PS-00106-2016

1/43 Procedimiento Nº PS/00106/2016 RESOLUCIÓN: R/02109/2016 En el procedimiento sancionador PS/00106/2016, instruido por la Agencia Española de Protección de Datos a las entidades IMPACTING EMAIL MARKETING SOLUTIONS, S.L., MARKET 360 DEGREES S.L. y ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de noviembre de 2015 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) una denuncia interpuesta por Dña. A.A.A., en adelante el denunciante, en la que manifiesta que: 1. No ha solicitado o autorizado el envío de comunicaciones comerciales por medios electrónicos a MARKET 360 DEGREES, S.L., en adelante MARKET 360. 2. Recibió 6 mensajes cortos de texto (SMS) de tipo comercial en su línea de teléfono móvil ***TEL.1 en los que el origen estaba identificado como JAZZTEL. Los mensajes fueron recibidos los días: 22 de abril de 2015 a las 11:39 horas, 20 de mayo de 2015 a las 11:57 horas, 17 de junio de 2015 a las 11:11 horas, 16 de septiembre de 2015 a las 14:19 horas y 14 de octubre de 2015 a las 13:00 horas. Los mensajes incluyen el literal “bajas@market360.es” 3. Con fechas 20 de mayo de 2015 solicitó la baja de su cuenta de correo ......@gmail.com y de su móvil ***TEL.1 enviando un correo desde la reseñada dirección a bajas@market360.es. Con fechas 17 de junio de 2015 y 15 de octubre de 2015 reitero su solicitud de baja mediante sendos correos electrónicos remitidos desde su cuenta de correo electrónico a bajas@market360.es. La denunciante aporta imágenes del terminal con los mensajes recibidos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: 1. En los sistemas de TELEFONICA MOVILES ESPAÑA, S.A. consta la recepción de los siguientes mensajes en la línea ***TEL.1. • Mensaje recibido el día 22 de abril de 2015 a las 11:39 horas • Mensaje recibido el día 20 de mayo de 2015 a las 11:57 horas • Mensaje recibido el día 17 de junio de 2015 a las 11:11 horas • Mensaje recibido el día 16 de septiembre de 2015 a las 14:19 horas • Mensaje recibido el día 14 de octubre de 2015 a las 13:00 horas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/43 2. Los mensajes contienen información comercial que oferta la fibra óptica de JAZZTEL. Los dos primeros mensajes incluyen información sobre como solicitar la baja de publicidad en la forma; bajas@market360.es y los tres últimos incluyen el enlace http:goo............, el cual redirige a una página de internet que solicita que se introduzca el número de teléfono que se quiere dar de baja. 3. Los hechos derivados de la remisión de SMSs comerciales enviados con fechas 22 de abril, 20 de mayo y 17 de junio de 2015 estarían prescritos de conformidad con lo dispuesto en el artículo 45 de la LSSI, al haber tenido entrada la denuncia en esta Agencia el día 5 de noviembre de 2015. 4. La denunciante aporta copia de tres correos electrónicos de fechas 20 de mayo, 15 de octubre de 2015 y 17 de junio de 2015 remitidos a la dirección bajas@market360.es en los que solicita la baja de sus datos.. 5. En el aviso legal de la página web www.market360.es consta como titular de la misma la empresa MARKET 360 DEGREES, S.L. 6. En respuesta a la solicitud de información realizada por esta Agencia, los representantes de MARKET 360 DEGREES, S.L. remitieron un escrito en el que manifestaron que: 6.1. Los datos provienen de una cesión de IMPACTING EMAIL MARKETING SOLUCTIONS, S.L., en adelante IMPACTING. Manifiestan que el usuario fue informado de la cesión de sus datos a MARKET 360 y que fue recogido su consentimiento para ello mediante el envío por IMPACTING de una comunicación que se ajustaba a lo establecido por el artículo 14.2 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre. No se justifica mediante ningún medio de prueba el envío de dicha comunicación a la denunciante, el medio utilizado para su remisión, los términos de la misma ni tampoco su efectiva recepción o el tipo de respuesta de la afectada. No se aporta documentación acreditativa de que ésta otorgase su consentimiento previo y expreso a la cesión de su correo electrónico y/o número de teléfono móvil (datos personales) a terceros para la recepción de comunicaciones comerciales del sector de Telecomunicaciones por medios de comunicación electrónica o similares, como serían los SMSs denunciados . 6.2. Aportan copia de “Contrato de Campaña Comercial” celebrado el 6 de junio de 2014 entre MARKET 360 e IMPACTING, entidad esta última que, según indican, suministró el fichero que contenía los datos del denunciante a MARKET 360. 6.3. Los datos que figuran en sus ficheros del usuario de la línea ***TEL.1 son: • Identificador de usuario: ***ID.1 • Nombre y apellidos: A.A.A. • Correo electrónico: ......@gmail.com • Dirección postal: (C/...1)Madrid • Número de teléfono fijo: ***TEL.2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/43 • Número de teléfono móvil: ***TEL.1 6.4. Afirman que JAZZ TELECOM, SAU, en adelante JAZZTEL y en la actualidad ORANGE ESPAGNE SAU, contrató a MARKET 360 la realización de campañas comerciales a usuarios de MARKET 360. Dichas campañas se llevaron a cabo sin la participación ni acceso a los datos por parte de JAZZTEL 6.5. Aportan copia del “Contrato de cesión de datos personal” celebrado el 27 de noviembre de 2014 entre MARKET 360 y JAZZTEL para la realización de campañas publicitarias vía SMS a favor de JAZZTEL, así como de los Anexos al mismo de fechas 14 de enero, 7 de abril, 18 de mayo15 de junio, 15 de septiembre, 14 de octubre, 20 de noviembre y 15 de diciembre de 2015 . 6.6. No existe relación contractual entre MARKET 360 y la denunciante fuera del servicio de comunicaciones que fue informado y consentido por la misma sin expresar en ningún momento su deseo de darse de baja del mismo. 6.7. En las comunicaciones mensuales que ha recibido la denunciante ha sido informada de sus derechos y la posibilidad de solicitar la baja del servicio, sin que el usuario haya ejercido sus derechos utilizando los procedimientos establecidos por MARKET 360 o cualquier otro medio. 6.8. En el momento en que se recibió la solicitud de información de la AEPD se ha procedido a la cancelación y baja del servicio de la usuaria de forma inmediata, por entender que no desea seguir recibiendo las comunicaciones comerciales periódicas mensuales que se le han remitido. TERCERO: Durante las actuaciones previas de inspección MARKET 360 aporta la siguiente documentación contractual, omitiéndose la transcripción parcial efectuada en el acuerdo de inicio a los efectos de no resultar repetitivos y por estar reflejada en los Hechos Probados Sexto yl Séptimo del presente acto: - “Contrato de campaña comercial” suscrito el 6 de junio de 2014, entre MARKET 360 e IMPACTING EMAIL MARKETING SOLUTIONS, S.L., en adelante IMPACTING. - “Contrato de cesión de datos personales” suscrito el l 27 de noviembre de 2014 entre MARKET 360 y JAZZTEL y Anexos al mismo de distintas fechas. CUARTO: Con fecha 7 de marzo de 2016, la Directora de la Agencia Española de Protección de Datos acordó con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RLOPD, el inicio de procedimiento sancionador a las siguientes entidades: A la mercantil IMPACTING EMAIL MARKETING SOLUCTIONS, S.L , por la presunta infracción del artículo 11.1 de la de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en su relación con lo dispuesto en el artículo 11.3 de la misma norma, tipificada como grave en el artículo 44.3.

1. k)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/43 A la mercantil MARKET 360 DEGREES S.L. tanto por la presunta infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. k)de la citada Ley Orgánica, como por la presunta infracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante LSSI). A la mercantil ORANGE ESPAGNE, SAU por la presunta infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
3. d)de la citada LSSI. QUINTO: Notificado el acuerdo de inicio a las mencionadas empresas, se concede ampliación de plazo para formular alegaciones a las citadas mercantiles en contestación a sus respectivas solicitudes en tal sentido, siendo también entregada copia de la documentación obrante en el procedimiento a fecha 6 de abril de 2016 al Administrador único de las sociedades IMPACTING y MARKET 360, según figura en el Registro Mercantil Central. SEXTO: Con fecha 1 de abril de 2014 se registra de entrada escrito de alegaciones de ORANGE, solicitando el archivo de las actuaciones seguidas contra JAZZTEL con fundamento, en síntesis, en los siguientes argumentos: Con fecha 24 de noviembre JAZZTEL suscribió con MARKET 360 contrato, cuya copia aporta, para utilizar determinados ficheros de datos personales titularidad de ésta para enviar ofertas de productos y servicios de telecomunicaciones, estableciéndose en la Estipulación Tercera del citado contrato que MARKET 360 asumía todas las garantías relativas al cumplimiento de la LOPD y su normativa de desarrollo. JAZZTEL no tenía acceso a las solicitudes de baja de los destinatarios. MARKET 360, que era la única responsable de excluir a los usuarios que solicitasen su derecho de oposición a través del correo electrónico bajas@market360.es, no atendió las solicitudes de oposición de la denunciante y no excluyó sus datos hasta la recepción de la solicitud de información de la AEPD. Subsidiariamente, solicita la imposición de una sanción en la escala más inferior de las infracciones leves de la LSSI, al concurrir como atenuantes cuatro criterios de los recogidos en el artículo 40 de la LSSI. (ausencia total de intencionalidad por ser un hecho imputable al titular de la base de datos y ajeno a JAZZTEL, el único “perjuicio” causado a la interesada ha sido la remisión de 2 SMS, ausencia total de beneficios obtenidos por la infracción, JAZZTEL es socio de Autocontrol y está adherido al Código de Conducta Publicitaria de Autocontrol). SÉPTIMO: Con fecha 9 de mayo de 2016 se inicia un período de práctica de pruebas en el que se dan por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección con motivo de las actuaciones previas de Inspección efectuadas en el expediente E/00222/2016, las alegaciones al acuerdo de inicio PS/00106/2016 presentadas por ORANGE, IMPACTING y MARKET 360 con la documentación que a ellas acompaña, la información obtenida en el Registro Mercantil relativa a las inscripciones de IMPACTING y MARKET 360. Asimismo, con esa misma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/43 fecha, se acuerda la práctica de prueba consistente en solicitar a ORANGE contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: Aclaración del destino dado por esa empresa a la información obrante en los ficheros cedidos por MARKET 360 a JAZZ TELECOM, SAU, actualmente ORANGE, para la realización de las campañas de SMS objeto del “Contrato de cesión de datos personales” celebrado por ambas partes el 27/11/2014 una vez realizadas y transcurrido el plazo de validez de los registros desde su entrega. Se adjuntan los Anexos presentados por MARKET; Especificación de las medidas adoptadas por ORANGE para asegurarse de la veracidad de las manifestaciones efectuadas por MARKET 360 en la estipulación Tercera del citado Contrato. En particular respecto del origen de la información objeto de cesión, existencia de consentimiento de los titulares de esos datos para su uso por terceros en campañas publicitarias a realizar por medios de comunicación postal y/o electrónica referida a determinados sectores de actividad y obtención del mismo conforme a lo dispuesto en la LOPD y la LSSI; Causa por la que en los SMSs enviados con fechas 17 de junio, 16 de septiembre y 14 de octubre de 2015 se modificó el mecanismo de baja bajas@market360.es reseñado en la estipulación Quinta del reseñado contrato de cesión por el enlace http.goo.............. Con esa misma fecha, se acuerda la práctica de prueba consistente en solicitar a la denunciante indicación de los siguientes extremos: si está incluida en Lista Robinson, en cuyo caso se solicitaba acreditación de la fecha exacta de su registro en ADIGITAL y detalle de los datos a los que afectaría la exclusión publicitaria (líneas de teléfono fijas y móviles y cuentas de correo electrónico registradas) y de si ha proporcionado el consentimiento al uso de sus datos personales, entre ellos la línea de teléfono en la que recibió los SMS denunciados y la cuenta de correo electrónico en la que recibió comunicación electrónica procedente de IMPACTING o MARKET 360 . OCTAVO: Con fecha 11 de abril de 2014 se registra de entrada escrito de alegaciones del representante legal de MARKET 360 en el que, en síntesis, se aduce: En relación con la infracción del artículo 11.1 de la LOPD señalan que a pesar de la denominación del contrato suscrito con JAZZTEL el 27/11/2014 nunca tuvo la intención de ceder el dato de la denunciante, sino tan sólo de comunicarlo al amparo de lo dispuesto en el artículo 12 de la LOPD, dándole acceso al dato para que como encargado del tratamiento remitiera al usuario un SMS con el contenido comercial estipulado, conforme prueban los siguientes hechos: 1) MARKET tiene contratados los servicios de la consultoría legal OBJETIVO TARSYS, SL, en lo sucesivo TARSYS, en materia de LOPD, LSSI y Ley de Conservación de Datos, empresa que siempre sostuvo que se trataba de un contrato de encargado del tratamiento que no precisaba del consentimiento de la denunciante para la comunicación de datos a JAZZTEL. 2) Según la doctrina del Tribunal Supremo, la naturaleza de un negocio jurídico depende de la intención de los contratantes y de las declaraciones de voluntad que lo integran y no dela denominación que le hayan atribuido las partes, siendo el contenido real del contrato el que determina su calificación y consecuencias.3) En la estipulación quinta del contrato JAZZTEL se comprometía a hacer constar en los SMS publicitarios un medio sencillo y gratuito para garantizar la baja, ofreciéndose siempre un medio referido a MARKET 360 y no a JAZZTEL, como debería haber sido si se hubiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/43 tratado de una cesión y JAZZTEL como responsable del fichero de los datos supuestamente cedidos el obligado a atender los derechos ARCO. Del mismo modo, el contrato no se habría referido a JAZZTEL como “entidad beneficiaria de la publicidad”, sino como cesionaria de los datos. 4) Conforme a los términos de la Política de Privacidad que se incorpora al Contrato como Anexo I resulta que MARKET 360 puede remitir un SMS al usuario para ofrecerle productos o servicios propios o de terceros relacionados con la Tecnología y la Telecomunicación, pero no ceder su dato a un tercero que nos sea un patrocinador mencionado en el momento del alta. 5) No es del todo preciso que JAZZTEL no tuviera acceso a los datos, como se indicó al contestar el requerimiento de información de la AEPD, ya que accedió a los mismos para tratarlos por cuenta de MARKET 360 para remitir los SMS acordados. En relación con la infracción del artículo 21.1 de la LSSI afirma que MARKET 360 es autora y responsable de los citados envíos, ya que aunque materialmente realizados por JAZZTEL, lo fueron por cuenta de MARKET 360. Señala que la falta de tramitación de las bajas solicitadas por la denunciante respondió a un fallo técnico en el proceso de migración de la gestión de bajas a un nuevo servidor de bases de datos más potente, ya que la ingesta de las bajas no se conectó al nuevo sistema de gestión de datos para que apuntase al nuevo servidor. Sin embargo, como a partir del 20/05/2015 se sustituyó la cuenta bajas@market360.es por un clic en el enlace url http://goo............, sólo no se procesaron los emails que llegaron a la citada cuenta entre el 27/04 y el 20/05/2015. Respecto de la infracción del artículo 11.1 de la LOPD aducen concurrencia de los requisitos exigidos en el artículo 45.6 de la LOPD para transformar el procedimiento sancionador en un apercibimiento al sujeto responsable o, cuando menos, aplicar la escala relativa a las infracciones leves en su cuantía mínima. También se produce la concurrencia significativa de los criterios d),
4. b)y
5. a)establecidos en el apartado 45.5 de la LOPD. De este modo, reconocen su responsabilidad conforme a lo dispuesto en el artículo 8 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en adelante REPEPOS, y artículo 45.5.
6. d)de la LOPD. Inciden en que siguieron el criterio profesional de la empresa que les asesoraba en materia de protección de datos, que calificó el contrato de JAZZTEL como “de encargado de tratamiento”. Respecto de la aplicación del apartado
7. b)del artículo 45.5 de la LOPD indican que desde que recibieron solicitud de información de la AEPD paralizaron cualquier entrega de datos a JAZZTEL en virtud del contrato firmado con la misma y que suprimieron los datos de la denunciante y los incluyeron en el fichero interno de exclusión al que se refiere el artículo 48 del RLOPD el día 12/11/2015 al cruzarse con el alta de la denunciante en la Lista Robinson de ADIGITAL. Respecto del apartado
8. a)del artículo 45.5 de la LOPD afirman que concurren los supuestos b), d), e),
9. f)g),
10. h)
11. i)y
12. j)del apartado 4 del artículo 45. En la misma línea, aducen en relación con la infracción del artículo 21.1 de la LOPD que concurren los requisitos exigidos en el artículo 39 bis 2 de la LSSI para transformar el procedimiento sancionador en un apercibimiento o sancionar en su grado mínimo. Se produce la concurrencia significativa de los criterios a), b),
13. c)y
14. d)del artículo 39 bis 1 de la LSSI. Reconocen su responsabilidad en el envío de los tres SMS estudiados conforme a lo dispuesto en los artículo 8 del REPEPOS y artículo 39 bis 1.
15. d)de la LSSI, alegan la subsanación de la incidencia tan pronto como se advirtió al dar de baja el número de teléfono en sus sistemas el 12/11/2015 y recuerdan que la denunciante empleó exclusivamente el antiguo sistema de bajas Asimismo, se produce una cualificada disminución de la culpabilidad en tanto que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/43 concurren todos los criterios del artículo 40 de la LSSI. NOVENO: Con fecha 11 de abril de 2014 se registra de entrada escrito de alegaciones del representante legal de IMPACTING en el que, en síntesis, se aduce: -Reconocen que la cláusula informativa que se adjunta al Anexo I del Contrato de campaña publicitaria suscrito con MARKET 360 no concreta los sectores de actividad respecto de los cuales el afectado podía recibir información comercial, circunstancia que determina la nulidad del consentimiento por aplicación del artículo 11.3 de la LOPD y 12.2 del RLOPD. -Concurrencia de los requisitos exigidos en el artículo 45.6 de la LOPD para transformar el procedimiento sancionador en un apercibimiento al sujeto responsable o, subsidiariamente, aplicar la escala relativa a las infracciones leves en su cuantía mínima. Se trata de una infracción grave y la entidad no ha sido sancionada ni apercibida con anterioridad, produciéndose también la concurrencia significativa de los criterios d),
16. b)y
17. a)establecidos en el apartado 45.5 de la LOPD. De esta forma, IMPACTING conforme a lo dispuesto en el artículo 8 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora y artículo 45.5.
18. d)de la LOPD, reconoce espontáneamente su responsabilidad en los hechos imputados. En cuanto a la aplicación del apartado
19. b)del artículo 45.5 de la LOPD indican que después de recibir la solicitud de información de la AEPD modificaron su cláusula informativa y, adicionalmente, dieron de baja los datos de la denunciante con fecha 12/11/2015 a raíz de las consultas que efectúan a la Lista Robinson de ADIGITAL. Respecto del apartado
20. a)del artículo 45.5 de la LOPD afirman que concurren los supuestos b), d), e),
21. f)g),
22. h)
23. i)y
24. j)del apartado 4 del artículo 45. En cuanto al grado de intencionalidad, se recalca la contratación por IMPACTING de los servicios de consultoría legal en materia de protección de datos con TARSYS, empresa que ha auditado los procesos de tratamiento de datos personales, las medidas de seguridad y prestado asesoramiento legal continuo en cuestiones relacionadas con la normativa de protección de datos desde el año 2012, incluida la carta a remitir a la denunciante. DÉCIMO: Con fecha 11 de mayo de 2016, se acuerda la práctica de prueba consistente en solicitar a IMPACTING contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: Respecto de la documentación contractual aportada, aclaración sobre: Causa por la que mientras en el encabezamiento del “Contrato de campaña comercial” suscrito entre IMPACTING y MARKET 360 aparece el 6 de junio de 2014 está firmado el 15 de octubre de 2012. Aclaración de la causa por la que en la cláusula 1.2 se establece que la campaña se realizara en octubre de 2012 mientras que en el Anexo I al que se refieren las cláusulas 1.2 y 1.4 del contrato se cita una campaña a realizar en junio de 2014. Se solicita el envío de las creatividades facilitadas por MARKET 360; Detalle de los datos de la denunciante obrantes en el fichero de “Usuarios” de esa entidad y acreditación documental tanto del origen de los datos de la denunciante que se utilizaron por IMPACTING en el marco del contrato antes citado, como de la existencia de consentimiento previo y expreso de dicha persona a esa empresa para su utilización con fines de publicidad . Se solicita justificación documental de la fecha de obtención y medio a través del que se recabó tal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/43 consentimiento; Acreditación documental del consentimiento de la afectada a esa empresa para la cesión de sus datos personales a terceros al objeto de recibir publicidad del sector de telecomunicaciones por medios de comunicación electrónica; Remisión, en todo caso, de copia íntegra de la información relativa a Club “News Club” enviada en la comunicación electrónica remitida por IMPACTING a la denunciante a fin de recabar su consentimiento para la cesión de sus datos a MARKET 360 para formar parte del Club “News Club”. Se acreditarán las fechas exactas en que se produjo la remisión del envío publicitario a la afectada y su recepción por la destinataria. Se solicita remisión de las cabeceras de la comunicación electrónica. También deberá justificarse que ésta no se opuso a dicho tratamiento ni se dio de baja con posterioridad; Aportación de documentación justificativa de la fecha exacta de cesión de los datos de la denunciante a MARKET 360 y del detalle de la información sobre la afectada comunicada a esa entidad; Remisión de documentación justificativa de la modificación de la cláusula informativa y de la baja de los datos de la afectada con fecha 12/11/2015. También se solicitan las facturas de ADIGITAL mencionadas como documento nº 5; Relación de esa empresa con la entidad JAZZ TLECOM, SAU (en la actualidad ORANGE ESPAGNE, SAU) en lo que respecta a la contratación y desarrollo de la campaña publicitaria en cuyo marco la denunciante recibió los sms denunciados con publicidad de esa compañía de telefonía. También con fecha 11 de mayo de 2016, se acuerda la práctica de prueba consistente en solicitar a MARKET 360 contestación a los siguientes extremos y aportación de la información y/o documentación que se cita a continuación: Causa por la que mientras en el encabezamiento del “Contrato de campaña comercial” suscrito entre IMPACTING y MARKET 360 aportado por esa empresa en fase de actuaciones previas aparece el 6 de junio de 2014 estando firmado el 15 de octubre de 2012. Aclaración de la causa por la que en la cláusula 1.2 se establece que la campaña se realizara en octubre de 2012 en el Anexo I adjuntado, al que se refieren las cláusulas 1.2 y 1.4 del contrato, se cita una campaña a realizar en junio de 2014; Remisión de las creatividades facilitadas a IMPACTING; Acreditación tanto de la fecha de envío y recepción por parte de la denunciante de la comunicación electrónica remitida por IMPACTING al denunciante para obtener su consentimiento a la cesión de sus datos a MARKET 360 para enviarle ofertas del “News Club”. Se solicita remisión de copia del envío dirigido a la denunciante y de sus cabeceras de Internet. Asimismo, deberá justificarse que ésta no se opuso a dicho tratamiento utilizando el enlace ofrecido a tales efectos ni se dio de baja con posterioridad; Acreditación del tipo del relación existente entre MARKET360 y el Club “News Club”, con especificación de la naturaleza y finalidades de dicho Club; Remisión de los términos y condiciones y política de privacidad asociados al alta y/o aceptación de publicidad del “News Cub” que estaban vigentes en la fecha en la que supuestamente la afectada consintió la cesión de sus datos a terceros con fines de publicidad; Acreditación de la fecha exacta en que IMPACTING cedió los datos de carácter personal de la denunciante, con detalle de los mismos así como de los que fueron registrados en los sistemas de MARKET 360; Especificación de las medidas adoptadas por esa empresa para asegurarse de la veracidad de las manifestaciones efectuadas por IMPACTING en la estipulación 6.1 del Contrato celebrado entre ambas empresas con fecha 6 de junio de 2014. En particular respecto del origen de la información objeto de comunicación, existencia de consentimiento de los titulares de esos datos para su uso por terceros en campañas publicitarias a realizar por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/43 correo postal o por vía telefónica o SMS referida a productos y servicios del sector financiero, así como respecto de su obtención conforme a lo dispuesto en la LOPD y la LSSI.; Justificación de la fecha de alta del servicio Lista Robinson de ADIGITAL por esa empresa y de la vigencia del mismo en los años 2014 y 2015; Acreditación de que esa empresa contaba con el consentimiento de la denunciante tanto para el tratamiento de sus datos de carácter personal como para la cesión de los mismos a terceros, en este caso a JAZZTEL para la remisión de mensajes cortos de texto de tipo publicitario; Acreditación de la vinculación de http://goo.............. con esa empresa y de que efectivamente el nuevo sistema de bajas se activó a partir del 20/05/2015; Remisión de copia del contrato de prestación de servicios suscrito con TARSYS, así como de su vigencia durante los años 2014 y 2015. Atendido que MARKET 360 había alegado que JAZZTEL actuaba como encargado de tratamiento, también se le solicitaba : Acreditación de que MARKET 360 contaba con el consentimiento previo y expreso de la denunciante para ofrecerle, vía SMS, productos o servicios propios o de terceros relacionados con la Tecnología y la Telecomunicación, con justificación de la fecha y modo de obtención; Envío de la documentación contractual correspondiente suscrita por esa empresa con arreglo a lo dispuesto en el artículo 12 de la LOPD y artículos 20 y 21 del Reglamento de Desarrollo de dicha Ley; Especificación detallada de los parámetros identificativos de los destinatarios de la campaña, indicando si los mismos fueron fijados por el cliente beneficiario de la publicidad o por el responsable del tratamiento o por ambos, aportando copia de toda la documentación que pueda acreditarlo, incluidas ordenes de trabajo; Remisión de copia de las facturas giradas por la entonces denominada JAZZTEL a esa empresa y justificación del abono de las mismas por parte de MARKET 360. en pago de los servicios efectuados por aquella como encargada del tratamiento; Aclaración del destino dado a los ficheros cedidos a JAZZTEL para la realización de las campañas de SMS una vez realizadas las mismas y transcurrido la validez de 15 días de los mismos a contar desde la entrega Con fecha 11 de mayo de 2016 se acuerda la práctica de prueba consistente en solicitar a la Asociación Española de la Economía Digital (ADIGITAL) información relativa a si la denunciante estaba dada de alta en el Servicio de Lista Robinson, en cuyo caso se solicitaba facilitación de las fechas de los registros realizados y datos concretos a los que afectaban, en particular las líneas de telefonía móvil y fija y direcciones de correos electrónicos. UNDÉCIMO: Con fecha 23 de mayo de 2016 se registra de entrada escrito de contestación de ORANGE señalando que: JAZZTEL recibe de MARKET un fichero con los registros de cada campaña y procede al envío automático de los SMS a través de la propia red de telecomunicaciones en el plazo de los 15 días pactados desde la entrega del fichero. Realizado el envío JAZZTEL destruye el fichero de sus sistemas. ORANGE revisa periódicamente las webs www.servicioempleo.com y www.promoahorro.com a través de las cuales MARKET 360 obtiene los datos de los destinatarios de sus ficheros para constatar si dicha empresa cumple con el deber de información y obtención del consentimiento para la recepción de publicidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/43 La modificación del mecanismo inicial de baja fue decisión de MARKET 360. JAZZTEL únicamente recibe el fichero de MARKET 360 en calidad de encargado del tratamiento para ejecutar el envío de los SMS a través de su red de comunicaciones. DUODÉCIMO: Con fecha 27 de mayo de 2016 se registra de entrada escrito de contestación de ADIGITAL informando que desde el 15 de septiembre de 2015 consta inscrito en el servicio de Lista Robinson el número de teléfono ***TEL.1 de la denunciante. DECIMOTERCERO: Tras conceder ampliación de plazo para la práctica de las pruebas requeridas, con fecha 9 de junio de 2016 se registra de entrada escrito de contestación de IMPACTING informando que la incongruencia de fechas detectada en el “Contrato de campaña comercial” y su Anexo I se debe a que es una reproducción del mismo que en su día TARSYS preparó y redacto a IMPACTING para su firma, en octubre de 2012, con INFOEMPLEO. Aportan las creatividades y datos de carácter personal cedidos por IMPACTING a MARKET 360. Señalan que dichos datos fueron cedidos por INFOEMPLEO a IMPACTING en virtud del contrato de campaña comercial de fecha 26/10/2012. No disponen de la documentación requerida para acreditar la existencia de consentimiento previo y expreso de la denunciante dado el tiempo transcurrido desde el año 2012, aunque precisan que, de acuerdo con la cláusula 2.1 del citado contrato, correspondía al titular de la base de datos (INFOEMPLEO) encargarse de realizar las acciones necesarias para recabar el consentimiento tácito previo de los usuarios. La entidad siguió en todo momento las instrucciones de TARSYS. No disponen de documentación que acreditativa del consentimiento de la afectada a IMPACTING para la cesión de sus datos personales a terceros al objeto de recibir publicidad del sector de las telecomunicaciones por medios de comunicación electrónica. Tampoco cuentan con la comunicación electrónica remitida por IMPACTING al denunciante para obtener su consentimiento a la cesión de sus datos a MARKET 360 para enviarle ofertas del “News Club”. Indican que aportan capturas de pantalla con detalle de los datos que fueron exportados y fecha de cesión. Afirman que aunque las facturas de ADIGITAL de “Suscripción al servicio anual de la Lista Robinson” figuran expedidas a nombre de MIRA Y VUELA, S.L., que es una empresa del grupo, dicha Lista puede ser consultada por cualquiera de las empresas del grupo. TARSYS les informó en repetidas ocasiones que no era preceptiva la consulta del citado fichero común de exclusión con carácter general, como prueba el email adjuntado de fecha 16/10/2013. Aclaran que IMPACTING no mantuvo relación contractual alguna con JAZZTEL. DECIMOCUARTO: Tras conceder ampliación de plazo para la práctica de las pruebas requeridas, con fecha 16 de junio de 2016 se registra de entrada escrito de contestación de la representación de MARKET 360 contestando en similares términos a los realizados por IMPACTING en lo que respecta a la discrepancia de fechas que aparecen en el “Contrato de campaña comercial”, de fecha 06/06/2014, señalando que de acuerdo con las cláusulas 2.1, 5.1 y 2.3 del mismo le correspondía a IMPACTING efectuar la comunicación electrónica a la denunciante para obtener su consentimiento a la cesión de sus datos a MARKET 360 para enviarle ofertas de “News Club”, si bien IMPACTING le ha informado que no dispone de la comunicación electrónica enviada al denunciante. La cláusula de recogida del consentimiento tácito de los usuarios establecida en el Anexo I del mencionado contrato fue redactada por TARSYS. A través del portal web www.mailnoticias.com los usuarios pueden solicitar el tipo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/43 secciones de noticias y la frecuencia con la que desean recibirlas en la dirección de correo electrónico que faciliten. Aportan documento de “Política de Privacidad y de MARKET 360 de 2014. Presentan la misma captura de pantalla que la aportada por IMPACTING para acreditar la fecha de cesión de los datos personales de la denunciante y el detalle de los mismos, justifican con iguales argumentos que IMPACTING que acceden a la Lista Robinson a través de otra empresa del mismo grupo. Afirman que no podían imaginarse que el asesoramiento jurídico prestado por TARSYS fuera insuficiente para poder ceder los datos personales conforme a la normativa de protección de datos, señalando que a través de la documentación adjuntada al escrito de alegaciones se justifica la relación contractual existente con TARSYS, la cual se ve corroborada mediante el correo electrónico remitido por TARSYS el 24/02/2015, el resumen de las tareas de asesoramiento y mantenimiento LOPD llevadas a cabo por esa empresa para IMPACTING y MARKET 360 desde enero de 2014 al 20 de febrero de 2015 adjuntado al citado correo y las facturas emitidas a ambas entidades por los servicios de asesoramiento prestados en 2014 y 2015 distintos de los de auditoria de protección de datos. Aclaran que no es tanto que hayan alegado que JAZZTEL “fuera encargado de tratamiento sino que este fue el planteamiento que la entidad Tarsys le hizo de manera persistente “ y ” tal fue el pensamiento y la convicción que esta representación tuvo, poniendo el acento en aquellas cláusulas que así parecen confirmarlo.“ . Afirman que MARKET 360 y JAZZTEL entendieron que con el contrato suscrito no era necesario suscribir anexo adicional para que aquélla pudiera efectuar materialmente los envíos por cuenta de MARKET 360. Ambas partes acordaron como parámetro identificativo de los destinatarios de la campaña los números de teléfono de residentes en zonas definidas por JAZZTEL. No hay facturas giradas por JAZZTEL a MARKET 360, sino que el envío por JAZZTEL de los SMS a través de su plataforma supuso un menor coste en las condiciones económicas ofrecidas y en las facturas emitidas. Los ficheros cedidos a JAZZTEL para la realización de las campañas de SMS son eliminados por ésta una vez realizadas las mismas. DECIMOQUINTO: Con fecha 15 de julio de 2016 se incorpora al procedimiento impresión de la siguiente documentación obtenida en Internet: “Política de Privacidad” y “Aviso Legal” e información correspondiente al apartado “Quienes somos” de la página web http://www.servicioempleo.com “Política de Privacidad” de la página web http://www.promoahorro.com “Aviso Legal” de la página web http://www.mailnoticias.com “Política de Privacidad” de la página web http://www.infoempleo.com y del formulario de alta. DECIMOSEXTO: Con fecha 28 de julio de 2016 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a las siguientes entidades: A IMPACTING EMAIL MARKETING SOLUTIONS, S.L., con multa de 10.000 € (Diez mil euros) por la infracción del artículo 11.1 de la LOPD en su relación con lo dispuesto en el artículo 11.3 de la misma norma, tipificada como grave en el artículo 44.3.
25. k)de dicha norma , con arreglo a lo previsto en el artículo 45.1, 2, 4 y 5 de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/43 A MARKET 360 DEGREES S.L con multa de 10.000 € (Diez mil euros) por la infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
26. k)de dicha norma, con arreglo a lo previsto en el artículo 45.1, 2, 4 y 5 de la citada LOPD. A ORANGE ESPAGNE, S.A.U. con multa de 6.600 € (Seis mil seiscientos euros) , por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
27. d)de dicha norma, con arreglo a lo dispuesto en los artículos 39.1.
28. c)y 40 de la citada LSSI. Asimismo, se propuso ARCHIVAR las actuaciones practicadas en el procedimiento sancionador PS/00106/2016 instruido a MARKET 360 DEGREES S.L por supuesta infracción del artículo 21.1 de la LSSI. Las propuestas de resolución se notificaron fecha 28 de julio de 2016. a las tres entidades citadas con DECIMOCTAVO: Con fecha 11 de agosto de 2016 se registra de entrada escrito de MARKET 360 e IMPACTING solicitando petición de copia del procedimiento y ampliación de plazo para formular alegaciones. Con fecha 17 de agosto de 2016 se remite copia del procedimiento a ambas entidades. Con fecha 22 de agosto de 2016, se acuerda denegar la ampliación de plazo solicitada por ambas empresas por no estar motivada la petición y haberse concedido a ambas empresas sendas ampliaciones de plazo con fechas 5 de abril y 2 de junio de 2016, a lo que se añadía que en el procedimiento únicamente se habían tenido en cuenta los elementos fácticos comunicados en la propuesta de resolución, que básicamente contestaban a las alegaciones efectuadas por esas empresas. Todo ello, de conformidad con lo dispuesto en el artículo 49.3 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. HECHOS PROBADOS PRIMERO: Con fecha 5 de noviembre de 2015 se registra de entrada en la AEPD escrito de la denunciante comunicando la recepción de mensajes cortos de texto (SMSs) en su línea de teléfono móvil ***TEL.1 con publicidad de JAZZTEL, los cuales se producen con posterioridad a haber solicitado la baja de los mismos. (folios 1 , 2 y 14) SEGUNDO: Con fecha 20 de mayo de 2015 la denunciante remitió desde su cuenta de correo ......@gmail.com a la dirección bajas@market360.es solicitud en el siguiente sentido: “Quiero dar de baja esta dirección de correo y el móvil ***TEL.1”, petición que reitero utilizando el mismo canal el 17 de junio de 2015 y el 15 de octubre de 2015, especificando en esta tercera solicitud “Solicito que me deis de baja de vuestra Base de Datos”. (folios 3 al 10) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/43 TERCERO: La dirección bajas@market360.es era el mecanismo de baja incluido en los SMSs comerciales de JAZZTEL recibidos por la afectada en la citada línea de teléfono con fechas 22 de abril y 20 de mayo de 2015. (oflio 6) CUARTO: Además, la denunciante recibió con fechas 17 de junio, 16 de septiembre y 14 de octubre de 2015 en la línea de teléfono móvil ***TEL.1 tres SMSs de JAZZTEL promocionando la fibra óptica de dicha compañía, en la actualidad ORANGE. Los tres mensajes citados incluyen el enlace http:goo............ como mecanismo para oponerse a su recepción. (folios 6 , 12 y 13) QUINTO: Los tres SMSs reseñados fueron remitidos por JAZZTEL a través de su propia red de telecomunicaciones (folio 447) SEXTO: Con fecha 6 de junio de 2014 se celebra “Contrato de campaña comercial” entre IMPACTING, “Titular de la Base de Datos” y titular del fichero “Usuarios”, en adelante el “Fichero”, en el contrato, y MARKET 360, en el que las partes “EXPONEN: (folios 37 al 46) I.- Que el Titular de la Base de Datos es una compañía que se dedica, entre otras actividades, al tratamiento de datos personales con fines de publicidad y de prospección comercial así como a la creación, tratamiento y gestión de ficheros de datos personales con plena sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, "LOPD"), y demás disposiciones que la desarrollan, disponiendo para ello de la organización y medios técnicos y humanos necesarios y suficientes. II.- Que en particular, el Titular de la Base de Datos dispone del siguiente fichero de datos personales, denominado "Usuarios" inscrito en el Registro General de la Agencia Española de Protección de Datos, (en adelante, el "Fichero"). III.- Que según manifiesta y garantiza el Titular de la Base de Datos, los datos contenidos en dicho Fichero han sido obtenidos de los propios interesados y/o con su consentimiento a través de la cumplimentación on line/off line de formularios, conforme a las exigencias previstas en la LOPD y el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007 de 21 de diciembre (en adelante, el "Reglamento"), en particular, aunque sin ánimo limitativo, en relación con la posibilidad de que sus datos se utilicen para realizar campañas publicitarias de información de productos y servicios de terceros, incluyendo campañas a realizar por medios electrónicos conforme a lo dispuesto en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, "LSSI"). III.- Que MARKET 360 es una sociedad cuya actividad principal consiste en prestación de diversos servicios relacionados con diversos ficheros/bases de datos para acciones de marketing directo de direcciones, y está interesada en la realización de una campaña comercial para la presentación del Club "News Club"". (…) CLAUSULAS PRIMERA.-OBTETO 1.1. Constituye el objeto del presente contrato la realización por parte del Titular de la Base de Datos, por su cuenta y riesgo pero en interés de MARKET 360, de una campaña publicitaria en el ámbito del territorio español, consistente en la remisión mediante comunicación electrónica, de información relativa al Club "News Club" C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/43 utilizando a tal fin en forma no exclusiva, al conjunto de registros obrantes en el Fichero titularidad del Titular de la Base de Datos al que se ha hecho referencia en el anterior Expositivo II (en adelante, la "Campaña"). En virtud de dicha Campaña, el Titular de la Base de Datos se compromete a recabar el consentimiento válido e informado de los interesados para la cesión de sus datos a MARKET 360 en los términos y condiciones descritos en el ANEXO I. 12.Los registros, formados cada uno de ellos por el nombre, apellidos, sexo, fecha nacimiento, dirección, población, Provincia, cp, e-mail y Móvil, Teléfono, de los destinatarios de la Campaña, conforme se desglosa en el ANEXO I, se destinarán para la realización de la Campaña, que se iniciará el 15 de Octubre del 2012, finalizando el 29 de Octubre del 2012 13.El Titular de la Base de Datos, como Responsable del Fichero o Tratamiento del que provienen los registros, se reserva la propiedad sobre el mismo, pudiendo utilizar la información contenida en el mismo cuantas veces estime conveniente. 14.El plazo, ámbito, términos y demás condiciones relativas a la Campaña son asimismo los previstos en el ANEXO I del presente contrato. SEGUNDA.- TRATAMIENTO DE LOS DATOS 21El Titular de la Base de Datos, como responsable y titular del fichero y tratamiento de los datos de carácter personal, se encargará de realizar directamente, o contratando los servicios de una empresa especializada bajo su exclusiva responsabilidad, las acciones necesarias para la realización del envío publicitario de la Campaña de MARKET 360. 22(…) 23Como consecuencia de la operativa de la Campaña los registros no pasarán en ningún momento durante la realización de la misma, a estar en posesión de MARKET 360 ni se le revelará dato de carácter personal alguno y por consiguiente MARKET 360 no tendrá conocimiento ni acceso material a los datos personales de los destinatarios de la Campaña. Consecuentemente, MARKET 360 no llevará a cabo tratamiento alguno de los datos de carácter personal obrantes en el fichero del Titular de la Base de Dato. MARKET 360 únicamente tendrá acceso y sólo introducirá en sus ficheros los datos (
29. i)de las personas que respondan a la Campaña y se interesen por el Club “News Club” y, a tal efecto, soliciten su adhesión al mismo; y(
30. ii)los datos de las personas que, una vez finalizada la Campaña hayan consentido la cesión de sus datos a MARKET 360 en los términos y plazos descritos en el ANEXO I (…) CUARTA.- DURACIÓN 4.1 El presente contrato entrará en vigor a la firma del mismo, y tendrá la duración de la Campaña establecida en la estipulación 1.2 del presente contrato, esto es hasta el 29 de Octubre del 2012 (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/43 SEXTA.- OBLIGACIONES Y RESPONSABILIDADES DE LAS PARTES EN MATERIA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. 6.1 Obligaciones y responsabilidades del Titular de la Base de Datos. 6.11El Titular de la Base de Datos manifiesta estar al corriente en cuanto a la totalidad de las obligaciones de la normativa relativa a la protección de datos personales. En particular, y a los efectos del presente contrato, el Titular de la Base de Datos manifiesta que tiene debidamente declarado en el Registro General de la Agencia de Protección de Datos el Fichero, manifestando asimismo estar al corriente respecto de las obligaciones en materia de seguridad de los datos, teniendo adoptadas sobre la identificada base de datos y los sistemas que lo tratan las medidas de seguridad del nivel básico, que declara ser el adecuado y pertinente de conformidad con lo dispuesto por tal normativa. 6.12En su consecuencia, el Titular de la Base de Datos, garantiza, respecto de dicho Fichero que; - los datos que lo integran se han obtenido de manera lícita de los propios interesados y con su consentimiento informado tanto para el tratamiento como para el uso que se pretende realizar de los mismos por virtud del presente Contrato. Por consiguiente, el Titular de la Base de Datos garantiza disponer del consentimiento informado para que los datos sean utilizados para realizar campañas publicitarias de información de productos y servicios de terceras empresas, incluyendo campañas a realizar por medios electrónicos conforme a lo dispuesto en la LSSI y la normativa sobre protección de datos de carácter personal; - los datos de carácter personal que integran dicho Fichero son exactos, veraces y se encuentran y encontrarán actualizados en el momento de realizar el envío publicitario de la Campaña; - los datos que lo integran y que serán los utilizados para el envío promocional de la Campaña serán los adecuados y pertinentes en relación con la finalidad para la que han sido recogidos; - ha cumplido y cumple con los requisitos establecidos por la normativa de protección de datos de carácter personal en relación al ejercicio de derechos de acceso, rectificación, cancelación y oposición y, específicamente con lo dispuesto en los capítulos I a IV del Título III del Reglamento y en particular las exigencias respecto al derecho de oposición según lo dispuesto en el artículo 51 del Reglamento; - se da cumplimiento a lo dispuesto en los artículos 45 y siguientes del Reglamento que establecen los requisitos que se deben garantizar para llevar a cabo tratamientos para actividades de publicidad y prospección comercial. - se consultan periódicamente los Ficheros comunes de exclusión del envío de comunicaciones comerciales a fin de evitar que sean objeto de tratamiento datos de usuarios que hubieran manifestado su oposición o negativa al tratamiento de sus datos. - ha implementado las medidas de seguridad del nivel básico establecidas en la LOPD y el Reglamento y que dichas medidas de seguridad están recogidas en un Documento de Seguridad, que es conocido y de obligado cumplimiento por todo su personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/43 - únicamente facilitará a MARKET 360 los datos de aquellos interesados que, en los plazos y términos establecidos en el ANEXO I, no hayan manifestado su oposición por cualquier medio a la cesión de sus datos a MARKET 360 con la finalidad de participar en el Club "News Club" (El subrayado es de la AEPD) En el ANEXO I del “Contrato de campaña comercial” se especifica: “1.1 .-Contenido del Fichero: { el nombre, apellidos, sexo, fecha nacimiento, dirección, población, Provincia, cp, e-mail y Móvil, Teléfono} 1.2.- Calendario de la Campaña: La campaña se iniciará el 7 de [unió del 2014, finalizando el 14 de Junio del 2014. 1.3.- Realización de la Campaña: El Titular de la Base de Datos se compromete a realizar, durante el calendario de la Campaña, el 7 de junio del 2014, finalizando el 14 de Junio del 2014, envíos publicitarios a los integrantes del Fichero que hayan manifestado su interés en los sectores Formación, selección, Ocio, Outlets, Financiero, Editorial, Educación, Automoción, ONG, Telecomunicaciones, Consultaría, Energía, Medicina, Textil, Hogar, Higiene, Salud, Belleza, Cuidado Personal, Mobiliario, Alimentación, Coleccionismo, Música, Vídeos, Pasatiempos, Material de Oficina, Informática, Tecnología, Viajes, Joyería, Droguería y limpieza. Seguros, al que se dedica MARKET 360, y que hayan otorgado su consentimiento válido e informado para el tratamiento de sus datos con fines comerciales y, especialmente, para que sus datos sean Utilizados para el envío por medios electrónicos de información sobre productos v servicios de terceras empresas del sectores Formación, selección, Ocio, Outlets. Financiero, Editorial, Educación, Automoción, ONG, Telecomunicaciones, Consultoría, Energía, Medicina, Textil, Hogar, Higiene, Salud, Belleza. Cuidado Personal, Mobiliario, Alimentación, Coleccionismo, Música, Vídeos, Pasatiempos, Material de Oficina, Informática, Tecnología, Viajes, Joyería, Droguería y Limpieza, Seguros. A este fin, MARKET 360 facilitara las creatividades que utilizará el Titular de la Base de Datos para la realización de la Campaña. Cualquier modificación en las mismas deberá ser autorizada por MARKET 360, En todos los envíos publicitarios de la Campaña deberá incluirse la siguiente cláusula de forma claramente visible, con la finalidad de recabar el consentimiento informado y válido de los interesados para la cesión de sus datos a MARKET 360. "El Club "News Club" pertenece y es gestionado por MARKET 360 DEGREES S.L. con CIF B******** y domicilio en Calle (C/...2) Madrid. Para que puedas beneficiarte de los ventajas de este club, y salvo que nos indiques lo contrario, procederemos a la cesión de tus datos a MARKET 360, S.L. con la finalidad de que puedas formar parte del Club "News Club", y de este modo, esta compañía te remita Información comercial (incluyendo la newsletter electrónica) sobre sus actividades y servicios, por vía postal, telefónica, correo electrónico, SMS, o cualquier otro medio de comunicación electrónica equivalente.. La cesión de tus datos no se producirá hasta transcurridos 30 días desde la recepción de la presente comunicación, plazo durante el cual puedes comunicamos tu oposición a la misma a través de la siguiente dirección de correo electrónica: bajas@impacting.es 1.4.- Finalización de la Campaña: Transcurridos 45 días de la fecha de envío de la Campaña, el Titular de la Base de Dalos facilitará a MARKET 360 únicamente los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/43 de aquellos usuarios que no hayan manifestado su oposición a la cesión de sus datos por cualquier medio. (…)” El subrayado es de la AEPD SÉPTIMO: Con fecha 27 de noviembre de 2014 se celebra “Contrato de cesión de datos personales” entre MARKET 360 y JAZZTEL, citados como el TITULAR y CLIENTE , respectivamente, en el contrato, y en que las partes MANIFIESTAN: (folios 47 al 56) “I.- Que Market 360 (en adelante, también el TITULAR) es responsable de un fichero de datos de carácter personal inscrito en el Registro de la Agencia Española de Protección de Datos (en adelante "el Fichero") y que se encuentra facultada para su utilización en la elaboración de listados de destinatarios de campañas publicitarias o acciones de marketing directo, conformados por datos del citado Fichero. II.- Que JAZZTEL es una entidad dedicada principalmente al sector de las telecomunicaciones que, para la promoción de su actividad precisa la realización de campañas publicitarias de sus productos, hallándose interesada en realizar campañas de sus productos dirigidas a potenciales clientes para lo cual desea tener acceso al Fichero del que es titular MARKET 360 y que ésta está interesada en ceder a JAZZTEL. III.- Que en este contexto, las partes han convenido celebrar entre ellas el presente CONTRATO DE CESIÓN DE DATOS, que se regirá por las siguientes, ESTIPULACIONES PRIMERA.- Objeto del contrato Constituye el objeto del presente contrato regular el uso por parte de JAZZTEL de determinados ficheros de datos personales de titularidad del TITULAR para enviar ofertas de productos y servicios de telecomunicaciones, y que se concretarán en cada ocasión mediante el correspondiente Anexo al Contrato. SEGUNDA.- Designación de destinatarios Será JAZZTEL quien designe los destinatarios finales de las campañas publicitarias (en adelante, los "Destinatarios"), informando al TITULAR de la segmentación específica a la que desea enviar su publicidad, respetándose en todo caso el número de registros acordados para cada concreta Campaña en la correspondiente hoja de encargo. TERCERA.- Garantías del Fichero propiedad del TITULAR que recibirá JAZZTEL El TITULAR, certifica a JAZZTEL los siguientes extremos: . Que el Fichero se encuentra actualizado y contiene todos los datos necesarios para su utilización en campañas de marketing directo. . Que los datos personales de los Destinatarios han sido facilitados por los propios interesados u obtenidos con su consentimiento. Que el Titular, mediante su política de privacidad, ha informado a los Destinatarios de que están incluidos en el Fichero, de conformidad con la vigente normativa de protección de datos, y de la posibilidad de recibir publicidad o información de terceras empresas del sector de actividad al que pertenece JAZZTEL, esto es, al sector de las telecomunicaciones. . Que, en consecuencia de lo indicado en el párrafo anterior, la totalidad de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/43 destinatarios han sido informados a través de su política de privacidad de la posibilidad de recibir publicidad del sector de actividad al que pertenece JAZZTEL y que el TITULAR ha recabado todos los consentimientos exigidos por la normativa vigente. . Que el TITULAR respeta escrupulosamente los derechos de sus clientes, incluyendo a los Destinatarios, por lo que si recibe solicitudes de éstos oponiéndose a la posibilidad de recibir ofertas de terceros, no les remite oferta alguna de terceros, asegurándose el TITULAR de no ceder los mismos al CLIENTE. . Para pasar a formar parte de la base de datos del TITULAR, el interesado debe aceptar expresamente su política de privacidad, para ello es necesario pulsar el "check box" de confirmación. Junto a este "check box" se encuentra el enlace que conduce directamente a la política de privacidad del titular del fichero. . Que el Titular ha eliminado de su fichero a todo aquel afectado que se haya opuesto a que sus datos fueran cedidos o que no quisiera recibir publicidad de terceros. . Que el Titular será responsable de excluir a aquellas personas que figuren en la Lista Robinson que gestiona la Asociación Española de la Economía Digital (ADIGITAL), en caso de no haber obtenido directamente del interesado su consentimiento para el tratamiento de sus datos con los fines descritos en el presente Contrato. En cualquier caso, el Titular manifiesta que no utiliza datos personales que figuren en fuentes públicas y no utiliza ficheros de los que no sea responsable. . Que en caso de ficheros de terceros gestionados por el TITULAR se cumplen los mismos principios que los expresados anteriormente, en el presente Contrato. Esta situación ha sido recogida por el TITULAR mediante contratos expresos con las empresas responsables de ficheros en las que declaran tener registrados los ficheros ante la Agencia Española de Protección de Datos y que los datos contenidos en dichos Ficheros han sido obtenidos de los propios interesados con su consentimiento expreso, habiendo sido informados los usuarios de la identidad del responsable del fichero, de la finalidad de la obtención de sus datos en los términos establecidos en la legislación y de la posibilidad de que sus datos se utilicen para realizar campañas publicitarias de información de productos y servicios de terceros agentes por medios electrónicos. Asimismo, el TITULAR declara que ha sido autorizada expresamente por escrito por los titulares de dichos ficheros para formalizar este Contrato y para hacer las declaraciones y obligarse frente al CLIENTE conforme a lo dispuesto en el mismo. Se acompaña, como Anexo I, ejemplar de la política de privacidad del TITULAR, que todos los usuarios que han accedido a formar parte del fichero del CLIENTE por el que se formaliza el presente Contrato. No obstante lo anterior, el TITULAR del fichero responderá frente a JAZZTEL, manteniéndola indemne de cualquier responsabilidad en el caso de que la Agencia Española de Protección de Fatos ("AEPD") entendiera que la cláusula informativa que consta en el ANEXO I infringe la LOPD, el RLOPD o cualquier otra normativa aplicable en materia de protección de datos de carácter personal. JAZZTEL expresamente declara que asume las responsabilidades derivadas de la campaña promocional y publicitaria que remitiera a los Destinatarios que forman parte del Fichero objeto del presente contrato en cuanto a la licitud y legalidad del contenido de la publicidad, así como de los compromisos y/o obligaciones que asuma frente a terceros, consumidores, clientes en virtud del mismo, eximiendo expresamente al TITULAR en tal sentido, respecto de la responsabilidad frente a cualquier Administración Pública, Juzgado o Tribunal, Ente, Organismo, Organización o cualquier persona física o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/43 jurídica, por lo que se compromete de forma expresa a mantener indemne al TITULAR del fichero y a que su publicidad y actuación respetarán lo establecido en la normativa que le sea de aplicación. (….) CUARTA.- Personalización de los envíos La comunicación de los datos del fichero cedido a JAZZTEL se realiza de manera limitada en tiempo y uso, esto es, para su utilización en el plazo de 15 días desde la entrega del Fichero a JAZZTEL y por 1 solo uso, no pudiendo realizar más de una acción comercial sobre los registros entregados. En caso de que el TITULAR reciba una solicitud de oposición, rectificación o cancelación de datos, lo comunicará a JAZZTEL en el plazo máximo de 10 días desde la recepción de la misma, a los efectos previstos en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento que desarrolla la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. En caso de que JAZZTEL necesite llevar a cabo la contratación de un tercero para llevar a cabo los tratamientos de los datos encaminados a llevar a cabo la ejecución material de la campaña será obligación de JAZZTEL firma del pertinente contrato exigido por el artículo 12 LOPD con el encargado de tratamiento. El mencionado contrato deberá contener, entre otros, las siguientes especificaciones: •Realizar el tratamiento de los datos conforme a las instrucciones específicas facilitadas por JAZZTEL. •Prohibición absoluta de añadir información adicional alguna a registros. la contenida en los •Prohibición de aplicar o utilizar los registros para fin diferente al fijado en el contrato. •Prohibición de copiar, ni total ni parcialmente, la información que le ha sido suministrada, ni incorporarla a procesos o tratamientos informáticos diferentes a los especificados. •Prohibición de cederlos a terceros bajo ningún tipo de relación jurídica. •Cumplida la prestación contractual, se deberá proceder a la destrucción de los ficheros entregados, certificando debidamente este extremo. El CLIENTE únicamente introducirá en sus ficheros los datos de las personas que directamente le facilitaran a éste sus datos a tal efecto como resultado de la campaña. Igualmente queda terminantemente prohibida la contratación con encargados de tratamiento que se encuentren ubicados en un país que no otorgue un nivel adecuado de protección, salvo que se obtenga la autorización previa del Director de la Agencia Española de Protección de Datos, de conformidad con el artículo 33 LOPD. QUINTA.- Ejercicio de los derechos de los interesados Al objeto de que los destinatarios de la campaña publicitaria objeto de este contrato puedan ejercitar los derechos de acceso, rectificación, cancelación u oposición en los términos establecidos en la LOPD, y de acuerdo con lo señalado en la citada Ley y en el RLOPD, el CLIENTE, como entidad beneficiaría de la publicidad, expresamente se compromete a hacer constar, de forma clara y comprensible, en los mensajes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/43 publicitarios que se remitan a los destinatarios de la campaña publicitaria objeto de este contrato, un medio sencillo y gratuito para garantizar la baja. Por tanto, en cada comunicación comercial realizada por correo postal y telemarketing se deberá informar al usuario de: "Los datos personales empleados para la realización de esta comunicación proceden del fichero inscrito ante el Registro General de Protección de Datos, responsabilidad de MARKET 360 General Ramírez de Madrid 8 28020 de Madrid, al cual podrá dirigirse por escrito para ejercitar sus derechos de acceso, rectificación cancelación y oposición o mediante correo electrónico en la dirección info@market360.es ". Igual información será facilitada a los destinatarios de cualquier clase de acción publicitaria. En concreto, cuando se trate de una campaña de Marketing telefónico, el CLIENTE se compromete a poner a disposición de los teleoperadores el texto mencionado con el objeto de que en todas y cada una de las llamadas que realicen puedan informar a los interesados de la leyenda citada. En cada envío publicitario realizado enviando un SMS/MMS, aparecerá necesariamente al final del texto bajas@market360.es..” (El subrayado es de la AEPD OCTAVO: En los Anexos al citado “Contrato de cesión de datos personales” aportados por MARKET 360, de fechas 14 de enero, 7 de abril, 18 de mayo, 15 de junio, 15 de septiembre, 14 de octubre, 20 de noviembre y 15 de diciembre de 2015, aparece, entre otra información, que se refieren a campañas de “SMS” en las que JAZZTEL es Beneficiario de la Publicidad, fijan la fecha de entrega del fichero y la fecha prevista para la realización de la campaña, concretan el número de registros a entregar, como parámetros identificativos solicitados por el CLIENTE consta el “Número de teléfono móvil de residentes en las zonas de cobertura fibra de Jazztel”, establecen como leyenda a facilitar por el CLIENTE al usuario: “Campañas de SMS: EL CLIENTE deberá incluir una dirección de correo para bajas: bajas@market360.es” en los tres primeros Anexos, mientras que en los restantes anexos era: “Campañas de SMS: EL CLIENTE deberá incluir una dirección de correo para bajas: http:goo............” (folios 29 al 36) NOVENO: IMPACTING cedió a MARKET 360 en virtud del “Contrato de campaña comercial” suscrito el 6 de junio de 2014 los siguientes datos, los cuales fueron incluidos en el fichero titularidad de MARKET 360: (folios 24, 654, 709, 770). • Nombre y apellidos: A.A.A. • Correo electrónico: ......@gmail.com • Dirección postal: (C/...1)Madrid • Número de teléfono fijo: ***TEL.2 • Número de teléfono móvil: ***TEL.1 DÉCIMO: IMPACTING y MARKET han aportado una captura de pantalla en la que aparece el día 21 de noviembre de 2014 como fecha de la cesión de los datos de la denunciante (folios 626 y 771 ) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/43 UNDÉCIMO: IMPACTING ha señalado que los datos de la denunciante fueron cedidos a esa empresa por INFOEMPLEO, S.L., de acuerdo con el contrato de campaña comercial firmado entre ambas partes con fecha 26 de octubre de 2012. (folio 526) DUODÉCIMO: IMPACTING ha indicado a esta Agencia que no ha podido localizar los datos del email ......@gmail.com de la denunciante entre los datos de los usuarios a los que se recabó su consentimiento tácito a la cesión de sus datos a MARKET 360 con la finalidad de enviar información comercial sobre las actividades y servicios del Club “News Club” . DECIMOTERCERO: IMPACTING ha comunicado que no dispone de acreditación documental del consentimiento de la denunciante a IMPACTING para la cesión de sus datos personales a terceros al objeto de recibir publicidad del sector de las telecomunicaciones por medios de comunicación electrónica. (folios 534 y 710) ) DECIMOCIUARTO: Con fecha 12 de noviembre de 2015 MARKET 360 en sus sistemas el teléfono móvil de la denunciante. (folios 167, 333 ). dio de baja DECIMOQUINTO: Consta que MARKET 360 expidió con fecha 4 de noviembre de 2015 una factura a JAZZTEL por el concepto “Suministro de número de teléfono para SMS” (folio 336) DECIMOSEXTO: Con fecha 15 de septiembre de 2015 la denunciante inscribió en el Servicio de Lista Robinson de ADIGITAL el número de teléfono ***TEL.1 (folio 449) DECIMOSÉPTIMO: MARKET 360 DEGREES, S.L. es titular de los sitios www.market360.es y www.mailnoticas.com (folios 62, 613, 614 y 792 ) web DECIMOCTAVO: IMPACTING es titular de los sitios web www.servicioempleo.com y www.promoahorro.com (folios 774 al 781 y 783 al 791 ) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
31. g)en relación con el artículo 36 de la LOPD. II En el presente procedimiento se imputa a las entidades IMPACTING y MARKET 360 una infracción a lo dispuesto en el artículo 11.1 de la LOPD, que en el caso de la primera de las sociedades citadas se pone en relación con lo previsto en el artículo 11.3 de dicha norma. Los apartados 1 al 3 del artículo 11 de la LOPD establecen: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/43 comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
32. a)Cuando la cesión está autorizada en una ley.
33. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
34. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
35. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
36. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
37. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. “ Así, con carácter general, el artículo 11 de la LOPD exige el consentimiento previo del afectado para la cesión de sus datos personales, requisito que no será preciso cuando se produzca alguno de los supuestos recogidos en el apartado 2 del mismo precepto, considerándose nulo tal consentimiento cuando la información que se facilite al titular de los datos le impida conocer la finalidad a la que se destinarán los datos cuya comunicación autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. Por su parte, el artículo 6, apartados 1 y 2, de la citada Ley Orgánica, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/43 responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación legal, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de la comunicación de los mismos a terceros. A su vez, el artículo 12 del RLOPD establece como principios generales para la obtención del consentimiento del afectado: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “(El subrayado es de la AEPD) El artículo 14 del RLOPD establece como “Forma de recabar el consentimiento”: “1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/43 previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. (El subrayado es de la AEPD) En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. 4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. 5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud” (El subrayado es de la AEPD) El artículo 5 de la LOPD citado en el anterior preceto, bajo la rúbrica de “Derecho a información en la recogida de datos”, dispone en su apartado primero que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
38. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
39. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
40. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
41. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
42. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. “ Y en la misma línea, el artículo 45.1.
43. b)del RLOPD, que también resulta de aplicación al presente caso en atención a las actividades desarrolladas por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/43 IMPACTING MARKET 360 con bases de datos de carácter personal para acciones publicitarias y de prospección comercial, establece: “Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (….)
44. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el artículo 12 de la LOPD, que dispone: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” III El artículo 3 de la LOPD establece las siguientes definiciones respecto de los conceptos contenidos en los preceptos citados en el anterior Fundamento de Derecho: “
45. a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
46. b)Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/43 fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
47. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
48. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
49. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
50. c)del presente artículo. “ “
51. g)Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
52. h)Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
53. i)Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado. “ IV Del conjunto de elementos fácticos obrantes en el procedimiento se desprende que el nombre y apellidos, correo electrónico, dirección postal, números de línea de teléfono fijo y móvil de la denunciante (Hecho Probado nº 9) fueron cedidos por IMPACTING, titular de la base de datos, a MARKET 360, empresas cuya actividad se encuentra vinculada al tratamiento de ficheros de datos personales con fines de publicidad en interés propio o de terceros, a raíz de la firma del “Contrato de campaña Comercial “ celebrado entre ambas partes el 6 de junio de 2014, el cual tenía por objeto “la realización por parte del Titular de la Base de Datos, por su cuenta y riesgo pero en interés de MARKET 360, de una campaña publicitaria en el ámbito del territorio español, consistente en la remisión mediante comunicación electrónica, de información relativa al Club "News Club" utilizando a tal fin en forma no exclusiva, al conjunto de registros obrantes en el Fichero titularidad del Titular de la Base de Datos al que se ha hecho referencia en el anterior Expositivo II (en adelante, la "Campaña"). En virtud de dicha Campaña, IMPACTING se comprometía “a recabar el consentimiento válido e informado de los interesados para la cesión de sus datos a MARKET 360 en los términos y condiciones descritos en el ANEXO I.”, El mencionado Anexo I disponía que en todos los envíos publicitarios de la Campaña debía incluirse la siguiente cláusula de forma claramente visible, con la finalidad de recabar el consentimiento informado y válido de los interesados para la cesión de sus datos a MARKET 360. "El Club "News Club" pertenece y es gestionado por MARKET 360 DEGREES S.L. con CIF B******** y domicilio en Calle (C/...2) Madrid. Para que puedas beneficiarte de los ventajas de este club, y salvo que nos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/43 indiques lo contrario, procederemos a la cesión de tus datos a MARKET 360, S.L. con la finalidad de que puedas formar parte del Club "News Club", y de este modo, esta compañía te remita Información comercial (incluyendo la newsletter electrónica) sobre sus actividades y servicios, por vía postal, telefónica, correo electrónico, SMS, o cualquier otro medio de comunicación electrónica equivalente. La cesión de tus datos no se producirá hasta transcurridos 30 días desde la recepción de la presente comunicación, plazo durante el cual puedes comunicamos tu oposición a la misma a través de la siguiente dirección de correo electrónica: bajas@impacting.es “ (El subrayado es de la AEPD) Asimismo, constaba en dicho Anexo I que “Transcurridos 45 días de la fecha de envío de la Campaña, el Titular de la Base de Dalos facilitará a MARKET 360 únicamente los datos de aquellos usuarios que no hayan manifestado su oposición a la cesión de sus datos por cualquier medio.”. Hay que tener en cuenta que el artículo 14 del citado Reglamento de desarrollo de la LOPD, permite el envío por parte del responsable del tratamiento de una comunicación a los afectados para solicitar el consentimiento de los mismos al tratamiento de sus datos de carácter personal para finalidades para las que no se cuenta con el mismo, como sería su comunicación a terceros, estableciéndose en dicho precepto el procedimiento que ha de seguirse para esta forma de recabar el consentimiento. Ahora bien, del contenido de la cláusula utilizada por IMPACTING para recabar, al amparo del reseñado artículo 14 del RLOPD, el consentimiento tácito e informado de los usuarios cuyos datos de carácter personal iban a comunicarse a MARKET 360, siempre y cuando los destinatarios de la comunicación electrónica no se hubieran opuesto a dicha cesión utilizando el correo electrónico facilitado para ello en el envío, se desprende que el procedimiento utilizado no cumple con las exigencias del mencionado artículo 14 de la LOPD. Por una parte el artículo 14 del RLOPD establece que el procedimiento dispuesto en dicho precepto no resulta de aplicación cuando la Ley exija al responsable del tratamiento la obtención del consentimiento expreso para el tratamiento de los datos de los afectados. Dicha situación se produce en este supuesto en el que la comunicación electrónica analizada advierte que la información comercial, además de por vía postal o telefónica, podrá realizarse a través de medios de comunicación electrónica, envíos que con arreglo a lo dispuesto en el artículo 21 de la LSSI requieren del consentimiento previo y expreso de los destinatarios de las comunicaciones comerciales realizadas por dichos medios, que incluye el correo electrónico y los SMS. Por otra parte, la amplia cláusula informativa utilizada en la comunicación electrónica no determina con claridad la finalidad para la que se cederán los datos, limitándose a indicar que la finalidad de la cesión era “formar parte del Club “News club” a los efectos de recibir información comercial sobre las actividades y servicios de MARKET 360, empresa que, al igual que IMPACTING, se dedicada a actividades de publicidad, sin especificar los sectores de actividad sobre los que se podía recibir publicidad, por lo que el consentimiento estaría viciado de nulidad de conformidad con lo dispuesto en el artículo 11.3 de la LOPD y no resultaría válido . En el caso analizado junto a la nulidad de la cláusula utilizada por IMPACTING para la obtención del consentimiento de los titulares a la cesión de sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/43 personales para la realización de campañas de publicidad electrónica, concurre la circunstancia de que dicha entidad ha manifestado no poder acreditar la realización del envío previo de la citada comunicación electrónica a la denunciante para obtener el consentimiento de la misma para la cesión de sus datos personales a MARKET 360. A lo que esta Agencia añade que IMPACTING ni siquiera ha justificado el envío a la afectada del correo electrónico para obtener el consentimiento de la misma a la cesión de sus datos personales a MARKET 360. Es decir, no obstante la nulidad de la cláusula que consta en el Anexo I del contrato de fecha 6 de junio de 2014 y no estar acreditado que la afectada hubiera otorgado su consentimiento para el tratamiento y cesión de sus datos de carácter personal a MARKET 360 en la forma prevista en el artículo 14 del RLOPD, IMPACTING procedió a comunicar a dicha empresa los datos de la denunciante que figuran en el Hecho Probado 9 (nombre y apellidos, correo electrónico, dirección postal y números de teléfono fijo y móvil de la afectada) para su uso con fines publicitarios sin asegurarse de contar con el consentimiento de la interesada para ello. A su vez, incorporados por MARKET 360 los datos cedidos de la denunciante a sus propios ficheros, con fecha 27 de noviembre de 2014 se celebró “Contrato de Cesión de Datos Personales” entre MARKET 360 y JAZZTEL, que tenía por objeto “regular el uso por parte de JAZZTEL de determinados ficheros de datos personales de titularidad del Titular”( en este caso MARKET 360) “ para enviar ofertas de productos y servicios de telecomunicaciones, y que se concretarán en cada ocasión mediante el correspondiente Anexo al Contrato.”. Dichas campañas, conforme la Estipulación Quinta del contrato, podían realizarse mediante comunicaciones comerciales remitidas por correo postal o SMS/MMS y por telemarketing (folios 50 y 51). Así,, constan en el procedimiento varios Anexos a dicho contrato (Hecho Probado nº 8) que acreditan la entrega por parte de MARKET 360 a JAZZTEL de sendos ficheros con números de teléfono móvil que debían ser utilizados por JAZZTEL, en 15 días desde la recepción de los ficheros, en campañas publicitarias de SMS en la que dicha compañía era beneficiaria de la publicidad ofertada por dicho medio. Precisamente, los tres SMS comerciales objeto de análisis se remitieron por JAZZTEL con los datos comunicados por MARKET 360 . Para ello JAZZTEL utilizó el dato del teléfono móvil de la denunciante que MARKET 360 le cedió para realizar campañas publicitarias de promoción de sus productos y servicios de telecomunicaciones a raíz de la firma del reseñado “Contrato de Cesión de Datos Personales”. La cláusula utilizada por IMPACTING no habilita a MARKET 360 para la cesión de los datos de los afectados a terceros, ya que no había ninguna referencia a la posibilidad de que MARKET 360 pudiera ceder los datos comunicados a otras entidades ni a las finalidades a las que éstas destinarían los datos o al tipo de actividad de aquellos a quien se pretendiesen comunicar . A la vista de lo razonado hasta ahora, MARKET 360 facilitó el teléfono móvil de la denunciante a JAZZTEL sin contar con el consentimiento o autorización previa y expresa de la denunciante para la cesión de dicha información a terceros del sector de las telecomunicaciones, en este caso JAZZTEL, con la finalidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/43 remitir SMS de productos o servicios del mencionado sector. En todo caso, y sin perjuicio de la nulidad de la cláusula utilizada por IMPACTING para recabar dicho consentimiento tácito, se recuerda que dicha autorización de uso se limitaba al envío de información comercial sobre las actividades y servicios del Club “News Club” titularidad de MARKET 360 , por lo que el contenido de la cláusula no alcanza la comunicación de los datos obtenidos de IMPACTING a terceras entidades distintas de MARKET 360. A tenor de lo cual, MARKET 360 carecía del consentimiento de la denunciante para la comunicación de los datos personales de la misma a terceros para el tratamiento publicitario de los mismos por cualquier medio de comunicación, que en este caso se concreta en la cesión a JAZZTEL del número de teléfono móvil de la denunciante para la realización de campañas publicitarias de sus productos o servicios de telecomunicaciones. Por lo tanto, para que las cesiones de datos de carácter personal de la denunciante efectuadas en virtud de los contratos mencionados por IMPACTING a MARKET 360 y, posteriormente, por ésta a JAZZTEL se ajusten a lo previsto en la normativa de protección de datos es preciso contar con el consentimiento de la afectada o, en su defecto, debe acreditarse que concurre alguno de los supuestos contemplados en el artículo 11.2 que eximen al responsable del fichero del requisito del consentimiento. No está probado el envío por IMPACTING de la cláusula informativa en virtud de la cual debía obtener el consentimiento de la denunciante a la cesión de sus datos personales a MARKET 360 con fines publicitarios, a lo que se suma que contenido de la misma no permite entender que se obtuviera el consentimiento de los interesados con la información explícita que exige el artículo 11.3 de la LOPD y artículo 45.1.
54. b)del RLOPD, para ceder los datos a MARKET 360 y para que MARKET 360 pudiera ceder sus datos a terceros. A pesar de dichas irregularidades, y de que tampoco estaba contemplado en la citada cláusula que MARKET 360 pudiese comunicar los datos cedidos por IMPACTING a un tercero, MARKET 360 cedió a JAZZTEL el dato del teléfono móvil de la denunciante obtenido de IMPACTING para la remisión de SMS comerciales relativos a productos y servicios de dicho operador de telefonía, lo que acaeció sin mediar el consentimiento previo y expreso de la afectada para ello. V MARKET 360 ha alegado que a pesar de la denominación del contrato suscrito con JAZZTEL como de cesión de datos personales “nunca tuvo intención de ceder el dato de la denunciante sino tan sólo de comunicarlo a Jazztel al amparo de lo dispuesto en el artículo 12 de la LOPD, dándole acceso al dato para que Jazztel, como encargado del tratamiento, es decir, por cuenta de Market 360, remitiera al usuario un SMS con el contenido comercial estipulado”, siendo, además ese el planteamiento que TARSYS le transmitió de manera persistente y la convicción con la que la empresa actuó. Frente a dicho alegato cabe indicar que la conducta de JAZZTEL respecto del uso dado a los datos comunicados por MARKET no responde a la definición de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/43 “Encargado de Tratamiento” del artículo 3.
55. g)de la LOPD, como pretende MARKET 360, sino a la definición de “Responsable del tratamiento” del artículo 3.
56. d)de dicha norma, figura perfectamente compatible con su condición de beneficiaria de la publicidad. Todo ello, sin perjuicio de que MARKET 360 continuaba siendo la responsable y titular del fichero del que se extraían los datos de carácter personal cedidos a JAZZTEL para su uso en las campañas publicitarias dirigidas a potenciales clientes de sus productos y servicios de telecomunicaciones. Situación, por otra parte, perfectamente compatible con el contenido de las leyendas informativas a incluir en función del canal empleado para la realización de la publicidad por JAZZTEL contenidas en la Estipulación Quinta del Contrato de Cesión de Datos de fecha 27/11/204 (folios 50 y 51) y con la Estipulación Cuarta del mismo en función de la cual, “EL CLIENTE”, es decir, JAZZTEL, “únicamente introducirá en sus ficheros los datos de las personas que directamente le facilitarán a éste sus datos a tal efecto como resultado de la campaña”. (folio 50) En conclusión, la denominación de “Contrato de Cesión de Datos Personales” responde al contenido del mismo y es conforme con su objeto, actuando MARKET 360 como responsable del fichero y cedente de los datos y JAZZTEL como cliente y cesionario de dichos datos de carácter personal, constando en la documentación contractual aportada que JAZZTEL era la entidad que designaba los destinatarios finales de las campañas publicitarias a realizar e informaba al titular del fichero de la segmentación específica a la que deseaba enviar su publicidad. Por lo cual, la comunicación de datos personales de la denunciante se enmarca en una operación de cesión de datos de carácter personal. El acceso de JAZZTEL a los datos de MARKET no se produce para prestarle un servicio a ésta en su condición de responsable del tratamiento, como debería ocurrir si se tratase del acceso a los datos por cuenta de terceros contemplado en el artículo 12.1 de la LOPD. Es más, la única mención que aparece a la contratación de un tercero para llevar a cabo los tratamientos de los datos necesarios para la ejecución material de las campañas consta en la Estipulación Cuarta del reseñado contrato, y se refiere a JAZZTEL, entidad a la que se obliga a la firma del pertinente contrato exigido por el artículo 12 de la LOPD con el encargado de tratamiento. Contradice que los envíos se llevaran a cabo por cuenta de MARKET 360 el contenido de la Estipulación Sexta del citado contrato, en la que se establece que “Market 360 facturará a JAZZTEL las cantidades debidas conforme al presente Contrato”, obrando, además, en el procedimiento una factura expedida el 4 de noviembre de 2015 por MARKET 360 a JAZZTEL por el concepto “Suministro de número de teléfono para SMS”. Al tenor de todo lo cual, se considera que, con arreglo al mencionado contrato de cesión de datos personales, MARKET 360 se limitó a ceder a JAZZTEL el dato utilizado por dicha compañía para remitir a la denunciante los tres SMS comerciales objeto de análisis , envíos que se realizaron en el marco de campañas comerciales propias de JAZZTEL. Teniendo en cuenta que el Anexo
57. c)de la LSSI define como “Prestador de servicios” de la sociedad de la información a la “persona física o jurídica que proporciona un servicio de la sociedad de la información”, MARKET 360 no ha actuado como tal, siendo únicamente JAZZTEL la responsable de los envíos comerciales mencionados en su condición de remitente de los mismos al objeto de promocionar, por cuenta propia y en su único beneficio, los servicios de fibra óptica de esa empresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/43 VI La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
58. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. De los hechos declarados probados a partir de la documentación aportada por IMPACTING y MARKET 360, así como de sus propias manifestaciones, se evidencia que dichas mercantiles resultan responsables de la comisión de una infracción al artículo 11.1 de la LOPD originada en la cesión inconsentida de datos personales de la afectada con fines de publicidad electrónica por dichas empresas a MARKET 360 y a JAZZTEL, respectivamente, que en el caso de la primera de las entidades reseñadas debe asociarse también a lo contemplado en el artículo 11.3 de dicha norma, conductas ambas que encuentran su tipificación en el citado artículo 44.3.
59. k)de la LOPD. VII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
60. a)El carácter continuado de la infracción.
61. b)El volumen de los tratamientos efectuados.
62. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
63. d)El volumen de negocio o actividad del infractor.
64. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
65. f)El grado de intencionalidad.
66. g)La reincidencia por comisión de infracciones de la misma naturaleza.
67. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
68. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/43 debida a una falta de diligencia exigible al infractor.
69. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
70. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
71. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
72. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
73. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
74. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” 6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
75. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
76. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto, IMPACTING y MARKET 360 han solicitado la aplicación de lo dispuesto en el artículo 45.6 y, subsidiariamente, la aplicación del artículo 45.5 de la LOPD aplicando la a escala relativa a las infracciones leves en su cuantía mínima con razón en las circunstancias alegadas por cada una de ellas, que constan en los Antecedentes de Hecho Octavo y Noveno. En lo que respecta a la transformación del procedimiento sancionador en apercibimiento al cumplirse, en sus respectivos casos, los requisitos exigidos por el artículo 45.6 de la LOPD debe reseñarse, en primer lugar, que la opción recogida en dicho precepto se declara expresamente como excepcional, correspondiendo su ponderación al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. En segundo lugar, en el caso concreto que nos ocupa, no se consideró adecuada la posibilidad de sustituir la apertura de procedimiento sancionador por, previa audiencia a los interesados, la figura del apercibimiento en razón de la diligencia que resulta exigible en materia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/43 protección de datos a las empresas que desarrollan su actividad con bases de datos de carácter personal, bien propias o de terceros, y que comercializan cediéndolas a terceros para su uso con fines publicitarios o de prospección comercial, tal y como ocurría en el caso objeto de denuncia. En tercer lugar, entre las sanciones a imponer por las infracciones recogidas en el artículo 44 de la LOPD únicamente se contempla la de multa en el artículo 45 de la misma norma, pero no el apercibimiento. Por lo que, al no tener el apercibimiento regulado en la LOPD naturaleza sancionadora no puede acordarse el mismo en sustitución de la sanción que pueda recaer en el procedimiento sancionador ya iniciado. En base a todo lo cual, no procede acceder al planteamiento formulado por las dos empresas citadas. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", debiendo aplicarse de forma excepcional, al tratarse de un minoración cualificada, y cuando se produzca alguna de las circunstancias que el mismo precepto cita. A los efectos de la aplicación de la minoración cualificada de la sanción, ambas entidades han reconocido su responsabilidad en la comisión de los hechos objeto de imputación con arreglo a lo dispuesto en el artículo 45.5.
77. d)de la LOPD y el artículo 8.1 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. IMPACTING por haber cedido a MARKET 360 los datos de la denunciante sin haber recabado su consentimiento válido e informado. MARKET 360 por ceder los datos de la afectada a JAZZTEL al no haberse acreditado el consentimiento de la denunciante para la cesión de sus datos. En el caso de IMPACTING se estima que, efectivamente, opera el supuesto recogido en el artículo 45.5.
78. d)de la LOPD al haberse producido un reconocimiento espontáneo de su culpabilidad tras recibir el acuerdo de inicio del procedimiento sancionador comunicándole la infracción que se le imputaba, notificación que constituía el primer contacto mantenido con la Agencia en relación con los hechos que se le imputan al no habérsele requerido durante la fase de actuaciones previas información sobre los mismos. Sin embargo, en el caso de C/ Jorge Juan, 6 28001 – Madrid MARKET se considera que no ha reconocido www.agpd.es sedeagpd.gob.es 34/43 espontáneamente su responsabilidad en tanto que ha defendido que lo adecuado sería imputarle la infracción leve tipificada en la letra
79. d)del artículo 44.2 de la LOPD, consistente en la transmisión de datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de dicha Ley, ya que sólo tuvo intención de transmitir los datos al amparo del citado artículo y nunca de cederlos. Sin perjuicio de lo cual, se estima que concurre el supuesto recogido en el apartado
80. b)del artículo 45.5 de la LOPD, toda vez que consta que MARKET 360 subsanó la situación irregular en de forma diligente tan pronto la advirtió. De este modo, ha indicado que como consecuencia de las consultas que periódicamente efectúa a la Lista Robinson de ADIGITAL, con fecha 12 de noviembre de 2015, procedió a dar de baja los datos relativos a la denunciante al objeto de evitar continuar que pudieran ser tratados con fines comerciales, conforme queda reflejado en la documentación aportada, por lo que tal subsanación se produjo con anterioridad al acuerdo de inicio del presente procedimiento adoptado con fecha 7 de marzo de 2016. Además, MARKET 360 ha significado que recibida la notificación de solicitud de información, que según obra en el expediente se realizó el 29 de enero de 2016, (folio 17) paralizó cualquier entrega de datos a JAZZTEL al amparo del contrato suscrito con la misma el 27 de octubre de 2014, no constando en el procedimiento cesiones posteriores a las del Anexo de fecha 15 de diciembre de 2015. Atendido que MARKET aduce que, en su caso, también operaría la circunstancia
81. a)del citado artículo 45.5 de cualificada disminución de la culpabilidad del imputado, cabe significar que en relación con la aplicación acumulativa y concurrente de varios de los supuestos previstos en el apartado 5 del artículo 45 de la LOPD la Audiencia Nacional, en sentencia de fecha 28 de abril de 2015, ha significado al respecto que: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido.” En consecuencia, con arreglo a lo previsto en el artículo 45.5
82. b)de la LOPD procede imponer a las sociedades IMPACTING y a MARKET 360 una multa cuyo importe se encuentre en la escala comprendida entre 900 y 40.000 euros, al tener la infracción imputada a cada una de las citadas empresas la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (artículo 45.1 LOPD). Ya teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se considera que operan como circunstancias agravantes: apartado c), la estrecha vinculación de la actividad de las reseñadas entidades infractoras con la realización de tratamientos de datos de carácter personal, lo que lleva a exigir a dichas empresas un escrupuloso conocimiento de la LOPD y su Reglamento de desarrollo a fin de dar cumplimiento a los principios y garantías de los titulares de los datos recogidas en dicha normativa; apartado e), la prestación de los servicios en los que se incluye la cesión de los datos personales de la denunciante por IMPACTING a MARKET 360 y, posteriormente por ésta a JAZZTEL estaba regulada en las cláusulas de tipo económico Tercera y Sexta del Contratos de Campaña Comercial de fecha 6 de junio de 2014 y del Contrato de Cesión de Datos Personales de fecha 27 de noviembre de 2014, respectivamente. apartado i), La falta de adecuación a la LOPD tanto del procedimiento implantado por IMPACTING para recabar el consentimiento tácito a la cesión de datos a MARKET 360 para su uso en campañas publicitarias por distintos canales, incluyendo los electrónicos, como de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/43 procedimientos de control de MARKET para constatar que efectivamente se contaba con tal consentimiento para su propio tratamiento en sus ficheros y su comunicación a terceros, ya que resulta evidente que no han resultado efectivos en lo que se refiere a la denunciante. A su vez, se estima que opera como circunstancia atenuante el apartado
83. f)del artículo 45.4 de la LOPD ante la falta de intencionalidad en vulnerar la LOPD mostrada por las dos empresas citadas , habiendo quedado probado en el expediente que desde el año 2012 TARSYS les presta servicios de auditoría y asesoramiento legal en materia de protección de datos desde el año 2012, que incluye los procesos de tratamiento de datos personales, entre ellos el contenido de la carta enviada por IMPACTING para recabar el consentimiento, y la supervisión del clausulado de los dos contratos incorporados al expediente. Con arreglo a los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, se considera adecuado a la gravedad de los hechos imputados a las entidades IMPACTING y MARKET 360 imponer una sanción de multa de 10.000 € a cada de dichas empresas. VIII Atendido que el presente procedimiento también se imputa a las entidades MARKET 360 y ORANGE, antes JAZZTEL, la comisión de una infracción a lo previsto en el artículo 21.1 de la LSSI, conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/43 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por lo tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
84. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
85. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/43 información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IX Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
86. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
87. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
88. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la