← España

PS-00111-2015

1/23 Procedimiento Nº PS/00111/2015 RESOLUCIÓN: R/01779/2015 En el procedimiento sancionador PS/00111/2015, instruido por la Agencia Española de Protección de Datos a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, INSTALVIA TELECOMUNICACIONES S.L.,, QUALITEK GLOBAL SERVICES S.L, VIA GLOBAL SOLUTIONS, S.L, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 28 de marzo de 2014, tiene entrada en esta Agencia un escrito de D. A.A.A., en el que denuncia que, con fecha 20 de marzo de 2014, recibe una llamada en su teléfono fijo: ***TEL.1, desde el teléfono ***TEL.2, ofreciéndole CANAL +, empresa con la que nunca ha tenido contacto. Asimismo, manifiesta que desde el año 2010, se encuentra incluido en Lista Robinson, de lo que aporta acreditación de confirmación de fecha 16/03/

  1. Con fecha 22/07/2014, remite acreditación de la contratación de su línea de teléfono con la entidad Cableuropa, S.A.U., asimismo adjunta acreditación de su “No consentimiento” para envíos comerciales por ningún medio. Con fecha 27 de agosto de 2012, solicitó ser excluido de guías telefónicas, según acredita con carta adjunta. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, QUALITEK GLOBAL SERVICES S.L, VIA GLOBAL SOLUTIONS, S.L, teniendo conocimiento de que: Con fecha 12 de noviembre de 2014, se realiza una consulta a través de Internet en la página web de la CNMC, sobre el operador titular del número llamante: ***TEL.2, comprobándose que corresponde a la entidad JAZZ TELECOM, S.A.U. Con fecha 18/11/2014, se recibe escrito de JAZZ TELECOM, S.A.U, en el que pone de manifiesto que el titular de la línea de teléfono ***TEL.2 es la entidad QUALYTEK GLOBAL SERVICES, S.L. Con fecha 25/11/2014, se recibe contestación de la entidad Cableuropa, S.A.U, en contestación a nuestra solicitud de información, poniendo de manifestó que, efectivamente con fecha 20/03/2014 a las 15:29:15, se recibió una llamada en el teléfono ***TEL.1 desde el número ***TEL.2, con una duración de 86 sg. No constan más llamadas desde ese número. Con fecha 23/12/2014, se recibe escrito en esta Agencia de la empresa QUALYTEK GLOBAL SERVICES, S.L., en el que pone de manifiesto que: La entidad es titular de esa línea telefónica desde el mes de julio de
  2. Con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 anterioridad, la línea fue utilizada por una compañía del mismo grupo denominada VIA GLOBAL SOLUTIONS, S.L., que presta servicios de Telemarketing para distintas sociedades, siempre utilizando su propio fichero. VIAGLOBAL ha realizado dos llamadas al número de teléfono ***TEL.
  3. La primera con fecha 29/08/2013, la cual no fue respondida. La segunda con fecha 20/03/
  4. VIAGLOBAL, utiliza un fichero propio, que contiene datos obtenidos de fuentes accesibles al público. A estos efectos VIAGLOBAL compra todos los años la base de datos de INFOBEL, donde aparecen protegidos los datos de las personas, que aun apareciendo en guías, han expresado su deseo de no recibir publicidad. Adicionalmente, realiza los correspondientes filtrados con la Lista Robinson de ADigital. VIAGLOBAL realizó las llamadas dentro de una campaña promocional de su cliente INSTALVIA TELECOMUNICACIONES, S.L., en base al contrato que se adjunta firmado con fecha 02/01/2013, en el que constan productos relativos a Canal+. Adjunta facturas correspondientes a compra de base de datos de INFOBEL y de suscripción a Lista Robinson, ambas con fecha posterior a los hechos ocurridos. Según ha manifestado la abogada de la entidad, mediante conversación telefónica los días 20 y 23 de enero de 2015, se desconoce porque en el caso del denunciante no se cumplieron los protocolos establecidos con relación a Lista Robinson y Consulta de oposición en guías. TERCERO: Con fecha 19/02/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a DTS DISTRIBUIDORA DE TELEVISION DIGITAL, INSTALVIA TELECOMUNICACIONES, S.L, VIA GLOBAL SOLUTIONS, S.L, por presuntas infracciones del artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3 b) de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 € de acuerdo con el artículo 45 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, VIA GLOBAL SOLUTIONS, S.L (VIA en adelante) mediante escrito de fecha 24/03/2015 formuló alegaciones, significando, que: VIA efectuó la llamada descrita en el acuerdo de inicio por error en el marco de una campaña publicitaria realizada por cuenta de INSTALVIA. VIA presta servicios de telemarketing a INSTALVA para la promoción de productos de la empresa DTS. El contrato firmado entre INSTALVIA y VIA de 2/01/2013 aportado a las actuaciones, se indica que las acciones de telemarketing se realizan sobre un fichero de exclusiva responsabilidad de VIA. VIA utiliza un fichero propio inscrito en el RGPD que contiene datos procedentes de fuentes accesibles al público, en concreto de repertorios telefónicos. VIA compra cada año la base de datos INFOBEL, a KAPITOL S.A., sin que se vuelquen los números protegidos en la base de datos INFOBEL y por tanto no entran en las rondas de llamadas. Adjunta facturas de compra de los años 2013, 2014 y
  5. El 14/12/2013 se compró la base de datos versión V13 que se utilizo hasta julio de
  6. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 VIA adquiere cada año la Lista Robinson de AIDIGITAL, una vez cargada la base de datos en la aplicación de gestión, se filtra cada dos meses con la lista Robinson, para eliminar números de usuarios que aparecen en repertorios telefónicos pero que se han inscrito en AIDIGITAL. Además cuenta con una Lista de Exclusión Propia que contiene más de 1487 registros y realiza otras acciones relativas al cumplimiento de la normativa y de la observancia del deseo de los titulares de los números para no ser receptores de acciones de telemarketing. El error que se ha producido, no podía ser evitado: El número de teléfono del denunciante aparece protegido en la base de datos V13 y por tanto no fue cargado en el software de gestión de callcentrer. Durante algunos meses de 2014, se contrató a trabajadores temporales como soporte a la plantilla fija de la compañía y al no disponerse de puestos con ordenador para todos los agentes, algunos efectuaban llamadas manuales, sin que estuvieran programadas por la aplicación de gestión. El número del sr. A.A.A. se marcó manualmente por error, al confundir el operador una cifra del prefijo de la provincia de Málaga

(951)con el prefijo de Palma, residencia del denunciante
(971). VIA no ha recibido ningún parámetro o indicación para la realización de campañas publicitarias, actuando con total autonomía. Por lo que según el art. 46 RDLOPD no puede ser considerado responsable del fichero ni del tratamiento. La llamada se ha realizado debido a un error humano que no desvirtúa la actuación con diligencia de VIA y reiterada jurisprudencia del Tribunal Supremo rechaza la aplicación de responsabilidad objetiva, exigiendo la concurrencia de culpa o dolo. Es inevitable evitar errores como éste, la marcación equivocada de un número es probable que se siga produciendo puntualmente, aun cuando se implementen los más estrictos procedimientos. La propia AEPD en diversas resoluciones reconoce que el error no es merecedor de actuación sancionadora. Se solicita la aplicación del art. 45.5 LOPD en base a la concurrencia significativa de varios criterios enunciados en el art. 45.4 LOPD, en concreto la regularización diligente de la situación (apartado b), ya que ha llevado una investigación interna, cuenta con asesoramiento externo especializado y audita periódicamente los tratamientos. El reconocimiento espontaneo de la culpabilidad, apartado
  1. d)con carácter subsidiario reconoce su responsabilidad por los hechos objeto del procedimiento sancionador. En cuanto a los criterios de graduación de las sanciones art. 45.4 LOPD, hay que tener en cuenta el carácter continuado de la infracción, en la medida de que ha sido un hecho puntual, la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, y el volumen de negocio o actividad del infractor, en la medida de que es una empresa de tamaño medio, con sede social en Málaga y que trabaja para un número reducido de clientes. En cuanto al beneficio obtenido, es nulo y en cuanto al grado de intencionalidad tampoco existe, finalmente no se ha causado ningún perjuicio salvo la molestia de recibir una llamada. Finalmente se ha acreditado que la entidad cuenta con anterioridad a los hechos analizados con procedimientos de adecuación al cumplimiento de la LOPD, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 Por todo lo anterior VIA solicita el archivo de las actuaciones y con carácter subsidiario la aplicación de una sanción prevista para las infracciones leves en la cuantía mínima. QUINTO: Notificado el acuerdo de inicio, INSTALVIA TELECOMUNICACIONES, S.L. (INSTALVIA en adelante) mediante escrito de fecha 24/03/2015 formuló alegaciones, significando, que: INSTALVIA no lleva a cabo tareas de telemarketing, ni ha efectuado la llamada objeto de denuncia. En fecha de 23/9/2010 firmó un contrato con DTS que tiene por objeto la realización de acciones de telemarketing, aporta copia del contrato. INSTALIA subcontrato parte de los servicios comprendidos en el contrato de tal forma que fue esta entidad quien realizo la llamada al Señor A.A.A.. En dicho en contrato entre ISNTALVIA y DTS se prevén dos tratamientos de datos diferenciados: El tratamiento relativo a la promoción telefónica de los productos DTS. Actuando como responsable del fichero El tratamiento realizado una vez que la persona acepta contratar el producto DTS. Actuando como encargado del tratamiento. En el primer caso no recibe instrucciones de DTS, actuando bajo su propia responsabilidad y en función de sus necesidades organizativas, por lo que decidió contratar con VIA la realización de llamadas telefónicas. Sin que exista incumplimiento de la normativa de protección de datos, el hecho de la contratación con VIA, puesto que INSTLAIVA no tiene la consideración de encargado del tratamiento de DTS en este servicio, sino de responsable del fichero. Sin que este supeditada la decisión de subcontratación de terceros al criterio de DTS. En el segundo caso, INSTALVIA se compromete a seguir las instrucciones de DTS y a someter a autorización de la compañía cualquier subcontratación, dado que es un encargado del tratamiento. Estos servicios no se subcontrataron y no son objeto de este procedimiento, puesto que se refieren exclusivamente a clientes de DTS (personas que han decidido contratar un producto de dicha compañía) En la cláusula 8.3 del contrato entre INSTALVIA y VIAGLOBAL se hace constar que el fichero sobre el que se realizan las acciones de telemarketing es de exclusiva responsabilidad de VIA. Es por ello por lo que INSTLAVIA no ha trasmitido instrucción alguna VIA sobre cómo realizar su trabajo, ni ha fijado ningún parámetro o criterio de segmentación sobre las llamadas que se deben efectuar. Por lo tanto no puede considerarse a INSTALVIA ni responsable del fichero ni del tratamiento relativo a las llamadas de teléfono que se hayan podido llevar a cabo. No obstante lo anterior, INSTLAVIA se ha asegurado de determinados extremos que muestran la diligencia en la subcontratación de los servicios con una empresa que acredita el cumplimiento de la normativa de protección de datos. De acuerdo con el art. 46 RDLOPD INSTALVIA no tiene consideración de responsable del fichero ni de responsable del tratamiento en relación con los hechos objeto del presente procedimiento sancionador. En la medida en que VIA utiliza su propio fichero que utiliza en distintas campañas cuando presta servicios a otras empresas y porque INSTALVIA no marca ningún parámetro o instrucción en relación a la manera en la que debe prestarse el servicio, ni participa en la realización material de la actividad que constituye el tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 Aun considerando a INSTALVIA como responsable del tratamiento o fichero no existe ni dolo ni culpa en su actuación, tal como requiere reiterada jurisprudencia, sin que pueda exigirse una responsabilidad objetiva, ya que se haría responsable a INSTALVIA de un error humano difícilmente evitable, cometido por un trabajador de VIAGLOBAL, por el simple hecho de contratar la campaña, sin mediar falta de diligencia. Solicita la aplicación del art. 45.5 de la LOPD, por aplicación de la circunstancia significativa de varios criterios enunciados en el apartado 4 del citado precepto. Ya que no ha realizado ninguna llamada, ni ha tratado datos relativos al denunciante en sus ficheros actuando siempre de forma diligente sin que se pueda apreciar la concurrencia de culpa en su actuación. Asimismo ha regularizado la situación irregular de forma diligente. En cuanto a la graduación prevista en el art. 45.4 LOPD, señala la concurrencia de diversos criterios para imponer la cuantía mínima, en cuanto al carácter continuado de la infracción, que ha de considerarse un hecho aislado y puntual; en cuanto al volumen de negocio, ha de considerarse una empresa de tamaño mediante, que se ocupa fundamentalmente de tareas técnicas; no existen beneficios como consecuencia de la posible infracción; asimismo en cuanto al grado de intencionalidad, no existe actuando en todo momento de buena fe y con máxima diligencia; en cuanto a la naturaleza de los perjuicios causados, no existen salvo la molestia de recibir la llamada. Y finalmente existen procedimientos implantados con anterioridad a la comisión de las posibles infracciones tendentes al cumplimiento de la normativa. Solicita el archivo de las actuaciones y subsidiariamente la imposición de la sanción en su cuantía mínima. SEXTO: Notificado el acuerdo de inicio, DTS DISTRIBUIDORA DE TELEVISION DIGITAL, (DTS en adelante) mediante escrito de fecha 27/03/2015 formuló alegaciones, significando, que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 Vulneración de las determinaciones del art. 43 de la LOPD, falta de motivación. En el acuerdo de incoación no consta dato alguno que determine la responsabilidad de DTS en los hechos imputados, al no constar ni como responsable del fichero, ni como encargad del tratamiento. Es más consta que VIA ha actuado como responsable del fichero y encargada del tratamiento. Admitiendo a efectos meramente dialecticos la intervención de DTS como presunta responsable de los hechos, no ha incurrido en vulneración alguna de la normativa esgrimida. A pesar de constar en el acuerdo de incoación que se ha requerido información a DTS, en realidad nunca ha ocurrido, lo que determina causa de anulación, ya que se adoptó sin haber requerido documentación alguna. En segundo lugar, DTS no suscribió contrato alguno, sino que ha sido INSTALVIA con VIA. Las acciones de telemarketing llevadas a cabo por VIA han sido realizadas sobre un fichero de su exclusiva responsabilidad. Asimismo los datos utilizados son los provenientes de la base de INFOBEL. VIA actúa de modo independiente no sujeto a órdenes ni instrucciones. Aplicación del art. 45.5 LOPD, ya que se ha procedido a subsanar la situación, sin que conste acciones de telemarketing con el denunciante con posterioridad al 20/03/2014. No existe intencionalidad en la comisión de la infracción. Ni existencia de perjuicios causados. Solicita el archivo de las actuaciones y con carácter subsidiario la imposición de la sanción en su cuantía mínima. SEPTIMO: Con fecha 20/04/2015 se inició un periodo de practica de pruebas en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante DTS, VIA e INSTALVIA y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03930/2014 y las alegaciones al acuerdo de inicio PS/00111/2015 presentadas por DTS e INSTALVIA y la documentación que a ellas acompaña. Se incorpora como prueba documental la Resolución nº R/00975/2015. OCTAVO: En fecha de 3/06/2015 el Instructor del Procedimiento emitió Propuesta de Resolución solicitando el archivo de las actuaciones frente a DTS y la imposición de sanción a VIA y a INSTALVIA por la vulneración del art. 6 de la LOPD. NOVENO: La representación de INSTALVIA presentó escrito de alegaciones a la propuesta de resolución en las que manifestaba lo siguiente: I.El punto central en base al cual se exige responsabilidad a INSTALVIA es el incumplimiento de la obligación de consulta de la Lista Robinson, siendo el único tratamiento de datos que se ha realizado la marcación por error. Por lo que no se produjo por no consultar el citado fichero de exclusión. INSTLAVIA tenía constancia de que VIA cumplía con su obligación de consulta de la lista Robinson. II.La subcontratación del servicio con VIA L no supone falta de diligencia. Solo existirá falta de diligencia si se contrata con un tercero a todas luces inadecuado, o si se desentiende por completo de la actividad del prestador. Es decir los errores humanos no dejan de producirse por no subcontratar con terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 III.Falta de proporcionalidad en la imposición de la sanción. Estamos ante un error puntual y en otras ocasiones se impuso una sanción de 5.000 euros por hechos de mayor gravedad que los actuales, en concreto en la Resolución R/00975/2015 se impusieron una sanción de 5.000 euros. Además existen otros precedentes donde se ha i9mpuesto sanciones menores que la propuesta por el Instructor. IV.Solicita el archivo de las actuaciones y subsidiariamente la imposición de la sanción en la cuantía mínima dentro de la escala de las infracciones leves, de acuerdo con el art. 45.4 y 5LOPD. DECIMO: La representación de VIA presentó escrito de alegaciones a la propuesta de resolución en las que manifestaba lo siguiente: I.No ha existido incumplimiento de la obligación de consulta de lista Robinson, sino un error humano en la marcación del número. Asimismo el error de marcación no podía haberse evitado. La realización de llamadas manuales no está prohibida por la normativa vigente ni es una práctica temeraria. II.Asimismo la utilización de sistemas informáticos no es infalible ni están exentos de fallos. La imposición de sanción supondría un sistema de responsabilidad objetiva por el mero error humano de acuerdo con la SAN de 23/12/2013. III.Falta de proporcionalidad en la multa propuesta. De acuerdo con otros precedentes de sanciones impuestas por infracciones debidas a errores en le tratamiento, las cuantías no superan los 20.000 euros y en muchos casos las consecuencias son más graves. IV.Solicita el archivo de las actuaciones y subsidiariamente la imposición de la sanción en la cuantía mínima dentro de la escala de las infracciones leves, de acuerdo con el art. 45.4 y 5 LOPD. UNDECIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 UNO.- Los datos del denunciante relativos a los números de teléfono ***TEL.1 y ***TEL.3 consta inscritos en el Servicio de Lista Robinson al menos desde la fecha de 16/03/2010. (Folio 3) DOS.- En fecha de 20/03/2014 se recibe en la línea de teléfono del denunciante ***TEL.1 una llamada cuyo origen es ***TEL.2 con fines publicitarios ofreciendo productos de DIGITAL + (DTS). (Folio 32) TRES.- La línea ***TEL.2 pertenece a QUALYTEK GLOBAL SERVICES S.L. ( Folio 31) esta empresa informa que es titular de la línea desde el mes de julio y que con anterioridad ha pertenecido a VIAGLOBAL, que ha realizado dos llamadas al número ***TEL.1, en fecha de 29/08/2013 sin ser respondida y en fecha de 20/03/2014 ( Folio 38) CUATRO.- DTS firmó un contrato con INSTALVIA en fecha de 23/09/2010 cuyo objeto era la prestación por parte de ésta de los servicios consistentes en “acciones de telemarketing mediante la emisión de llamadas telefónicas destinadas a promover la suscripción a DIGITAL + mediante la captación de nuevos clientes de DIGITAL +, a cambio de una remuneración” –(…)Para la consecución del anterior objetivo, LA EMPRESA, utilizara ficheros de datos de carácter personal de su propia titularidad y de los cuales es Responsable ( en los términos indicados en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal) (Folio 185). CINCO.- En la cláusula Séptima
  2. b)del contrato de 23/09/2010 consta que: las acciones de telemarketing objeto de este contrato serán efectuadas por LA EMPRESA (INSTALVIA) sobre un fichero con datos de carácter personal de su exclusiva responsabilidad” que provienen de fuentes accesibles al público, garantizando ésta el pleno cumplimiento de la LOPD y el RDLOPD. (Folio 191). El fichero a utilizar los denominan Fichero 1 no se prevé la subcontratación. Existe otro fichero (Fichero 2) que es el que contendrá los datos recabados por INSTALVIA directamente del interesado respecto del que se prevé la posibilidad de subcontratación con la autorización previa y expresa de DTS. SEIS.- INSTALVIA adquirió las bases de datos INFOBEL, versiones V12 y V13 a Neotronics Europe S.L., y a One Direct Comunicaciones S.L., (Folio 133-134). INSTALVIA adquirió la suscripción anual del servicio de LISTA ROBINSON en fecha de 29/06/2013 (Folio 137) SIETE.- INSTALVIA (como DISTRIBUIDOR) firmó un contrato con VIA (como AGENTE) en fecha de 2/01/2013 cuyo objeto era la prestación por parte de ésta de los servicios consistentes en: captación de abonados y clientes para los productos suscritos en los anexos al contrato; venta telefónica de los productos y en las condiciones que EL DISTRIBUIDOR establece en el Anexo I; servicio de atención al cliente siguiendo las pautas y directrices de EL DISTRIBUIDOR. En la cláusula 5.9 consta que: el AGENTE utilizara ficheros de datos de carácter personal recabados de fuentes accesibles al público. Si el AGENTE, opta por sistemas de marcación telefónica manuales, será el responsable directo del uso de los ficheros de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 En la cláusula 8.3 consta que: las acciones de telemarketing objeto de este contrato serán efectuadas por el AGENTE, sobre un fichero con datos de carácter personal de su exclusiva responsabilidad. El AGENTE garantiza el pleno cumplimiento de la LOPD y del RDLOPD con respecto a la obtención y tratamiento de los datos personales. SIETE.- Para la realización de la campaña publicitaria de la que fue destinatario el denunciante, se utilizó por VIA una base de datos distinta a la que se refería el contrato entre DTS e INSTALVIA como Fichero 1, que debía ser de la responsabilidad de INSTALVIA. OCHO.-VIA manifestó que (…) el 14 de diciembre de 2013, se compró la base de datos INFOBEL V13, que se utilizó hasta julio de 2014(…) (…) el número de teléfono del denunciante aparece protegido en la base de datos INFOBEL V13, que se utilizó para efectuar las llamadas promocionales durante el año 2014. Por tanto no fue cargado en el software de gestión de call center (…) (…) durante algunos meses del 2014, se contrató a trabajadores temporales, como soporte a la plantilla fija de la compañía, con la finalidad de realizar el seguimiento de campañas dirigidas a la zona de mayor actividad de VIAGLOBAL ( Andalucía, y concretamente, Málaga). Al no disponerse de puestos con ordenador para todos los agentes, algunos efectuaban llamadas manuales, es decir, no programadas por la aplicación de gestión del callcenter. –El número del señor A.A.A. se marcó manualmente por error, (…) (Folio 98 a 99). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  4. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  5. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 El artículo 3.
  6. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
  7. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  8. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  9. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  10. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma III En el presente caso, en principio la entidad DTS interviene como responsable del tratamiento de los datos personales del denunciante realizado en el marco de las campañas encargadas por dicha entidad, pues el tratamiento acontecido se enmarca en actividades de prospección comercial cuya beneficiaria es la propia DTS. Aunque no lo realice materialmente, con el encargo de las campañas promocionales DTS decide la finalidad, el contenido y uso del tratamiento. No obstante lo anterior, según consta en el contrato en la cláusula Séptima
  11. b)del contrato de fecha 23/09/2010 consta expresamente que los parámetros identificativos serán definidos únicamente por LA EMPRESA (en este caso INSTALVIA) (Folio 191) por lo que decae su estatus de responsable del tratamiento y no está sujeto al régimen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 previsto en el art. 43 de la LOPD, circunstancia que no ocurrió en el procedimiento sancionador PS/580/2014 en la medida de que era conocedor de una oposición expresa realizada frente a DTS, y cuya inobservancia le convierte en responsable de las infracciones que pueda cometerse por su cuenta, precisamente por la falta de diligencia en la ausencia de comunicación a la empresa que encomienda el servicio. Asimismo debe tenerse en cuenta que los hechos objeto de análisis en el presente caso, provienen de la misma contratación que en aquel procedimiento, por lo que opera el régimen de responsabilidad ex art. 46 de la LOPD, pues de otro modo no sería aplicable, es decir, el hecho de suscribir un contrato donde se determine quién concreta los parámetros no supone per se, la exclusión de la responsabilidad de quien encarga la campaña si resulta acreditado que de algún modo, el beneficiario de la campaña era conocedor de que la entidad a la que encarga la misma, incumple la LOPD. Pues por mucho que mediante contrato (realidad formal) se garantice la legalidad del fichero a utilizar, el beneficiario de la publicidad no puede ser ajeno a la realidad material del tratamiento al margen de las obligaciones legales y reglamentarias, ya que estaría utilizando en fraude de ley las previsiones del citado precepto. Por otro lado, INSTALVIA es responsable del fichero (al menos formalmente) sobre el que DTS encomienda la realización de la campaña publicitaria, de acuerdo con el contrato aportado al expediente, que recoge expresamente que las acciones publicitarias se realizan en un fichero de su responsabilidad, y también de acuerdo con la facturas aportada en virtud de la cual se adquiere la base de datos donde afirman que se encuentran los datos del denunciante. (En las facturas de compra de la base de datos de INFOBEL Versiones V12 y V13, aparece adquirido por INSTALVIA (Folio 133134). Asimismo INSTALVIA es responsable del tratamiento, en la medida que consta en el contrato de tanta cita que (…)“los parámetros identificativos serán definidos únicamente por LA EMPRESA (en este caso INSTALVIA). (Folio 191) y en todo caso lo es en la medida en que decide la realización de un tratamiento de datos específico: decide por su cuenta acudir a una determinada entidad (VIA) para realizar el servicio que le presta a DTS, utilizando determinados medios materiales, técnicos y personales (los que pone a su disposición VIA) por lo que formal y materialmente es responsable del tratamiento y de las infracciones derivadas del mismo. Es decir, decide sobre el contenido y uso del tratamiento. Además, según ha quedado expuesto anteriormente, conforme a lo establecido en el citado artículo 5.1.
  12. q)del Reglamento, para que pueda considerarse a INSTALVIA como responsable del tratamiento no es necesario que esta entidad haya realizado materialmente el tratamiento de que se trate. En conclusión, INSTALVIA es responsable del fichero y tratamiento, de conformidad con la definición del artículo 3.
  13. d)de la LOPD y 5.1.
  14. q)del RDLOPD. Finalmente, VIA es responsable del fichero, formal y materialmente, sobre el que finalmente se realizan las acciones de prospección comercial y del tratamiento realizado. Debe tenerse en cuenta que conforme a las definiciones reseñadas ut supra y de acuerdo con el contrato suscrito con INSTALVIA en fecha 02/01/2013, las acciones de telemarketing objeto del mismo serán efectuadas sobre un fichero de datos de carácter personal de la exclusiva responsabilidad de VIA. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 La Sentencia de la Audiencia Nacional de 30/11/2006 afirma que (…) la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación especifica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.(…) En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  15. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  16. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Dentro de la doctrina expuesta, en el presente caso, ha quedado acreditado que el tratamiento de los datos del denunciante para la realización de llamadas promocionales se realizó por VIA por encargo de DTS a INSTALVIA y de ésta a VIA. DTS e INSTALVIA se consideran responsables de este específico tratamiento de datos personales, al margen de otros tratamientos que deriven de los servicios que son objeto de los contratos formalizados por ambas entidades entre sí y con VIA GLOBAL, todo ello sin perjuicio del régimen de responsabilidad que instaura el art. 46 del RDLOPD, y que en el presente caso y de acuerdo con el Fundamento de Derecho anterior, excluyen a DTS de la responsabilidad de los hechos analizados. Por tanto, de acuerdo con el artículo 43 de la LOPD, INSTALVIA y VIAGLOBAL ostentan una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. No obstante lo anterior, además del régimen general previsto en el art. 6 de la LOPD, en la medida que en el caso analizado estamos ante el tratamiento de datos personales en el marco de acciones publicitarias y de prospección comercial, hay que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 acudir a los arts. 30 de la LOPD y 45 y siguientes el RDLOPD. El art. 30 de la LOPD regula “Tratamientos con fines de publicidad y de prospección comercial”: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. A este respecto, hay que considerar igualmente lo establecido en el CAPÍTULO II “Tratamientos para actividades de publicidad y prospección comercial” (artículos 45 y siguientes) del citado Real Decreto 1720/2007, que aprueba el Reglamento de desarrollo de la LOPD: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  17. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  18. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado”. “Artículo 48. Ficheros de exclusión del envío de comunicaciones comerciales. Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad”. “Artículo 49. Ficheros comunes de exclusión del envío de comunicaciones comerciales”. “2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial”. “4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 En definitiva, el tratamiento de datos con fines publicitarios requiere el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público y el afectado no haya manifestado su oposición a dicho tratamiento, ya sea a través de la formula prevista en el art. 48 RDLOPD, ya sea a través de la inscripción en un fichero de exclusión previsto en el art. 49 RDLOPD, como acontece en el caso del denunciante que consta inscrito en el fichero de AIDIGITAL desde el 16/03/2010. En el presente caso ha ocurrido que a pesar de la inscripción en el fichero de Lista Robinson, los datos personales del denunciante son tratados para finalidades publicitarias, por lo que es necesario el análisis de los distintos participantes en el tratamiento realizado y su responsabilidad. En el contrato entre DTS e INSTALVIA, ésta le garantiza a aquella el pleno cumplimiento de la LOPD, y que los datos utilizados provienen de fuentes accesibles al público, sin embargo nada consta en el contrato respecto de la obligación de la consulta de los ficheros de exclusión previstos en el art. 49 RDLOPD, en el que estaba inscrito el denunciante. Todo ello sin perjuicio de que según consta en la factura de 28/06/2013 INSTALVIA adquirió una suscripción anual al fichero Lista Robinson de AIDIGITAL (Folio 137). INSTALVIA según consta en el contrato, debía utilizar un fichero de su responsabilidad ( folio 191) lo que de haberse realizado así, y junto a la suscripción al citado fichero de exclusión no se hubieran producido los hechos objeto de sanción en el presente procedimiento y sin embargo, contrató la realización material de la campaña con un tercero ajeno al encargo que le realizo DTS, esto es, con VIA para lo que se preveía la utilización de un fichero cuya responsabilidad era de ésta y que, contractualmente se informaba de que estaba adecuado al cumplimiento de la LOPD y su normativa de desarrollo. Esta circunstancia, incumple el contrato con DTS pues ni siquiera estaba prevista (si lo estaba para el denominado Fichero 2) y lo dispuesto en el art. 21.1 del RDLOPD que prohíbe la subcontratación con un tercero (VIA) de la realización de los tratamientos que le hubieran encomendado el responsable del tratamiento (DTS) salvo autorización. VIA intenta explicar lo ocurrido aduciendo a un error humano en la marcación de la numeración del destinatario de la llamada debido a que se contrató trabajadores temporales que no utilizaron sistemas informáticos y que la marcación se realizó manualmente lo que produjo el error de marcación. Sin perjuicio de que tales circunstancias son meras manifestaciones sin acreditación alguna, y admitiendo a efectos puramente dialecticos que realmente ocurrieron así los hechos de los que trae consecuencia el tratamiento de datos realizado, debe señalarse que es algo que ocurre en la esfera de responsabilidad de VIA y que a diferencia de lo alegado, si pudo evitarlo. Si disponía de un sistema de gestión de call center que excluía los registros protegidos en las bases de datos utilizadas y este sistema no se puso en marcha por la contratación temporal de trabajadores y por la no utilización de ordenadores o sistemas automáticos de marcación, es algo que pudo evitar precisamente absteniéndose de realizar las campañas publicitarias sin las garantías precisas, ya sean normativas, ya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 sean garantías técnicas como es la utilización de un determinado proceso, y excluir cualquier tipo de concesión al error que puede producirse utilizando otros medios, como ha ocurrido en el caso analizado. La explicación ofrecida por VIA no es sino una muestra más de la negligencia apreciada en este caso. Por lo tanto, no puede pretender VIA ser indemne a las obligaciones y diligencia debida que deriva del tratamiento de datos personales, cuya protección adquiere la categoría de derecho fundamental, ex art. 18.4 de la CE y STC/292/2000. Asimismo el tratamiento realizado se produce en fecha de 20/03/2014 y la factura en virtud de la cual se adquiere la base de datos donde afirma VIA que se encontraban los datos del denunciante es de fecha 14/07/2014(Folio 135), circunstancia que crea dudas acerca del origen de los datos del denunciante y por tanto de las cautelas que se adoptaron. Por lo que cabe concluir que los datos personales del denunciante fueron utilizados con fines publicitarios por INSTALVIA y VIAGLOBAL sin que dichas entidades contasen con su consentimiento, considerando la inscripción del denunciante en un fichero de Exclusión de tratamientos publicitarios, ex art. 49 RDLOPD, (LISTA ROBINSON de AIDIGITAL). VII Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas, los datos personales del denunciante debieron ser excluidos de las acciones publicitarias realizadas por INSTALVIA y VIAGLOBAL en nombre de DTS. VIII En el presente caso, los datos personales del denunciante fueron tratados por encargo de DTS a INSTALVIA y de ésta a VIA GLOBAL, para la realización de las llamadas recibidas por aquél en marzo de 2014, a pesar de la oposición ejercitada a través de la inscripción en el fichero de lista Robinson de AIDIGITAL. Ha quedado acreditado que los datos personales del denunciante fueron utilizados para que recibiese llamadas por encargo de DTS e INSTALVIA, y fue VIAGLOBAL, según los detalles que constan en los Hechos Probados, quien realizó las llamadas publicitarias. INSTALVIA pretende excluir su responsabilidad señalando que (…) no ha transmitido ninguna instrucción a VIAGLOBAL sobre cómo realizar su trabajo, ni ha fijado ningún parámetro o criterio de segmentación sobre las llamadas que se deben efectuar (…) sin embargo en el contrato con DTS se hace constar expresamente que es quien fija los parámetros, además decide por su cuenta acudir a VIA para realizar el servicio que le presta a DTS, es decir, acuerda la realización de un determinado tratamiento utilizando determinados medios y con una determinada entidad ( en este caso VIA) por lo que formal y materialmente es responsable del tratamiento y de las infracciones derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 Todo ello sin perjuicio de su falta de diligencia en la realización del contrato donde no se prevé nada respecto de la consulta a ficheros de exclusión ex art. 49 RDLOPD, como es el de Lista Robinson (en los contratos no contienen ninguna indicación al respecto ni mandato alguno sobre la consulta de estas exclusiones, no existe concreción alguna respecto de los plazos de actualización) y del incumplimiento del contrato con DTS al no utilizar el fichero de su responsabilidad sobre el que pudiera haber tenido un control y conocimiento mayor que en el caso de externalizar la prestación a la que se comprometió. INSTALVIA documenta contractualmente su actuación con DTS para a la hora de realizar materialmente la encomienda, apartarse de lo comprometido y actuar completamente de modo distinto a lo convenido, poniendo en riesgo la adecuación a la normativa del tratamiento realizado y teniendo como resultado la comisión de la infracción del art. 6 de la LOPD. Respecto de VIA, y sin perjuicio del análisis de su responsabilidad que se hace en el Fundamento de Derecho correspondiente, hay que señalar que pudo seguir utilizando su sistema de gestión de call center, que de funcionar como ha manifestado, se hubiera evitado el tratamiento sin consentimiento. Es decir, las explicaciones dadas se refieren a fallos producidos en la esfera de responsabilidad de VIA, a la que corresponde establecer los mecanismos para impedir sus efectos, como lo prueba el hecho de que la propia entidad VIA ha manifestado que se realizarán verificaciones para detectar errores, se evitarán las llamadas manuales y se ha corregido el problema en la opción “no llamar más” de su sistema. En definitiva, no pude concluirse que pusieran todos los medios a su alcance IX El art. 44.3.
  19. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de INSTALVIA y VIA, y la exigibilidad del consentimiento viene dada en la norma aplicable. Las citadas entidades, al tratar los datos del denunciante sin su consentimiento, han cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable, en todo caso, a las entidades INSTALVIA, en su condición de responsable del tratamiento, y a VIAGLOBAL como responsable del fichero utilizado en la campaña de publicidad y del tratamiento. X INSTALVIA en sus alegaciones formuladas a la propuesta de resolución, interpreta que el Instructor del Procedimiento sitúa la responsabilidad de la mercantil por no consultar la Lista Robinson. Por su parte VIAGLOBAL centra sus alegaciones en la interpretación de que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 Instructor sitúa la responsabilidad de la citada mercantil en la utilización de sistemas de marcación manual, aduciendo que no están prohibidos por la norma y que los sistemas automáticos no están exentos de fallos, para finalmente poner de manifiesto la SAN 23/12/2013 que analiza la culpabilidad en el caso del error. Para el análisis de las manifestaciones de las entidades imputadas, debe señalarse que en el Fundamento de Derecho VIII y IX de la citada Propuesta consta lo siguiente: (….)La culpabilidad de dichas entidades ha quedado acreditada en atención al tratamiento de datos de la denunciante sin su consentimiento, pues no consta en el procedimiento actuación alguna tendente a valorar si contaban con su legitimación, habida cuenta de que no se hizo previsión alguna de la consulta a los ficheros de exclusión por parte de INSTALVIA en el contrato de servicios con VIA, y respecto de ésta, o bien no se consultó, o bien admitiendo la versión de los hechos que manifiesta, la marcación manual y la exclusión del sistema de gestión de call center, hizo que no se cruzaran los datos con el fichero de exclusión Lista Robinson.(…) (….)En este caso, en relación con las entidades INSTALVIA y VIAGLOBAL, debe señalarse, respecto de la primera, que concurre en relación con el elemento subjetivo de la culpabilidad y la diligencia prestada, debe señalarse que sin perjuicio de que a diferencia de lo pactado con DTS no utilizo su fichero y que si lo hubiera hecho así hubiera tenido un control material del mismo para evitar conductas como las analizadas, al contratar el tratamiento con VIA no tuvo la previsión de la consulta del fichero Lista Robinson, y tampoco consta en el contrato que VIA ofreciera garantías del cumplimiento de la LOPD más allá de las meras manifestaciones. A este respecto señala INSTLAVIA en sus alegaciones obrantes en el folio 142, que (…) ha actuado con diligencia subcontratando los servicios con una empresa que acredita el cumplimiento de la normativa de protección de datos (…) sin embargo no aporta prueba alguna de tal circunstancia. Esa falta de previsión y de diligencia, en relación con la vinculación de su actividad al tratamiento de datos personales y su profesionalidad, impide aplicar lo dispuesto en el art. 45.5 de la LOPD.(…) De la simple lectura del texto arriba transcrito debe rechazarse las argumentaciones de INSTALVIA y VIAGLOBAL, ya que el objeto de imputación y la conducta antijurídica que se atribuye a la mercantil, no estriba únicamente en la inexistencia de consulta de la Lista Robinson, sino que el Instructor del procedimiento pone de manifiesto circunstancias que muestran la actuación de INSTALVIA desprovista de las mininas garantías en el tratamiento de datos. Por otra parte, tampoco se demoniza la utilización de sistemas manuales de marcación, sino que analizadas las circunstancias concurrentes y las manifestaciones de las entidades (en las que ensalzan las bondades de sus procedimientos), el Instructor del procedimiento llega a la conclusión de que si se hubieran utilizado los medios habituales con los que las entidades manifiestan que trabajan en el tratamiento o de datos, hubiera sido más difícil que se produjeran los hechos analizados. Ya que si “normalmente” se adquieren bases de datos depuradas, se posee una lista Robinson propia, se prevé el cruce con la Lista Robinson de AIDIGITAL y se utiliza un sistema de call center automático y finalmente, y para el caso concreto, nada de esto se utiliza, toda la diligencia y rigor con el que se aborda el tratamiento de datos en campañas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 marketing por las entidades imputadas queda reducido a la nada, facilitando así el acaecimiento de tratamientos de datos desprovistos de garantías entregados al azar de que se produzcan o no determinados errores. Finalmente, en cuanto al acaecimiento del error como causa de exclusión de la responsabilidad, la Audiencia Nacional aborda el análisis del mismo y valida la antijuricidad para que la conducta sea sancionada, yendo más allá de los errores humanos, analizando incluso los errores informáticos desprovistos del elemento volitivo o intencional que detenta la condición humana, en concreto en la Sentencia de 26/03/2015 ( Rec. 178/2013) señala La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos como, en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012) XI El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Las entidades imputadas solicitan la aplicación del artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  35. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. XII En este caso, en relación con las entidades INSTALVIA y VIAGLOBAL, debe señalarse, respecto de la primera, que concurre en relación con el elemento subjetivo de la culpabilidad y la diligencia prestada, debe señalarse que sin perjuicio de que a diferencia de lo pactado con DTS no utilizo su fichero y que si lo hubiera hecho así hubiera tenido un control material del mismo para evitar conductas como las analizadas, al contratar el tratamiento con VIA no tuvo la previsión de la consulta del fichero Lista Robinson, y tampoco consta en el contrato que VIA ofreciera garantías del cumplimiento de la LOPD más allá de las meras manifestaciones. A este respecto señala INSTLAVIA en sus alegaciones obrantes en el folio 142, que (…) ha actuado con diligencia subcontratando los servicios con una empresa que acredita el cumplimiento de la normativa de protección de datos (…) sin embargo no aporta prueba alguna de tal circunstancia. Respecto de la segunda, cabe señalar que consintió el cambio del proceso que tienen establecido al contratar trabajadores temporales al margen de los sistemas de gestión, que pueden cruzar las exclusiones que estén en las bases de datos utilizadas con los potenciales destinatarios de las campañas publicitarias en la medida que permitió la realización manual de las llamadas sin filtro o garantía alguna. Ahora bien, y de acuerdo con lo establecido en el art. 45.5 LOPD en su apartado
  36. a)debe aplicarse la degradación prevista y situar el importe de la sanción dentro de la horquilla de las infracciones leves. En la actuación de INSTALVIA y VIAGLOBAL concurren los apartados b),
  37. d)y
  38. h)como atenuantes de la antijuridicidad y culpabilidad. Sin embargo también concurren los apartados
  39. c)y
  40. g)y
  41. f)como agravantes, en especial en cuanto a la intencionalidad y su relación con la falta de diligencia cuyo parámetro no puede ser otro que la profesionalidad de las mercantiles y su vinculación con el tratamiento de datos, y en cuanto a la reiteración y reincidencia, en tanto que existe la imposición de sanciones por infracciones de la misma naturaleza en los procedimientos PS/132/2014 resuelto en fecha de 19/09/2014 mediante Resolución R/2027/2014 y el PS/580/2014 resuelto en fecha de 24/04/2015 por Resolución R/0975/2015, por lo que se determina la cuantía de la sanciones en 10.000 euros para cada entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad INSTALVIA TELECOMUNICACIONES S.L. por una infracción del artículo 6 de la LOPD, tipificada como GRAVE en el artículo 44.3
  42. b)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VIA GLOBAL SOLUTIONS, S.L, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  43. b)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. TERCERO: ARCHIVAR el procedimiento a DTS DISTRIBUIDORA DE TELEVISION DIGITAL. CUARTO: NOTIFICAR la presente resolución a DTS DISTRIBUIDORA DE TELEVISION DIGITAL, INSTALVIA TELECOMUNICACIONES, S.L, VIA GLOBAL SOLUTIONS, S.L y a A.A.A. . QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.