciará el 15 de Octubre del 2012, finalizando el 29 de Octubre del 2012 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/56 13.El Titular de la Base de Datos, como Responsable del Fichero o Tratamiento del que provienen los registros, se reserva la propiedad sobre el mismo, pudiendo utilizar la información contenida en el mismo cuantas veces estime conveniente. 14.El plazo, ámbito, términos y demás condiciones relativas a la Campaña son asimismo los previstos en el ANEXO I del presente contrato. SEGUNDA.- TRATAMIENTO DE LOS DATOS 21El Titular de la Base de Datos, como responsable y titular del fichero y tratamiento de los datos de carácter personal, se encargará de realizar directamente, o contratando los servicios de una empresa especializada bajo su exclusiva responsabilidad, las acciones necesarias para la realización del envío publicitario de la Campaña de MARKET 360. 22(…) 23Como consecuencia de la operativa de la Campaña los registros no pasarán en ningún momento durante la realización de la misma, a estar en posesión de MARKET 360 ni se le revelará dato de carácter personal alguno y por consiguiente MARKET 360 no tendrá conocimiento ni acceso material a los datos personales de los destinatarios de la Campaña. Consecuentemente, MARKET 360 no llevará a cabo tratamiento alguno de los datos de carácter personal obrantes en el fichero del Titular de la Base de Datos MARKET 360 únicamente tendrá acceso y sólo introducirá en sus ficheros los datos (
  39. i)de las personas que respondan a la Campaña y se interesen por el Club “News Club” y, a tal efecto, soliciten su adhesión al mismo; y(
  40. ii)los datos de las personas que, una vez finalizada la Campaña hayan consentido la cesión de sus datos a MARKET 360 en los términos y plazos descritos en el ANEXO I (…) SEXTA.- OBLIGACIONES Y RESPONSABILIDADES DE LAS PARTES EN MATERIA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. 6.1 Obligaciones y responsabilidades del Titular de la Base de Datos. 6.11El Titular de la Base de Datos manifiesta estar al corriente en cuanto a la totalidad de las obligaciones de la normativa relativa a la protección de datos personales. (…) 6.12En su consecuencia, el Titular de la Base de Datos, garantiza, respecto de dicho Fichero que; - los datos que lo integran se han obtenido de manera lícita de los propios interesados y con su consentimiento informado tanto para el tratamiento como para el uso que se pretende realizar de los mismos por virtud del presente Contrato. Por consiguiente, el Titular de la Base de Datos garantiza disponer del consentimiento informado para que los datos sean utilizados para realizar campañas publicitarias de información de productos y servicios de terceras empresas, incluyendo campañas a realizar por medios electrónicos conforme a lo dispuesto en la LSSI y la normativa sobre protección de datos de carácter personal; - los datos de carácter personal que integran dicho Fichero son exactos, veraces y se encuentran y encontrarán actualizados en el momento de realizar el envío publicitario de la Campaña; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/56 - los datos que lo integran y que serán los utilizados para el envío promocional de la Campaña serán los adecuados y pertinentes en relación con la finalidad para la que han sido recogidos; - ha cumplido y cumple con los requisitos establecidos por la normativa de protección de datos de carácter personal en relación al ejercicio de derechos de acceso, rectificación, cancelación y oposición y, específicamente con lo dispuesto en los capítulos I a IV del Título III del Reglamento y en particular las exigencias respecto al derecho de oposición según lo dispuesto en el artículo 51 del Reglamento; - se da cumplimiento a lo dispuesto en los artículos 45 y siguientes del Reglamento que establecen los requisitos que se deben garantizar para llevar a cabo tratamientos para actividades de publicidad y prospección comercial. - se consultan periódicamente los Ficheros comunes de exclusión del envío de comunicaciones comerciales a fin de evitar que sean objeto de tratamiento datos de usuarios que hubieran manifestado su oposición o negativa al tratamiento de sus datos. - (…) - - únicamente facilitará a MARKET 360 los datos de aquellos interesados que, en los plazos y términos establecidos en el ANEXO I, no hayan manifestado su oposición por cualquier medio a la cesión de sus datos a MARKET 360 con la finalidad de participar en el Club "News Club" (El subrayado es de la AEPD) En el Anexo I del citado contrato se especifica:“ANEXO I 1.1 .-Contenido del Fichero: { el nombre, apellidos, sexo, fecha nacimiento, dirección, población, Provincia, cp, e-mail y Móvil, Teléfono} 1.2.- Calendario de la Campaña: La campaña se iniciará el iniciará el 7 de junió del 2014, finalizando el 14 de Junio del 2014. 1.3.- Realización de la Campaña: El Titular de la Base de Datos se compromete a realizar, durante el calendario de la Campaña, el 7 de junio del 2014, finalizando el 14 de Junio del 2014, envíos publicitarios a los integrantes del Fichero que hayan manifestado su interés en los sectores Formación, selección, Ocio, Outlets, Financiero, Editorial, Educación, Automoción, ONG, Telecomunicaciones, Consultaría, Energía, Medicina, Textil, Hogar, Higiene, Salud, Belleza, Cuidado Personal, Mobiliario, Alimentación, Coleccionismo, Música, Vídeos, Pasatiempos, Material de Oficina, Informática, Tecnología, Viajes, loyería, Droguería y limpieza. Seguros, al que se dedica MARKET 360, y que hayan otorgado su consentimiento válido e informado para el tratamiento de sus datos con fines comerciales y, especialmente, para que sus datos sean Utilizados para el envió por medios electrónicos de información sobre productos v servicios de terceras empresas del sectores Formación, selección, Ocio, Outlets. Financiero, Editorial, Educación, Automoción, ONG, Telecomunicaciones, Consultoría, Energía, Medicina, Textil, Hogar, Higiene, Salud, Belleza. Cuidado Personal, Mobiliario, Alimentación, Coleccionismo, Música, Vídeos, Pasatiempos, Material de Oficina, Informática, Tecnología, Viajes, Joyería, Droguería y Limpieza, Seguros. A este fin, MARKET 360 facilitara las creatividades que utilizará el Titular de la Base de Datos para la realización de la Campaña. Cualquier modificación en las mismas deberá ser autorizada por MARKET 360, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/56 En todos los envíos publicitarios de la Campaña deberá incluirse la siguiente cláusula de forma claramente visible, con la finalidad de recabar el consentimiento informado y válido de los interesados para la cesión de sus datos a MARKET 360. "El Club "News Club" pertenece y es gestionado por MARKET 360 DEGREES S.L. con CIF B******* y domicilio en Calle (C/...1) Madrid. Para que puedas beneficiarte de los ventajas de este club, y salvo que nos indiques lo contrario, procederemos a la cesión de tus datos a MARKET 360, S.L. con la finalidad de que puedas formal parte del Club "News Club", y de este modo, esta compañía te remita Información comercial (incluyendo la newsletter electrónica) sobre sus actividades y servicios, por vía postal, telefónica, correo electrónico, SMS, o cualquier otro medio de comunicación electrónica equivalente.. La cesión de tus datos no se producirá hasta transcurridos 30 días desde la recepción de la presente comunicación, plazo durante el cual puedes comunicamos tu oposición a la misma a través de la siguiente dirección de correo electrónica: bajas@..... 1.4.- Finalización de la Campaña: Transcurridos 45 días de la fecha de envío de la Campaña, el Titular de la Base de Dalos facilitará a MARKET 360 únicamente los datos de aquellos usuarios que no hayan manifestado su oposición a la cesión de sus datos por cualquier medio. (…)” El subrayado es de la AEPD NOVENO: IMPACTING cedió a MARKET 360 en virtud del “Contrato de campaña comercial” suscrito el 6 de junio de 2014 los siguientes datos del denunciante con fecha 11 de septiembre de 2014, los cuales fueron incluidos en el fichero titularidad de MARKET 360: (folios 37, 49, 668 y 685). Nombre y apellidos: A.A.A. Email: .....@yahoo.es Dirección postal: (C/...2) Municipio: ***MUNICIPIO.1 Código Postal ***CP.1 Móvil 1: ***TEL.1 Fecha de nacimiento: DD/MM/AA DÉCIMO: IMPACTING ha indicado a esta Agencia que no ha podido localizar el registro del envío correspondiente al email .....@yahoo.es del denunciante entre los datos de los usuarios a los que se recabó su consentimiento tácito a la cesión de sus datos a MARKET 360 con la finalidad de enviar información comercial sobre las actividades y servicios del Club “News Club” .(folios 667 y 684) UNDÉCIMO: Con fecha 14 de enero de 2015 se suscribe “Contrato entre MARKET 360 DEGREES, S.L. y SERVICIOS GLOBALES DE GESTIÓN ONLINE S.L.,” citados en el mismo como Market 360 y el CLIENTE, respectivamente, en el que las partes MANIFIESTAN: (folios 39 al 45) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/56 “I.- Que Market360, es titular o tiene la capacidad de actuar en nombre del titular de uno o diversos ficheros de titularidad privada inscritos en el Registro de la Agencia Española de Protección de Datos y que los datos contenidos en dichos Ficheros han sido obtenidos de los propios interesados y/o con su consentimiento expreso habiendo sido informados de la identidad del responsable del fichero y de la finalidad del tratamiento de sus datos en los términos establecidos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD) y Real Decreto 1720/2007 de 21 de diciembre por el que se aprueba el Reglamento de ^Desarrollo de la LOPD (en adelante RLOPD), y de la posibilidad de que sus datos se utilicen para realizar campañas publicitarias de información de productos y servicios de terceros agentes del sector financiero, incluyendo campañas a realizar por medios electrónicos conforme a lo dispuesto en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y en la Ley 32/2003, de 3 de noviembre, y General de Telecomunicaciones (en adelante, LGT). II.- Que EL CLIENTE, tiene por objeto la promoción de productos financieros. III.- Que el CLIENTE tiene interés en la promoción de sus productos y/o servicios mediante la realización de campañas publicitarias a determinado número de personas cuyos datos obran en los Ficheros descritos. A tal efecto acuerdan suscribir el presente Contrato Marco de colaboración, todo ello de conformidad con las siguientes ESTIPULACIONES: (…) SEGUNDA. - OBJETO DEL PRESENTE CONTRATO MARCO Constituye el objeto del presente Contrato Marco establecer las bases y condiciones con arreglo a las cuales Market360 (el Responsable del Fichero) autoriza, como encargado de tratamiento y cede, de forma no exclusiva y dentro del territorio español, a EL CLIENTE para el tratamiento de datos y la gestión de campañas publicitarias de marketing directo a los titulares de los datos de carácter personal incluidos en los Ficheros de Datos, de los que Market360 es responsable mediante correo postal, comunicaciones telefónicas o envíos SMS. TERCERA.- REALIZACIÓN DE LA CAMPANA DEL CLIENTE 3.1 El CLIENTE definirá los destinatarios finales de las campañas publicitarias (en adelante, los "Destinatarios"), informando de la segmentación específica a la que desea enviar su publicidad respetándose, en todo caso, el número de registros acordados para cada concreta Campaña según se define en el ANEXO I. 32.Market 360 realizará la entrega de los registros segmentados de los Ficheros directamente al CLIENTE, en la forma, lugar y condiciones que en cada momento se determine. 33.El CLIENTE llevará a cabo la campaña de promoción de sus productos o servicios de acuerdo con lo establecido en el ANEXO, que define los medios de comunicación autorizados a utilizar por el CLIENTE, el número de actuaciones realizadas y la duración. 34.El CLIENTE expresamente se compromete a hacer constar, de forma clara y comprensible, en los mensajes publicitarios que se remitan a los destinatarios de la campaña publicitaria objeto de este contrato de un medio sencillo y gratuito para garantizar la baja. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/56 3.45. Como consecuencia de la operativa detallada en la presente cláusula, los registros segmentados no pasarán, en ningún momento, a ser propiedad del CLIENTE, llevando a cabo tratamiento de los datos de carácter personal obrantes en el fichero de Market360 únicamente como Encargado de Tratamiento para sus campañas publicitarias definidas y delimitadas por este contrato. 3.6 El CLIENTE, únicamente introducirá en su fichero de clientes los datos de las personas que respondan a su campaña y se interesen por sus productos y/o servicios y, a tal efecto, le soliciten directamente, por cualquier medio, la formalización de un pedido o la solicitud de información adicional y presten su consentimiento inequívoco e informado para la inclusión en el fichero. (…) SEXTA.- DISPOSICIONES DE LA LEY DE PROTECCIÓN DE DATOS. 6.1 Obligaciones del Market360. El Market360 declara actuar y se compromete a cumplir conforme a los principios establecidos por la legislación vigente en materia de protección de datos personales y, en concreto, por la LOPD y RLOPD, la LSSI y la LGT, respondiendo frente a terceros y frente a EL CLIENTE de cualesquiera daños y perjuicios, incluidas sanciones impuestas por la Agencia Española de Protección de Datos u organismo que la sustituya, derivados de incumplimientos en materia de protección de datos, telecomunicaciones o servicios de la sociedad de la información en lo relativo al origen de los datos, la finalidad autorizada por parte de los afectados y - en caso de que lleve a cabo por su cuenta la comunicación de la campaña - de la corrección del proceso y medidas aplicadas. Específicamente, Market360 garantiza: Que los datos de carácter personal contenidos en sus bases de datos (
  41. a)figuran en alguna de las fuentes accesibles al público a las que se refiere la letra
  42. j)del artículo 3 de LOPD y el artículo 7 del RLOPD y que los usuarios no han manifestado su negativa u oposición a que sus datos sean utilizados para fines de publicidad y prospección comercial o (
  43. b)que han sido facilitados u obtenidos por los propios titulares de los datos con su consentimiento para finalidades explícitas y legítimas relacionadas con la actividad de publicidad y prospección comercial, habiendo informado a los usuarios sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad de los productos de terceras Market360. - Que se consultan periódicamente los Ficheros comunes de exclusión del envío de comunicaciones comerciales a fin de evitar que sean objeto de tratamiento datos de usuarios que hubieran manifestado su oposición o negativa al tratamiento de sus datos. Que los datos de carácter personal contenidos en sus bases de datos han sido obtenidos de los propios interesados y/o con su consentimiento expreso, habiendo sido informados, del responsable del fichero, de la finalidad de la obtención de sus datos en los términos establecidos en la LOPD y RLOPD, de la posibilidad de que sus datos se utilizarán para realizar campañas publicitarias de productos y servicios de Market360s o terceros, incluyendo campañas a realizar por medios electrónicos conforme a lo dispuesto en la LSSI y la LGT. 6.2 Obligaciones de EL CLIENTE EL CLIENTE por motivo del presente contrato tendrá acceso a datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/56 personal recogidos en ficheros responsabilidad de Market360, y por tanto asumirá la figura de Encargado de Tratamiento con las siguientes obligaciones:
  44. a)EL CLIENTE se obliga a tratar los datos de carácter personal a los que pudiera tener acceso con motivo de la prestación de los servicios contemplados en este Contrato, única y exclusivamente para cumplir con sus obligaciones contractuales conforme a lo dispuesto en este Contrato, no tratando o utilizando los datos con finalidades diferentes a las especificadas.
  45. b)EL CLIENTE se compromete, a tenor de lo dispuesto en el artículo 12.2 de la LOPD, a tratar los datos a los que pudiera tener acceso conforme a las instrucciones de Market360.
  46. c)Mantener absoluta confidencialidad, reserva y estricto secreto profesional respecto de la información y o/datos de carácter personal que pudiera conocer con ocasión del cumplimiento de los servicios prestados a MARKET360, no divulgando, publicando o poniéndola a disposición de terceros, bien directa o indirectamente, sin el consentimiento previo por escrito de MARKET360, ni siquiera a efecto de su conservación, con la excepción los servicios necesarios realizados por terceros a fin de garantizar los servicios y finalidades del presente contrato prestados a Market360.
  47. d)A tenor de lo establecido en el artículo 9 de la LOPD, EL CLIENTE se compromete a adoptar las medidas necesarias de índole técnica y organizativa de nivel BÁSICO que garanticen la seguridad de los datos personales a los que pueda tener acceso y eviten su alteración, pérdida, tratamiento o acceso no autorizado.
  48. e)EL CLIENTE informará su personal y colaboradores de las obligaciones establecidas en el presente documento, así como de las obligaciones relativas al tratamiento de los datos de carácter personal.
  49. f)EL CLIENTE deberá devolver o destruirá todos aquellos soportes, materiales e información en cualquier momento en qué Market360 lo solicite, y en cualquier caso, a la finalización del servicio, sin que pueda conservar copia alguna de las mismas.
  50. g)En el supuesto de que EL CLIENTE, como encargada del tratamiento, destinara los datos a finalidades diferentes a las estipuladas, las comunicara o utilizara incumpliendo las instrucciones definidas, será considerada también Responsable del Tratamiento, respondiendo de las infracciones en qué hubiera incurrido.
  51. h)Conforme a lo dispuesto en el artículo 26 del RLOPD, en el caso de que los Usuarios ejercitasen sus derechos de acceso, rectificación, cancelación y oposición ("derechos ARCO") directamente ante EL CLIENTE, en su condición de encargado del tratamiento, deberá dar traslado de dicha solicitud al Market360 en un plazo máximo de 2 (DOS) días hábiles desde la recepción de la solicitud, a fin de que éste último resuelva lo que resulte conveniente y conforme a Derecho. Las obligaciones de confidencialidad establecidas en el presente contrato tendrán una duración indefinida y se mantendrán en vigor en posterioridad a la finalización, por cualquier causa, de la relación entre EL CLIENTE y Market360. Market 360 estará legitimada para realizar controles durante el período de vigencia del presente Contrato para verificar el cumplimiento de la normativa en materia de protección de datos.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/56 DUODÉCIMO: En el Anexo de fecha 4 de marzo de 2015 que forma parte del contrato suscrito entre MARKET 360 y SERVICIOS GLOBALES con fecha 14 de enero de 2015, se estipula la entrega por parte de la primera a la segunda de un fichero con 34.852 registros para una campaña de Telemarketing, de la que es beneficiaria BARCKAYCARD, siendo la fecha prevista para su realización los meses de marzo y abril, con fecha de entrega del fichero el 04/03/2015. Los parámetros identificativos solicitados por el CLIENTE : Personas físicas de 26 a 70 años con móvil residentes en varios ***CÓDIGOS POSTALES. La leyenda a facilitar al usuario: “Sus datos provienen de un fichero titularidad de Market 360 S.L. con CIF B***** y domicilio en (C/...1)de Madrid, España. Puede ejercer gratuitamente los derechos de oposición, acceso, rectificación y cancelación de sus datos poniéndose en contacto con el titular mediante correo postal a (C/...1) de Madrid, España. También puede hacerlo por fax, enviando su solicitud, junto la documentación acreditativa de su identidad, dirigido a “Atención de Datos Personales”, al número español +***TEL.3. Y por email a la dirección info@market360.es” (folio 46) DECIMOTERCERO: Con fecha 4 de marzo de 2015 MARKET 360 cedió a SERVICIOS GLOBALES los datos del nombre, apellidos, teléfono móvil y código postal del denunciante para su tratamiento en una campaña de telemarketing en la que BARCLAYCARD era el beneficiario de la publicidad. (folios 37, 46 y 48) DECIMOCUARTO: MARKET expidió las siguientes facturas a SERVICIOS GLOBALES por Campañas de Telemarketing (folios 643 y 644) Con fecha 28 de febrero de 2015 MARKET 360 expide factura nº ***FACTURA.1 a SERVICOS GLOBALES por importe total de 12.121,84 € por el concepto “Suministro de números de teléfono para tele-marketing Febrero 2015” Con fecha 1 de abril de 2015 MARKET 360 expide factura ***FACTURA.2 a SERVICOS GLOBALES por importe total de 27.340,43 € por el concepto “Suministro de números de teléfono para tele-marketing Marzo 2015” DECIMOQUINTO: MARKET 360 es titular de los sitios web www.mailnoticas.com www.market360.es (folios 739, 743, 825, 873) DECIMOSEXTO: IMPACTING es titular de los sitios web www.promoahorro.com y www.servicioempleo.com (folios 816 , 869 al 872) DECIMOSÉPTIMO: Con fecha 12 de noviembre de 2016 IMPACTING y MARCKET 360 procedieron a dar de baja los datos del denunciante (folios 423 y 439) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  52. g)en relación con el artículo 36 de la LOPD y conforme a lo dispuesto en el párrafo segundo del artículo 43.1 de la LSSI. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/56 En el presente procedimiento se imputa a las entidades IMPACTING y MARKET 360 una infracción a lo dispuesto en el artículo 11.1 de la LOPD, que en el caso de la primera de las sociedades citadas se pone en relación con lo previsto en el artículo 11.3 de dicha norma. Los apartados 1 al 3 del artículo 11 de la LOPD establecen: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  53. a)Cuando la cesión está autorizada en una ley.
  54. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  55. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  56. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  57. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  58. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. “ Así, con carácter general, el artículo 11 de la LOPD exige el consentimiento previo del afectado para la cesión de sus datos personales, requisito que no será preciso cuando se produzca alguno de los supuestos recogidos en el apartado 2 del mismo precepto, considerándose nulo tal consentimiento cuando la información que se facilite al titular de los datos le impida conocer la finalidad a la que se destinarán los datos cuya comunicación autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. Por su parte, el artículo 6, apartados 1 y 2, de la citada Ley Orgánica, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/56 ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación legal, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de la comunicación de los mismos a terceros. A su vez, el artículo 12 del RLOPD establece como principios generales para la obtención del consentimiento del afectado: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “(El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/56 El artículo 14 del RLOPD establece como “Forma de recabar el consentimiento”: “1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. (El subrayado es de la AEPD) En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. 4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. 5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud” (El subrayado es de la AEPD) El artículo 5 de la LOPD citado en el anterior precepto, bajo la rúbrica de “Derecho a información en la recogida de datos”, dispone en su apartado primero que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  59. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  60. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  61. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  62. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  63. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/56 deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. “ En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el artículo 12 de la LOPD, que dispone: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” III Atendido, además, que el número de teléfono móvil del denunciante figura registrado en la Lista Robinson desde el 26 de abril de 2014 y que el tratamiento realizado por la totalidad de las empresas imputadas con los datos de carácter personal del denunciante está asociado a actividades publicitarias y de prospección comercial, bien por cesión de dichos datos a terceros para que éstos puedan efectuar campañas publicitarias, como ocurre en el caso de las mercantiles IMPACTING y MARKET 360, bien por el uso de los datos comunicados para la realización de campañas de telemarketing en el que el beneficiario de la publicidad es BARCLAYCARD, como ocurre en el caso de las sociedades SERVICIOS GLOBALES y VENTASK, en el caso examinado también resultan de aplicación los siguientes preceptos: El artículo 30.1 de la LOPD, que regula “Tratamientos con fines de publicidad y de prospección comercial, dispone: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/56 Por otra parte, el Capítulo II del RLOPD, bajo la rúbrica de “Tratamientos para actividades de publicidad y prospección comercial” establece en los artículos 45.1.b), 46 y 49: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos(…)
  64. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre . 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  65. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  66. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  67. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma .” “Artículo 49. Ficheros comunes de exclusión del envío de comunicaciones comerciales. 1. Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/56 necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado. 2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial. 3. La entidad responsable del fichero común podrá tratar los datos de los interesados que hubieran manifestado su negativa u oposición al tratamiento de sus datos con fines de publicidad o prospección comercial, cumpliendo las restantes obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento. 4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento” (El subrayado es de la AEPD) IV El artículo 3 de la LOPD establece las siguientes definiciones respecto de los conceptos contenidos en los preceptos citados en el anterior Fundamento de Derecho: “
  68. a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
  69. b)Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  70. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  71. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  72. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  73. c)del presente artículo. “ “
  74. g)Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
  75. h)Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/56
  76. i)Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado. “ V Comenzando por el examen de las alegaciones relativas a vicios procedimentales, IMPACTING aduce la existencia de infracción continuada , ya que en el presente procedimiento se imputa la misma infracción al artículo 11.1 en su relación con el artículo 11.3 de la LOPD que en el PS/00106/2016, resultando de aplicación el artículo 4.6 del RPS, que veda la posibilidad de iniciar nuevos expedientes sancionadores respecto de las infracciones en las que el infractor ha persistido de manera continuada, procediendo el archivo del PS/00092/2016 y la continuación del PS/00106/2016. Según IMPACTING hay una pluralidad de acciones u omisiones (tantas como datos personales fueron cedidos sin consentimiento de sus titulares), infracción del mismo o se semejantes preceptos administrativos (artículo 11 LOPD) y planificación previa de la ejecución o, en su caso, aprovechamiento de idéntica ocasión (plan diseñado y aprobado por TARSYS para lanzar el “Club Promoahorro” y el “News Club” y ejecutado a través de la misma comunicación electrónica). El artículo 4.6 del RPS invocado dispone lo siguiente: “6. No se podrán iniciar nuevos procedimientos sancionadores por hechos o conductas tipificados como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya recaído una primera resolución sancionadora de los mismos, con carácter ejecutivo. Asimismo, será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión.” En relación con la cuestión planteada resulta ilustrativa la Sentencia de la Audiencia Nacional de fecha 22 de julio de 2014, Rec. 163/2013, en la que frente a un alegato semejante se indicaba: “En relación con la alegación relativa a que los hechos serían calificables como una única infracción, resulta de aplicación la doctrina que seguíamos en nuestra sentencia de 7 de febrero de 2014, Rec. 77/2013, en respuesta a esta misma alegación de la demandante en un recurso análogo al que ahora nos ocupa del siguiente tenor: “La infracción continua, como indica la STS de 7 de marzo 2006 (Rec. 1728/2002) dictada también en materia de protección de datos” constituye una construcción jurídica que proviene del Derecho penal, cuya concurrencia exige: la realización de un plan preconcebido o aprovechamiento de idéntica ocasión; la realización de una pluralidad de acciones con unidad psicológica y material; y la infracción del mismo o semejante preceptos administrativos”. Por tanto, no basta, para apreciar la existencia de infracción continuada con la simple reiteración de conductas semejantes, sino que es preciso que además esa reiteración de conductas se lleve a cabo en ejecución de un plan preconcebido o aprovechando idéntica ocasión, circunstancias éstas a las que en la demanda se omite toda referencia y que no cabe aquí apreciar”. En consecuencia , debe señalarse, frente a lo afirmado por la actora, que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/56 hechos investigados que dieron lugar a los diferentes procedimientos sancionadores no son constitutivos de una sola infracción sino de tantas como contrataciones de servicio de energía eléctrica tuvieran lugar sin el previo consentimiento de los titulares delos datos personales afectados, realizadas en diferentes momentos y de forma independiente, al suponer cada una de ellas la vulneración del derecho la protección de los datos de carácter personal de cada uno de los afectados, autónoma y diferenciada de las restantes ,subsumibles el tipo sancionador aplicado por la resolución sancionadora. Por consiguiente, en atención a las anteriores consideraciones, ya expresadas por esta Sala en nuestras sentencias de 15 de abril de 2014, Rec. 123/2013, y de 20 de mayo de 2014, rec. 213/2013, resolviendo recursos análogos, procede rechazar la existencia de una única infracción continuada.” En este caso, hay que considerar que los hechos analizados en los procedimientos sancionadores citados por IMPACTING, al igual que en el supuesto analizado por la Audiencia Nacional, no son constitutivos de una única infracción continuada, sino de tantas infracciones como cesiones de los datos de carácter personal de cada uno de los afectados se hayan producido sin mediar el consentimiento válidamente otorgado e informado de sus titulares. Son hechos imputables distintos, que afectan a personas diferentes y constituyen tratamientos independientes, al margen de que ambas cesiones se hayan ejecutado en el marco del “Contrato de campaña comercial” suscrito entre IMPACTING y MARKET 360. Además, la infracción grave derivada de la cesión de datos personales se agota en el acto material de la misma comunicación de los datos, toda vez que la acción típica tiene una naturaleza puntual, ocurriendo la cesión en el supuesto del procedimiento PS/00106/2016 el día 21 de noviembre de 2014 y en el caso ahora estudiado el 11 de septiembre de 2014, conforme se desprende de los hechos que han resultado Probados, no constando además en ninguno de los procedimientos prueba justificativa alguna de que se remitiera a los dos afectados la comunicación electrónica comercial conteniendo la cláusula informativa específica al objeto de obtener su consentimiento tácito para la cesión de sus datos personales a MARKET 360 para recibir ofertas por diferentes medios de comunicación del “Club News” de dicha empresa. Con arreglo a lo cual, debe rechazarse la existencia de una única infracción continuada y el archivo de las actuaciones seguidas contra IMPACTING en el presente procedimiento por la infracción grave al artículo 11.1 en su relación con lo dispuesto en el artículo 11.3 de la LOPD. VI Fijado lo anterior, del conjunto de elementos fácticos obrantes en el procedimiento se desprende que IMPACTING, titular de la base de datos y empresa dedicada al tratamiento de datos de carácter personal con fines de publicidad y de prospección comercial, incluyendo la crea

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.