← España

PS-00124-2016

1/35 Procedimiento Nº PS/00124/2016 RESOLUCIÓN: R/01805/2016 En el procedimiento sancionador PS/00124/2016, instruido por la Agencia Española de Protección de Datos a la entidad HOME XXI HOGAR Y DESCANSO S.L., MACRO SELECT PRINT S.L., MEYDIS S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de marzo de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara haber recibido una carta nominativa por la que se le invitaba a una presentación comercial realizada por la entidad HOME XXI sin que la denunciante haya tenido relación comercial alguna con dicha entidad. También niega haber proporcionado sus datos a MACRO SELECT PRINT, S.L. (MSP en adelante). Aporta como prueba una carta remitida a nombre de la denunciante, en la que consta su dirección completa, incluyendo calle, número, piso y puerta. Al pie de la carta aparece un texto según el cual los datos utilizados para la campaña han sido obtenidos de MSP, y que dichos datos. En dicha carta se invitaba a la denunciante a una charla informativa a la que, solo por asistir, se le obsequiarán dos productos. Dicha charla estaba fijada para el día 10/2/2015 en el Hotel Barceló Nervión SEGUNDO: A la vista de los hechos denunciados, en las actuaciones previas realizadas, por los Servicios de Inspección de esta Agencia ante las entidades MACRO SELECT PRINT, S.L., MEYDIS S.L., HOME XXI HOGAR Y DESCANSO S.L., y el HOTEL BARCELO NERVION (en adelante, el Hotel) teniendo conocimiento de que: 1. De la documentación aportada por el Hotel se desprende que: a. En fecha 19/1/2015 se recibe en el Hotel un correo electrónico remitido desde la cuenta .....@homeviajesxxi.com con el asunto “RESERVA SALON - HOME XXI”. En dicho correo electrónico se solicita una reserva para los días 10 a 13/2/2015. Se aportan en dicho correo los datos fiscales para la facturación, a nombre de Home Viajes XXI SL, con domicilio social idéntico al de HOME XXI. b. En fecha 20/1/2015 se formaliza el contrato de servicios entre HOME XXI y BARCELO CONDAL HOTELES, S.L., por el que se realiza la reserva de un salón de reuniones los días 10 al 12/2/2015. Como empresa contratante figura HOME XXI. c. Con fecha 13/2/2015 se emite por el Hotel dos facturas a nombre de Home Viajes XXI SL, por los conceptos de alquiler de salón (días 10 al 12/2/2013) y por habitaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/35 2. Los representantes de HOME XXI realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Cuando la entidad va a realizar una presentación comercial, planifica previamente de la misma, mediante la reservas de salones en los hoteles en que se va a realizar el evento. Para ello realiza una reserva previa de plazas a través de la entidad Home Viajes XXI SL, agencia de viajes del grupo. b. Confirmadas las reservas, realiza una selección de personas a convocar entre sus propios clientes o asistentes a eventos previos. Cuenta para ello con una base de datos de 500.000 personas, que han sido clientes o que han prestado su consentimiento tras la asistencia a algún evento anterior. La entidad cuenta con el consentimiento de dichas personas por escrito, que ha sido digitalizado. En caso de no poder completar el número de plazas disponibles, encomienda a MACRO SELECT PRINT S.L. (en adelante MSP) la convocatoria del número de personas necesarias para poder completar el aforo, aunque la mayor parte de las personas convocadas provienen de la propia base de datos de HOME XXI. HOME XXI realiza la impresión y envío de las cartas extraídas de sus propias bases de datos, en tanto que MSP realiza la impresión de las cartas con datos extraídos de la suya. c. Para que MSP pueda realizar la convocatoria, HOME XXI facilita a la misma la creatividad a utilizar, así como la dirección del local que será utilizado y las fechas y horas en que se realizarán las presentaciones comerciales. Solicitada copia de las comunicaciones realizadas a MSP respecto de la convocatoria del evento celebrado en el Hotel Barceló Nervión de Bilbao el 10 de febrero de 2015, los representantes de la entidad informan que todas las comunicaciones con MSP se realizaban por teléfono. Los inspectores solicitan la copia de la comunicación en que ser remitiere a MSP conteniendo la creatividad utilizada para la convocatoria, manifestando que la persona que llevaba los contactos con MSP ha sido despedida el día el 15/10/2015. Solicitado por los inspectores acceso a la cuenta de correo electrónico de dicha persona, los representantes de la entidad manifiestan que no es posible, no saben quién puede acceder a ella y el informático está ausente realizando un examen. Informan los representantes de la entidad que los contactos con MSP los llevaba B.B.B.. d. Las personas que posteriormente quieran asistir al evento pueden confirmarlo a través del número de teléfono que aparece en la publicidad, a través del cual el personal de HOME XXI asignará un número de cita previa a la sesión que pueda interesar al potencial cliente, a fin de poder controlar que no se sobrepase el nivel de aforo de los salones contratados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/35 e. MSP no facilita a HOME XXI datos de sus ficheros, solamente se recogen datos de las personas que asistan a evento y presten su consentimiento. f. Solicitado el contrato de HOME XXI con MSP, informa la entidad que dicho documento está en su sede social, en (C/....1). Solicitada copia de servicios ofertado por MSP, respecto de los datos ofrecidos, cantidad de registros y distribución geográfica de los mismos, informan los representantes de la entidad que tampoco está disponible dicha documentación, también está en la sede social, ni está disponible la persona que pueda informar al respecto. g. Solicitado a HOME XXI información acerca de las cautelas tomadas respecto al cumplimiento de la LOPD por MSP, la entidad informa que dicha empresa les facilitó un certificado respecto de que no estaba incursa en procedimiento sancionador alguno por parte de la AEPD así como aseguraba contractualmente que cumplía escrupulosamente con dicha ley. 3. Los inspectores de la Agencia solicitan al representante de HOME XXI que les permita el acceso a los sistemas de información de la entidad, en la que se realizan las siguientes comprobaciones: a. Se solicita una consulta en el fichero de asistentes. Solicitado el número total de registros de dicho fichero, informan los representantes de la entidad que la aplicación a través de la que se accede al fichero no dispone de esa opción, y el informático de la entidad no está disponible, está realizando un examen. b. Se realiza una consulta al fichero de asistentes utilizando como criterio de búsqueda A.A.A. no encontrándose ningún registro que se corresponda con dicho criterio. Se realiza la misma consulta respecto del fichero Robinson, no encontrándose ningún registro que se corresponda con dicho criterio. c. Se realiza una consulta en el fichero de eventos respecto de eventos a realizar en el Hotel Barceló Nervión entre el 10 y el 12/2/2015, apareciendo un único evento, con código de evento EV******1. d. Se realiza una consulta respecto del control de impresión de las cartas enviadas por HOME XXI con ocasión del evento realizado en el Hotel Barceló Nervión, apareciendo como respuesta 15 registros. e. Se realiza una consulta en el sistema de contabilidad respecto de la cuenta de MSP, encontrándose que se han contabilizado un total de dos facturas, y ningún pago a dicha entidad. Se solicita copia de dichas facturas. f. C/ Jorge Juan, 6 28001 – Madrid Se accede a la ficha de personal de B.B.B. verificándose que consta www.agpd.es sedeagpd.gob.es 4/35 baja de dicha persona en los servicios de HOME XXI en fecha 15/10/2015. Los representantes de la entidad muestran a los inspectores copia de la notificación de despido, que no se recaba g. Solicitado el acceso a los ficheros en los que se controla el aforo de los salones en los que se realizan las presentaciones comerciales, los representantes de la entidad informan que están en una sede próxima, trasladándose la inspección a la misma. h. Una vez en el Call Centre de HOME XXI, una de las empleadas de la entidad informa que cuando una persona es atendida por un operador, se identifica y se buscan sus datos, previamente cargados en el sistema de información, y en función de la respuesta de la persona se codifica ésta, asignándole un número de cita previa al evento a que asistirá la persona. Se accede al sistema de gestión de llamadas y se realiza una búsqueda con el parámetro del “HOTEL BARCELÓ”, observándose que aparecen una serie de acciones vinculadas a dicho hotel. Seleccionada la acción con código “Llamadas EV******1” se observa que aparecen una serie de personas de contacto asociadas a dicha acción. Se aplica el filtro “***FILTRO.1” a dichas personas, encontrándose un único registro asociado a A.A.A., constando además de su nombre, el código postal, localidad y provincia, fecha del evento, campo tipología, con valor “PAREJAST” y estado “Pendiente”. Consultada la empleada de HOME XXI respecto del significado del estado “Pendiente” manifiesta que dicho estado significa que no ha establecido contacto con el Call Centre. Solicitados a los representantes de la entidad el origen de los datos de Dª A.A.A. informan que desconocen su origen. i. Se realiza una consulta sobre el mismo sistema respecto del número de personas de contacto asociadas al evento antes mencionado, clasificadas por estado, obteniéndose que aparecen los cinco estados distintos, informando los representantes de la entidad que su significado es el siguiente: - Pendiente: No han establecido contacto con la entidad. - Pospuesto: el convocado no asistirá al acto, puede asistir en un futuro. - Negativa: el convocado no asistirá, no le interesa. - Positiva: confirma la asistencia. - Teléfono: informa que los datos están mal. 4. Solicitado a los representantes de la entidad el desplazarse a la sede social de la misma a fin de continuar allí la inspección, así como recabar copia de los documentos que todavía no han sido aportados, los representantes informan que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/35 en dicha sede no hay nadie, el administrador no se encuentra en la misma y no recuerda la ubicación exacta de los documentos, que serán aportados posteriormente. Se informa a los representantes de la entidad que tras el envío de varias cartas a MSP se observa que normalmente son recogidas de la oficina de correos en fechas posteriores, por lo que se sospecha que dicha sede sea representativa pero no haya en ella actividad real, por lo que se solicita informen de persona y datos de contacto de MSP, dirección postal y números de teléfono, a fin de contactar con la entidad. Los representantes de HOMEXXI informan no disponer de ningún medio de contacto con MSP ni ningún trabajo pendiente. Los eventos que se están programando para los próximos meses están siendo planificados con su propia base de datos, no utilizando los servicios de datos externos. 5. Mediante correo electrónico de fecha 12/11/2015 HOME XXI aporta copia de la siguiente documentación: - Contrato suscrito con la Entidad MSP, en fecha 16 de Octubre de 2014. En dicho contrato consta: <<Primero-Objeto del contrato Constituye el objeto del presente Contrato la prestación por parte del PROVEEDOR de los servicios de selección de direcciones y personalización de documentos y remisión por correo postal de los mismos:

  1. a)La recopilación y segmentación de los datos de carácter personal en los ficheros titularidad del PROVEEDOR para su posterior utilización cori el fin de ejecutarlas campañas de marketing encargadas por el CLIENTE. La fijación de los criterios de segmentación de destinatarios de la campaña será hecha por el PROVEEDOR. Al llevar a cabo la selección de datos de los destinatarios de la campaña el PROVEEDOR deberá excluir, en todo caso, los datos de aquellas personas que hayan ejercido previamente sus derechos de cancelación u oposición a recibir publicidad en los ficheros de PROVEEDOR.
  2. b)La confrontación de los datos de carácter personal con la Lista Robinson de ADIGITAL, con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad.
  3. e)Impresión de los datos personales de los destinatarios en los documentos publicitarios a enviar, ensobrado y entrega de documentos en Correos para su distribución.
  4. d)Inclusión en los documentos publicitarios de la siguiente cláusula Informativa; “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa, Macro Select Print, S.L. Pueden ejercerse los derechos de acceso, rectificación, cancelación u oposición en el Apartado de Correos n°******, ***CP.1 de Madrid.” Segundo. Garantías C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/35 A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, el PROVEEDOR manifiesta que en la ejecución de este contrato:
  5. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público, vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3
  6. j)de la LOPD. b. Que hayan sido recabados respetando los deberes de Información y recabo del consentimiento tanto para su recogida, como para su cesión (art. 5, 6 y 11 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD así como posteriormente ser cedidos al CLIENTE para el seguimiento de la campaña por vía telefónica.
  7. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
  8. c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD. Las condiciones establecidas en esta cláusula han sido esenciales en la decisión del CLIENTE de contratar el servicio con el PROVEEDOR, a los efectos del cumplimiento de las garantías exigidas por el Reglamento de Desarrollo de la LOPD para la ejecución de campañas de marketing directo con ficheros de tercero. Su incumplimiento o falsedad serán causa de resolución de pleno derecho de este contrato.>> - Documentación ofrecida en garantía de cumplimiento de LOPD por parte de MSP. Se trata de escrito fechado el 15 de octubre de 2014 y firmado por de D. C.C.C., actuando en nombre y representación de MSP, en que manifiesta: <<A los efectos del contrato de servicios de marketing a firmar con Home XXI Hogar y Descanso, S.L., que la empresa que aquí represento no ha recibido nunca una denuncia por incumplir la Ley de Protección de Datos ni ha tenido nunca ninguna multa de la Agencia de protección de Datos por que los datos personales de nuestro fichero de Comercial y Marketing no cumplan, por algún motivo, la LOPD.>> - Resolución unilateral del contrato suscrito con MSP, recibido el pasado día 28 de Octubre. Por otra parte, informa HOME XXI que: - La persona de contacto en esa Compañía era su representante legal Don C.C.C., no pudiendo a esta fecha facilitar más datos sobre él mismo que los que constan en el contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/35 - Esta Sociedad no tiene en sus ficheros, ni ha tenido nunca, ningún dato de DOÑA A.A.A., y en su consecuencia no puede tener consentimiento alguno prestado por la misma para utilizar sus datos. 6. Con fecha 14/11/2015 tiene entrada en la Agencia un escrito remitido por MSP en el que se manifiesta: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> 7. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle C/ (C/...1) 8, 8º 14 de Madrid, sede social de MACRO SELECT PRINT S.L., llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono ***TEL.1, teléfono conocido del administrador único de la entidad, que no es contestada. - C/ Jorge Juan, 6 28001 – Madrid A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el interior. www.agpd.es sedeagpd.gob.es 8/35 Durante la espera se realiza una nueva llamada al número de teléfono ***TEL.1, que no es contestada. - Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo D. C.C.C., administrador de MACRO SELECT PRINT S.L. Pese a ser el domicilio conocido de MACRO SELECT PRINT S.L. no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. - Se intenta acceder a la calle (C/...1) 18, pero se observa que no existe dicho número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/...1) 8 que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle (C/...2), 26, PBJ IZ, y tras llamar a dicho domicilio, atiende una persona, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a D. C.C.C.. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee XXXXXX indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con D. C.C.C., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>> Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones profesionales, solicitan ponerse en contacto con D. C.C.C., la persona que les atiende, que se identifica como D. D.D.D., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a D. C.C.C. que se ponga en contacto con el mismo. El gerente de ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. 8. Se ha solicitado al administrador de MSP que informe de la dirección efectiva de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/35 administración y gestión de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. 9. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos. 10. Solicitada información al BANCO BILBAO VIZCAYA ARGENTARIA, S.A. respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos a MSP, se ha podido comprobar que entre el 10/9/2015 y el 2/2/2015 se han realizado un total de 20 accesos desde la dirección IP ***IP.1 que está asignada a MEYDIS. 11. Mediante la correspondiente diligencia se ha podido comprobar que en la URL http://............... aparece una presentación publicitaria de MEYDIS en la que se anuncia que la entidad dispone de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos: - persona de contacto (titular del teléfono), - dirección postal completa, - nivel socioeconómico de la unidad familiar, - edad del titular del teléfono, - nivel cultural del titular del teléfono. 12. Realizada visita de inspección a una de las empresas clientes de MSP, respecto de una denuncia similar, se intentó contactar con la persona de MSP que atendía las peticiones, siendo infructuosas las llamadas. Mediante diligencia de fecha 4 de noviembre de 2015 se verifica la existencia de una llamada telefónica perdida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/35 al inspector actuante realizada desde el número de teléfono ***TEL.2 en fecha 3/11/2015 (a las 14:57 y 14:58 horas). Se devuelve la llamada a dicho número que es atendida por quien dice llamarse ***NOMBRE.1 (no da apellidos). Dicha persona informa al inspector actuante que la llamada fue motivada por la realizada el dia anterior, que fue atendida por su hija, al no estar disponible la interlocutora en ese momento. Se explica a la interlocutora que la llamada fue motivada porque la empresa a la que se estaba inspeccionando había informado que ella era la persona de contacto en MSP. A las preguntas del inspector actuante, la interlocutora informa: - Que no trabaja ni ha trabajado en MSP. - Que su empresa sí que trabaja para la empresa inspeccionada. - Que la actividad de su empresa consiste en la impresión y ensobrado de publicidad postal. - Que su empresa es MEYDIS S.L. 13. Solicitada información a Dª B.B.B., informa: a. Respecto de las relaciones comerciales de HOME XXI con MSP: <<La persona que decidió comenzar las relaciones comerciales entre HOME XXI y MSP fue el director general de la compañía E.E.E.. Los servicios que oferta MSP son la impresión o compra de ficheros para su posterior campaña comercial. En su comienzo Home XXI solicitaba el número de registros o direcciones fijando unos determinados criterios como son rango de edad, sexo, nacionalidad, nivel socio cultural, nivel de estudios etc. Estos registros se pedían por cp o poblaciones y la empresa Meydis se encargaba de su manipulación, ensobrado y envió. Por ejemplo queríamos realizar un evento comercial en la localidad de ***LOCALIDAD.1 (Alicante) por lo que se le enviaba a la empresa Meydis la solicitud por email ya que esta empresa se encargaba de la manipulación y ensobrado de la invitación, a continuación nos devolvían la estadística (que detallaba el número de registros que cumplían los criterios) y una muestra de la carta final que le llegarían a los clientes para su posterior ok por parte de la compañía. Adjunto una plantilla de las peticiones que realizábamos

(1)y una muestra de la estadística y cartas
(2). Esta forma de trabajo la realizamos desde 2007 aproximadamente, hasta principios de 2013. A partir de esta fecha paramos la actividad con la empresa MSP y comenzamos a realizar las campañas comerciales por vía telefónica, utilizando nuestra propia base de datos de clientes y asistentes a nuestros eventos, esta forma de trabajo duró, aproximadamente desde marzo de 2013 hasta finales de este mismo año. Es a partir de entonces cuando comenzamos a imprimir nosotros mismos todas las invitaciones de las campañas con nuestra base de datos propia (clientes y asistentes) y comprando según nos convenía registros a la empresa MSP. Esta compra la realizábamos por peticiones de poblaciones y c.p y nos era suministrada por dicha empresa, se migraban todos los datos a nuestros ERP (Aqua Business) para posteriormente poder realizar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/35 impresiones de dichos registros. Se combinaban llamadas telefónicas a todos los registros con las invitaciones mandadas a sus domicilios ya que en la propia invitación se le decía a los invitados que llamaran para reservar su plaza pero para conseguir el número de asistentes impuesto por la empresa (16-18 parejas por reunión) a todos aquellos que no llamaban se les llamaba por teléfono para intentar conseguir su asistencia a dicho evento. A partir de finales de junio de 2015 la empresa Meydis nos realiza los envíos ya que Correos canceló nuestro contrato por la deuda acumulada de casi un año sin abonar facturas por que nosotros realizábamos la impresión y ensobrado y dicha empresa nos realizaba los envíos que posteriormente nosotros le abonábamos para así seguir teniendo los descuentos que correos tenia firmados con ellos. A partir de Septiembre de 2015 (creo recordar) se precedió a subarrendar todas la maquinaria de impresión y ensobrado a Meydis S.L. con el fin de que se encargarán de nuevo de toda la impresión y manipulado de las invitaciones para que así no tuviera que encargarse HOME XXI de pagar el renting de la maquinaria y se acordó una serie de precios por invitación o registro impreso de nuestra propia base de datos que era proporcionada a MSP para dicha impresión y ensobrado.>> b. Fecha en que comenzó la relación comercial de HOME XXI con MSP. <<La relación comercial entre HOME XXI y MSP comenzó en julio de 2014 ya que anteriormente la empresa MSP tenía otras razones sociales, detalló a continuación las que recuerdo: -Megadis -Mega Data integral services>> Mega Data Integral Services es una empresa reiteradamente sancionada por esta Agencia, contándose con once expedientes de investigación abiertos a la entidad, resultando de ellos la apertura de ocho procedimientos sancionadores. Megadis y Mega Data Integral Services son la misma empresa. c. Respecto de las personas que llevaban los contactos con MSP. <<Los contactos con la compañía MSP los llevaba directamente y únicamente el director de la compañía E.E.E. y luego la relación de día a día para los trabajos los llevaba en un principio F.F.F. (gerente) y posterior yo qué era la responsable del departamento de planificación, órdenes y envíos en la compañía y no querían que nadie más llevará el tema por la sensibilidad que requiere el puesto. Actualmente después de mi despido todo el trato de dia a día lo está llevando a cabo G.G.G. y H.H.H..>> d. Respecto de las comunicaciones con MSP: <<La forma de comunicación era vía telefónica y sobre todo vía email. En los inicios la persona de contacto era ***NOMBRE.2 (no recuerdo el apellido) luego asignaron a I.I.I. (se ha jubilado) y posteriormente tratábamos todo con: -J.J.J. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/35 -K.K.K. -L.L.L. Estas personas son las que trabajábamos el día a día, luego con otras personas se trataban otros temas, que normalmente se encargaba directamente el gerente o director ejecutivo de la compañía: -M.M.M. -N.N.N. -bdb (....@meydis.com) -macro select print (......@mail.com) EI teléfono donde nos comunicábamos es el ***TEL.3>> Se ha podido comprobar que este teléfono es de MEYDIS. e. Respecto al flujo de datos entre ambas empresas: <<A comienzos de nuestra relación laboral en 2007 como explique en el punto 1, nosotros no tratábamos ningún dato con ellos simplemente se le solicitaba la información de cuantos registros tenían para una población en concreta o c.p y posteriormente nosotros les decíamos cuántos envíos queríamos que realizasen indicándoles el lugar de celebración de la campaña, la invitación a utilizar horarios de reuniones etc. y ellos seleccionaban dicho fichero, imprimían y manipulaban las invitaciones para su posterior envió. Una vez se realizaba el evento y los invitados iban a nuestras campañas comerciales se les daba de alta en una base de datos propia de la compañía HOME XXl obviamente en esos años no había ninguna cláusula que le informará al invitado que esos datos fueran a pertenecer a ninguna base de datos propia de la compañía, con los años sí que la pusieron en las cartas para no llegar a tener problemas. En el año 2014 comenzamos a comprar dichas bases de datos, se le solicitaba por email las poblaciones o c.p que queríamos comprar, ellos nos enviaban una estadística en la que salía por población y c.p los registros de los que disponían según nuestros criterios marcados por la compañía, se les daba un ok de aceptación y posteriormente MSP nos enviaba la base de datos solicitada en formato Excel con la información que nosotros pedíamos: -Nombre y apellidos -DNI -Dirección completa -Localidad -Provincia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/35 -c.p -Fecha de nacimiento -Datos del cónyuge (nombre y apellidos, DNI y fecha de nacimiento) -Teléfono Home XXI migraba toda la información a su ERP y posteriormente realizábamos nosotros toda la campaña, es decir selección de los invitados, impresión, ensobrado y envió. Toda esta información la compañía se quedaba con dichos datos para siempre y no los destruía después de la campaña o en un periodo de 1 año que supuestamente podíamos utilizar dichos datos sino que home XXI volvía a utilizarla una y otra vez. A través de las llamadas telefónicas de las operadoras se les preguntaba todos sus datos personales para posteriormente ir actualizando o aumentando todos los datos que no teníamos para posteriores campañas. … Las tarifas acordadas dependían del trabajo que hicieran es decir todo el proceso selección de datos, impresión, ensobrado y manipulado y envió o bien solo la compra de dichos registros que el precio variaba según si tenían teléfono o no dichos registros.>> f. Informa que la impresión y ensobrado de las cartas convocando a las presentaciones comerciales las realiza MEYDIS. g. Amplia la información facilitada: <<Desde hace aproximadamente 5 o 6 meses Home XXI modifica la cláusula que viene en las invitaciones para poder proceder a grabar todos los datos de sus asistentes en un fichero perteneciente a la entidad Home XXI y dar autorización a ceder sus datos a ENDOBU CORPARATION ya que se dieron cuenta que si esta empresa cierra (Home XXI) no podrían utilizar toda su base de datos, de hecho el director de la compañía quería que realizásemos una impresión de unas 20 o 30 cartas por año con esta nueva cláusula para poder demostrar en caso de una inspección de ustedes que estos datos podían ser utilizados cuando no lo serian.>> 14. En fecha 11/1/2016 fue realizada una visita de inspección a MEYDIS, en relación con las actuaciones de referencia E/2253/2015. Los representantes de la entidad aportaron la siguiente documentación a petición de los inspectores: a. La entidad tiene suscritos contratos tanto con MSP como con una tercera empresa, cliente a su vez de MSP. Examinado el contrato suscrito con MSP se aprecia que aparece fechado el 12/6/2014 y en el mismo constan contratados los siguientes servicios: <<1. Impresión y envío de las cartas que incluyan las comunicaciones descritas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/35 en el expositivo primero de este contrato. Dichos servicios consistirán en cada campana que se lleve a cabo en lo siguiente: a. Recepción del modelo de carta publicitaria que se deba utilizar en la campaña. b. Recepción de un fichero generado por EL CLIENTE con los datos de nombre, apellidos y domicilio postal completo de las personas a las que deba hacerse el envío de la comunicación. Para la transmisión a MEYDIS del modelo y los ficheros mencionados en las dos letras anteriores, podrán utilizarse los siguientes sistemas, a elección del CLIENTE: entrega a través de un ftp, entrega a través de servicios de alojamiento cloud, servicios de mensajería, etc.). c. Impresión de dichos datos en las cartas a enviar. d. Doblado, ensobrado y franqueo de las cartas. e. Depósito de las cartas en el correspondiente operador postal para su envío. II. Adicionalmente, puesto que el CLIENTE carece de infraestructura suficiente para ello, podrá solicitar a MEYDIS que desempeñe funciones de intermediación en la gestión de las relaciones entre EL CLIENTE y los Clientes Finales, de modo que las peticiones de servicio u otras comunicaciones dirigidas desde estos al CLIENTE se hagan utilizando a MEYDIS como canal. En estos casos, MEYDIS se limitará a trasladar al CLIENTE la comunicación que reciba del Cliente Final.>> 15. Manifiestan los representantes de la entidad que el servicio de informática accede a un servicio FTP en el que MSP deposita los ficheros que contienen los datos personales para cada campaña publicitaria. Tras realizar la impresión, los ficheros ubicados en dicho FTP son borrados, en cumplimiento de las condiciones contractuales. 16. Los inspectores de la Agencia solicitan al representante de MEYDIS S.L. que les permita el acceso los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Solicitado un acceso al servicio FTP del cual obtienen los ficheros proporcionados por MSP para la elaboración de las campañas y tras realizar un intento de acceso al servicio, se comprueba que no existen ficheros alojados en el mismo. Se comprueba que la dirección del servidor es ***IP.2. Realizada la búsqueda de dicha IP en el servicio WHOIS se comprueba que está asignada a un prestador de servicio ubicado en EEUU. Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es menor de 1 milisegundo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/35 Los representantes de la entidad manifiestan que dicho servidor pertenece a MEYDIS, que proporciona un FTP a algunos clientes para que puedan enviar los ficheros de ejecución de las campañas. Solicitado el acceso al directorio real al que se asocia el servicio FTP del usuario MACRO, se comprueba que dicho directorio está vacío. Solicitado el acceso al registro de actividad del servicio FTP se comprueba que únicamente se guarda registro de los accesos de mismo día de la inspección. Informa un miembro de sistemas que esto es debido a que acaban de instalar un antivirus y que se ha estropeado la configuración del sistema perdiéndose los datos de los registros de acceso. Aclaración respecto de los tipos direcciones IP’s y sus usos: Las direcciones IP pueden clasificarse según su accesibilidad en públicas o privadas. Las direcciones IP públicas son gestionadas por organizaciones internacionales que, a través de agentes, las asignan a distintos operadores, prestadores de servicios de acceso a Internet y organizaciones. Estas direcciones sirven para identificar unívocamente un dispositivo en Internet y su asignación, estática o dinámica, la decide el operador, prestador de acceso u organización que la tiene asignada. Las direcciones IP privadas son un subconjunto del rango total de direcciones IP que pueden ser utilizadas dentro de las redes internas (Intranet) de cualquier hogar, empresa u organización. Dichas direcciones son únicas dentro de la red interna, y así identifican a un dispositivo dentro de la red, pero pueden repetirse a través de distintas organizaciones. La utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna. En el caso de las presentes actuaciones, la dirección IP ***IP.2 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica, pero a través de la dirección ***IP.2, el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde Internet. Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.2, no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada. Por tanto, a través de la dirección IP ***IP.2 únicamente se puede tener acceso desde la red interna de MEYDIS sin que hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP sería C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/35 únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS. 17. La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda informa que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección IP ***IP.1. Dicha IP está asignada a MEYDIS. TERCERO: Con fecha 03/03/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a HOME XXI HOGAR Y DESCANSO S.L., MACRO SELECT PRINT S.L., MEYDIS S.L., por presunta infracción de los artículos 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3
  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros de acuerdo con el artículo 45 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MEYDIS S.L. mediante escrito de fecha 01/04/2016 formuló alegaciones, significando en síntesis lo siguiente: PRIMERA.- Indebida apertura del procedimiento sancionador contra MEYDIS. Se imputa a MEYDIS, en relación con los datos de la denunciante en este procedimiento, una infracción del artículo 6 LOPD, que dispone que "el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa” Ahora bien, se incoa este procedimiento erróneamente, porque MEYDIS no intervino en modo alguno en la campaña de marketing que es objeto de denuncia. Mi representada no trató los datos de la denunciante, porque no participó de ninguna manera en la campaña de marketing que fue remitida por la empresa Home XXI Hogar y Descanso, Si. De hecho, sorprende la apertura de este procedimiento contra MEYDIS cuando no consta en el expediente ningún elemento que permita inferir que participó en dicha campaña. Ni siquiera existe un contrato de servicios entre mi representada y la entidad remitente de la publicidad que se encontrase vigente en la fecha de la campaña, ni tampoco facturas que pudieran justificar que se llevó a cabo algún servicio en ella. Incluso la propia empresa que realizó la campaña, Home XXI, niega sin ambages la participación de MEYDIS en ella. "Por esta Compañía no se ha contratado, bajo ninguna forma, a la entidad mercantil "MEYDIS, S.L" para la Campaña en la que se engloba el evento desarrollado en fecha 10 de febrero de 2015 en Bilbao. Consecuentemente con lo anterior no se puede aportar documentación alguna de la requerida." lo anterior queda también confirmado por el supuesto testimonio de una ex empleada de Home XXI que se halla incorporado al expediente en forma de correo electrónico de fecha 15 de diciembre de 2015. Al comienzo de él, dice la declarante que, hasta principios del año 2013, MEYDIS prestaba a su empresa los servicios de "manipulación, ensobrado y envío" de cartas publicitarias, para lo cual, Home XXI enviaba una orden de trabajo a MEYDIS, añadiendo que, a partir de marzo del año 2013, la empresa Home XXI dejó de trabajar con MEYDIS y empezó a imprimir sus propias cartas publicitarias, utilizando registros de sus propios ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/35 De lo anterior se colige que, entre marzo de 2013 y junio de 2015, Home XXI no realizó sus campañas de marketing con MEYDIS. La campaña que ha sido denunciada en el procedimiento PS 124/2016 es del mes de febrero de 2015, lo cual confirma que mi representada no intervino en modo alguno en ella. No habiendo intervenido MEYDIS en la campaña denunciada, no pudo llevar a cabo ningún tratamiento de datos de carácter personal en ella, por lo que no puede imputársenos un tratamiento inconsentido de los datos de la denunciante. Todo ello debe llevar al archivo de este procedimiento en lo que a mi representada se refiere. SEGUNDA.- De la interpretación que haca la AEPD de las informaciones obtenidas por la Inspección durante las actuaciones previas de este v otros procedimientos sancionadores. Aunque no existe ninguna prueba de ello, parecería que la AEPD ha entendido que determinadas tareas realizadas por MEYDIS en relación con MSP revelan una vinculación entre ambas entidades que haría que, no se sabe en virtud de qué silogismo, MEYDIS pudiera tomar decisiones sobre el fichero de aquella. Como se demostrará a lo largo de este escrito, en demasiadas ocasiones parece que la interpretación de los hechos es torcida de modo intencionado por la inspección de la AEPD, para Intentar confundir al instructor y convencerle de lo anterior. En esta línea de actuación, se incorporan a este expediente diligencias de investigación que nada tienen que ver con la campaña aquí denunciada y que se refieren a empresas distintas de Home XXI. La circunstancia de que en Internet es accesible una presentación comercial de MEYDIS del año 2009, en la que se indica que dispone de una base de datos de hogares españoles que es segmentable conforme a determinados criterios. El hecho de que, en el marco de unas diligencias previas ajenas a este expediente, una llamada del inspector a un número que habla sido facilitado durante una inspección a la empresa PLENISAN, S.L. como teléfono al que se realizaban las comunicaciones con MSP, la persona que cogió el teléfono manifestó que trabajaba para MEYDIS. El hecho de que, en una inspección realizada a MEYDIS en relación con las campañas realizadas para la empresa PLENISAN (que nada tienen que ver, obviamente con la campaña denunciada en el presente procedimiento), el inspector llegase a la conclusión de que ciertos sistemas informáticos de MSP se encontraban dentro de la red interna de MEYDIS. Como veremos luego, dicha conclusión se reveló conscientemente errónea. El hecho de que la Fábrica Nacional de Moneda y Timbre confirmara a la AEPD que, en una ocasión, un certificado digital de la empresa MSP se solicitó y descargó desde una dirección IP que es titularidad de MEYDIS. Pues bien, obsérvese que ninguna de dichas circunstancias tiene que ver con el procedimiento que aqui nos ocupa. O se refieren a relaciones jurídicas que son completamente ajenas a esta campaña (las de MEYDIS con la empresa PLENISAN) o aluden a la relación entre MEYDIS y MSP, que nada tiene que ver tampoco con lo que aqui se está dilucidando, que no es sino el tratamiento inconsentido de los datos de la denunciante en la campaña de Home XXI. En cualquier caso, nos obliga de nuevo la AEPD a argumentar en relación con algo que se explica por si mismo: la inconexión entre los hechos que parecen servir para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/35 imputar a mi representada en este expediente y el verdadero objeto de éste. Más aún cuando consta la realización de una inspección a la empresa Home XXI y en ella (según recoge el propio Informe de Actuaciones Previas) los representantes de dicha entidad manifestaron en relación con MSP que "La persona de contacto en esa compañía era su representante legal Don C.C.C., no pudiendo a esta fecha facilitar más datos sobre el mismo que los que constan en el contrato". Y esto mismo es reiterado por el representante de Home XXI en el correo electrónico que remitió a la AEPD con fecha de 2 de noviembre de 2015. Es decir, que, aunque la empresa PLENISAN se relacionase con MSP utilizando como canal a personal de MEYDIS, la empresa Home XXI (que es la única que importa a efectos de este expediente) no mencionó en ningún momento a-mi representada, sino que manifestó que sus relaciones se establecían directamente con el representante legal de MSP. En cualquier caso, no nos cuesta explicar el porqué del hecho de que las relaciones entre PLENISAN y MSP (no de esta última con Home XXI) se llevasen a cabo utilizando a MEYDIS como intermediaria, aunque nada tiene que ver en el presente caso: El contacto institucional y comercial que mantenían los administradores de MEYDIS y MSP, sumado a la falta de medios de esta última (por su reciente constitución y pequeño tamaño), determinó que MEYDIS llevase a cabo habitualmente funciones de gestión de las relaciones entre MSP y algunos de sus clientes (según consta en la cláusula Primera II del contrato entre ambas), asi como otras actividades auxiliares que, sin venir expresamente reguladas en el contrato, eran realizadas, por indicación del Presidente de MEYDIS, como deferencia hacia MSP, en aras al mantenimiento de la buena relación con este cliente. Declaración de una empleada de la empresa Home XXI Hogar v Descanso. S.L. Se incorpora al expediente, como prueba de cargo, la presunta declaración de una antigua empleada de la empresa Home XXI Hogar y Descanso, S.L. En relación a dicha la declaración, es necesario, en primer lugar, destacar el hecho de que consta efectuada a través de un correo electrónico que, supuestamente, se envía a la inspección de la AEPD el 15 de diciembre de 2015 desde un e-mail con dominio xxxxx@gmail.com. Asi hecha, la declaración no acredita en modo alguno la identidad de la persona que hace las manifestaciones. En primer lugar, al enviarse a través de correo electrónico, la declaración no aparece firmada por nadie. Se trata de un mero texto procedente de una dirección de Gmail, sin que exista ningún elemento de convicción que permita tener por demostrada la verdadera identidad del remitente. Se irma con el nombre "B.B.B.", pero podría haber sido remitido por cualquiera, porque ni la declaración se encuentra firmada (manuscrita o digitalmente), ni se acompaña copia del DNI de la declarante que permita tener un indicio de que, efectivamente, la declaración puede atribuirse a ella. Y llaman la atención estas graves deficiencias formales, cuando a la función del inspector se le presupone un conocimiento de la normativa vigente que le lleve a adoptar las garantías formales necesarias para que las diligencias de investigación que realice puedan tener verdadera virtualidad probatoria. Y resulta aún más sorprendente que el inspector haya dado por formalmente válida dicha declaración cuando debe saber que es exigencia legal y práctica habitual de la AEPD la de exigir la acreditación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/35 documental de la identidad de denunciantes y declarantes en cualquier procedimiento seguido ante la entidad. La autenticidad de la declaración y de su remitente sólo puede acreditarse con dos elementos, la firma del testigo y la copia de su DNI. Y ni uno ni otro han sido solicitados por el inspector. Además, como el inspector sin duda conoce, desde el punto de vista legal, un correo electrónico no constituye prueba documental válida, por su fácil manipulabilidad, bastando para negar su eficacia que la parte perjudicada por él niegue su autenticidad. Es reiterada la jurisprudencia al respecto. Tan sólo dichas circunstancias ya invalidan legalmente la supuesta declaración incorporada al procedimiento. Pero es que, además, el inspector ha eliminado en la dirección de correo electrónico del remitente cierta información que es manifiestamente relevante para que esta parte pueda valorar dicha prueba testifical e indagar la verdadera Identidad de aquel. Y es que, en la documentación facilitada a esta representación, se ha tachado la primera parte de la dirección de correo electrónico del remitente, haciéndola ilegible. De este modo, sólo nos consta que el e-mail aparece enviado desde una dirección de Gmail, pero no podemos saber ni siquiera el usuario de dicha cuenta, puesto que está tachado. Esto implica una violación de nuestras posibilidades de defensa, al habérsenos facilitado la información del expediente de modo incompleto, eliminando datos relevantes para conocer la verdadera identidad del remitente y, por tanto, limitando las posibilidades de defensa de esta parte. Si el e-mail es falso o el remitente no es quien dice ser, no podemos saberlo ni combatirlo, porque se nos ha privado de la información esencial para ello, cual es la de conocer al menos la dirección de correo electrónico completa desde la que la declaración fue enviada a la AEPD. Sólo conociendo esa dirección, ésta parte podría solicitar las pruebas oportunas para que se revele la verdadera identidad del titular de la cuenta de Gmail. Esto, unido a la falta de firma de la declaración y de la circunstancia de que el inspector no ha tenido la precaución de solicitar a la declarante su DNI para acreditar su identidad hace que la declaración deba reputarse absolutamente inválida en un procedimiento sancionados Parece que la declarante, en la confusión que preside toda su declaración, habla de una empresa para referirse a otra y de esta para referirse a aquella, incurriendo en un galimatías difícil de desentrañar. Es evidente que las personas de contacto mencionadas con e-mail @MEYDIS.com y el teléfono aludido son empleados de MEYDIS. Pero mezcla la declarante los servicios de venta de datos que MSP prestaba a Home XXI con los servicios de manipulado y puesta en correos que MEYDIS prestó a su empresa en algunas épocas. De hecho, confundiendo las personas de una y otra empresa, incluye entre los e-mails de contacto unos de MEYDIS y otros de MSP. Quizás la confusión se deba a que, como resultado de las tareas de intermediación con clientes que MEYDIS prestaba a MSP y que han sido explicadas más arriba, en ocasiones, la declarante se relacionó con MEYDIS en peticiones dirigidas a MSP en virtud del contrato entre ambas. En cualquier caso la declaración en su conjunto es un verdadero embrollo de información confusa e incoherente. Llama la atención que la AEPD reproduzca en el Informe y el Acuerdo literalmente lo que la declarante dice en el apartado 5 de su declaración (desde el primer párrafo hasta el último), y, sin embargo, decida sustituir por unos puntos suspensivos, precisamente, el texto que describe Ios-servicios de MEYDIS, que es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/35 lo que la declarante afirma realmente no es que MEYDIS se encargaba de la impresión y ensobrado de las cartas de Home XXI, sino que esta tarea sólo la asumió durante ciertos periodos de tiempo. Y, de hecho, en los apartados 1 y 5 se afirma que Home XXI llevaba a cabo esas tareas hasta que se subarrendaron las máquinas de impresión y ensobrado a MEYDIS (septiembre de 2015, según se indica), a partir de cuyo momento era esta empresa la encargada de la impresión, manipulado y puesta en correos de las cartas con el fichero que, en formato Excel, enviaba Home XXI. Se ratifica, por tanto, que MEYDIS no prestaba servicios a Home XXI en la fecha en que se llevó a cabo la campaña de marketing objeto de denuncia en el PS124/2016. Al margen de esta inaceptable actuación inspectora, las contradicciones, incongruencias, oscuridades, imprecisiones y dudas contenidas en la declaración de LPC son de tal envergadura que por si solas son argumento suficiente para que dicha declaración y las manifestaciones contenidas en ella no pueda ser tenida en cuenta por la AEPD. Quizás sólo la circunstancia de que la declarante fuese despedida por la empresa Home XXI es la que ha condicionado su decisión de emitir estas manifestaciones. Y quizás tal aversión y la situación emocional derivada de ella son las que la han llevado a incurrir en incongruencias insalvables, en su afán por hacer afirmaciones que perjudicaran a su antigua empresa. Consideraciones legales obre la presunción de inocencia de Mevdis v la prueba indiciarla. Es evidente la no participación de mi representada en la campaña objeto de este procedimiento y no existen pruebas de lo contrario. No cabe olvidar que, al margen de impresiones subjetivas, nos encontramos en un procedimiento sancionador, y que, según dispone el art. 137 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, "1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre /o contrario." El derecho a la presunción de inocencia se encuentra igualmente recogido en el art.6.2 del Convenio para la Protección de los Derechos Humanos y Libertades Fundamentales. La STEDH de 20 de marzo de 2001, caso Temer contra Austria, sostiene que dicho principio implica que no cabe partir de una idea preconcebida de que al acusado ha cometido la infracción que se le imputa, que el peso de la prueba recae sobre el Estado que sanciona y que cualquier duda debe beneficiar al acusado; vulnerándose la presunción cuando "el peso de la prueba se traslade de la acusación a la defensa". En el mismo sentido en la STEDH de 6 de diciembre de 1988 caso Barbera, Messegué y Jabardo contra España, entre otras. Por su parte la jurisprudencia española, al interpretar el ari 24.2 de la CE en relación con el art. 137 de la Ley 30/1992 sostiene que la Administración no puede sancionar sin pruebas, de modo que ha de probar suficientemente los hechos que imputa al presunto culpable, y obtener una prueba de cargo licita que logre vencer la presunción -STS de 5 de noviembre de 1999-. Para que dicha presunción de inocencia quede desvirtuada, será necesario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/35 verificar si se han practicado, con contradicción de partes, pruebas de cargo válidas y con un significado incriminatorio suficiente (más allá de toda duda razonable) para estimar acreditada la intervención de MEYDIS en la ejecución de los hechos integrantes de la infracción (la adopción de decisiones sobre el tratamiento de los concretos datos del denunciante); pruebas que, además, tienen que ser valoradas con arreglo a las máximas de la experiencia y a las reglas de la lógica, debiendo constar siempre debidamente motivado el resultado de esa valoración; todo ello conforme a las exigencias que viene imponiendo de forma reiterada la jurisprudencia del Tribunal Constitucional (SSTC 137/2005,300/2005,328/2006,117/2007,111/2008 y 25/2011, entre otras). Pues bien, no existe en este procedimiento ninguna prueba real que permita concluir que MEYDIS tomó decisiones sobre el tratamiento de los datos de la denunciante. La imputación se basa, según se deduce del Acuerdo de Inicio, en hechos o falsos (como el relativo a la dirección IP del FTP) o accesorios, susceptibles de varías interpretaciones, todos los cuales, además, han sido explicados en este escrito. No ha quedado acreditado de ningún modo que MEYDIS haya participado en la campaña denunciada o tuviese algún poder de disposición sobre el fichero de MSP. Pero es más, aunque ese presunto poder de disposición hubiera sido acreditado, que no lo ha sido, no debemos olvidar que la actividad probatoria de carao sólo sería suficiente si demostrarse que MEYDIS. Efectivamente, ejerció alguna decisión en relación con los concretos datos de la denunciante o. al menos, en la campaña en que dichos datos fueron tratados. Es evidente que una eventual sanción puede basarse en una prueba por indicios, pero ello ha de producirse sin menoscabo del derecho a la presunción de inocencia, como el Tribunal Constitucional viene sosteniendo desde sus primeras sentencias sobre la materia (SSTC 174/1985,175/1985,24/1997,157/1998,189/1998,68/1998,220/1998,44/2000 y 117/2000). La existencia de indicios no es suficiente para destruir la presunción de inocencia, en su vertiente de regla de juicio, a pesar de que se parta de una actividad probatoria licita, cuando del hecho base acreditado no se infiere de modo inequívoco la conclusión a la que se llega, es decir, cuando se trata de una inferencia irrazonable o de inferencias no concluyentes por excesivamente abiertas, débiles o indeterminadas, lo que equivale a rechazar la conclusión cuando la deducción sea tan inconcluyente que en su seno quepa tal pluralidad de conclusiones alternativas que ninguna de ellas pueda darse por probada (SSTC 189/1998,220/1998 ,124/2001 y 137/2002). No cabe confundir una prueba indiciaría de cargo con las meras sospechas o conjeturas. Y, obviamente, no cabe apreciar como prueba de cargo meros indicios cuando se han aportado por esta parte otros tantos contraindicios que desmontan aquellas apreciaciones y que explican por qué las conclusiones en contra de MEYDIS a que llega la AEPD en el Acuerdo de Inicio del Procedimiento no son correctas. Aunque no corresponde a esta parte la carga de la prueba de su inocencia, hemos de decir que, frente a los presuntos indicios en los que se basa el Acuerdo de Inicio del Procedimiento (todos los cuales, además, han sido explicados a lo largo de este escrito), existen hechos que prueban la no participación de mi representada en la campaña de Home XXI en la que se trataron los datos de la denunciante. Así, no consta contrato de servicios, no consta factura, Home XXI ha manifestado que MEYDIS no participó en dicha campaña y la supuesta declaración de la ex empleada de Home XXI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/35 reconoce que en el periodo de tiempo en el que se realizó esta campaña su antigua empresa no trabajaba con MEYDIS. En resumen, existen elementos de convicción suficientes para confirmar que MEYDIS no intervino de ningún modo en la campaña denunciada. Caducidad de las actuaciones previas. Sin perjuicio de lo expuesto en las alegaciones anteriores, ha de tenerse en cuenta que, en el presente procedimiento sancionador, han caducado las actuaciones previas en lo que a MEYDIS se refiere, lo que debe determinar el archivo del expediente. En este sentido, dice el artículo 122.4 del Reglamento de desarrollo de la LOPO, aprobado por Real Decreto 1720/2007, de 21 de diciembre: "4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde ía fecha en ia que ia denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notifícado acuerdo de inicio de procedimiento sancionador produciré la caducidad de las actuaciones previas." En este procedimiento, según consta en el expediente, la denuncia tuvo entrada en la AEPD el dia 5 de marzo de 2015, mientras que el Acuerdo de Inicio del procedimiento Sancionador fue notificado a esta parte mediante correo certificado administrativo el dia 7 de marzo de 2016, habiendo transcurrido, por tanto, más de un año desde la denuncia. Lo anterior supone que las actuaciones previas han caducado y, por tanto, debe decretarse el archivo de este procedimiento en lo que a mi representada se refiere. QUINTO: Mediante escrito de fecha 18/03/2016 HOMME XXI solicitó ampliación del plazo para formular alegaciones al acuerdo de inicio. A fecha de 18/06/2016 no consta que HOMME XXI haya presentado alegaciones, por lo que transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, pudiendo elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. SEPTIMO: Con fecha de 24/06/2016 se inició el período de práctica de pruebas, en el que se acordó: 7.1 Dar por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MACRO SELECT PRINT S.L. HOME XXI, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03693/2015 y las alegaciones al acuerdo de inicio PS/00124/2016 presentadas por MEYDIS, S.L y la documentación que a ellas acompaña. 7.2 Se dan por reproducidos a efectos probatorios y se incorporan al presente expediente, las actuaciones practicadas en el expediente PS/00107/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/35 7.3 Por el Instructor del procedimiento se acordó DENEGAR las siguientes pruebas: 7.3.1 PERICIAL: consistente en la incorporación de las comprobaciones consistentes en la realización del acceso a la IP ***IP.1 por el Instructor y las comprobaciones solicitadas, en base a que no se ha realizado en otros procedimientos que cita MEYDIS, todo ello por la siguiente circunstancia: El error puesto de manifiesto en el acceso a la citada dirección IP, no puede ser objeto de esclarecimiento con la prueba que solicita MEYDIS, S.L. Las alegaciones referidas a la prueba solicitada tienen por objeto la verificación y análisis de la naturaleza de la dirección IP ***IP.1 cuya existencia y uso no fue puesta de manifiesto en la Inspección realizada, sino que es traída al procedimiento en un momento posterior y por tanto su práctica no puede desvirtuar o corroborar lo recogido en el Informe de Actuaciones de Inspección (y en el Acta correspondiente) que centra el análisis en la dirección IP ***IP.3 respecto de la que se ha solicitado prueba Testifical al Inspector actuante para que manifieste lo oportuno al respecto, todo ello sin perjuicio del Informe Pericial aportado por MEYDIS, S.L.. Asimismo, la práctica de la prueba no evidencia el error que atribuyen al Inspector actuante, consistente en realizar la prueba en una IP en lugar que realizar la prueba en otra IP (la propuesta por MEYDIS, S.L.). El resultado que arrojaría la práctica de la misma –por propia lógica de defensa- es el que consta, entre otras cuestiones, en el Informe Pericial aportado al efecto que versa sobre la utilización de dicha dirección IP, y que todo (tanto el informe pericial aportado, como las observaciones del Inspector actuante) será tenido en cuenta a la hora de valorar los elementos de juicio que obran en el expediente. Sin que suponga en ningún caso la valoración del Inspector la sustitución de lo contenido en el Informe ni tampoco la sustitución de lo alegado por MEYDIS, S.L. 7.3.2 DOCUMENTAL: aportación de copia del correo de 15/12/2015 de Dña. B.B.B.. La dirección completa se omite por el derecho a la privacidad de la testigo. MEYDIS, S.L. no razona el motivo por el que quiere conocer esa información, pues la verificación de la dirección no guarda relación con el objeto de los hechos consistentes en el tratamiento de datos personales realizado en las campañas publicitarias y no le corresponde a la citada mercantil dicha verificación. Siendo lo relevante el contenido del mismo y a los efectos de su autenticidad, tanto esta como las restantes pruebas se someten al principio de libre valoración de la prueba debiendo poner de manifiesto a MEYDIS que la ratificación y firma que se ha solicitado a la testigo y cuya contestación consta en el expediente al que podrá tener acceso MEYDIS ex art. 35 LRJPAC. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 05/03/2016 tiene entrada en el Registro General de la AEPD un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/35 escrito de la denunciante en el que comunica que ha recibido en su domicilio una comunicación comercial por vía postal en la que se invita a un evento que se realizara en el HOTEL BARCELO NERVION en fecha de 10/02/2015 de HOME XXI - informando que los datos utilizados provienen de un fichero propiedad de MACRO SELECT PRINT, S.L., (MSP en adelante) y fijando el apartado de correos ****** para el ejercicio de los derechos ARCO. ( Folio 1 a 2) DOS- HOME XXI aporta un contrato de fecha 16/10/2016 (folios 40 a 44) con MSP, en virtud del cual ésta prestara servicios a aquella, de (…) selección de direcciones y personalización de documentos y remisión por correo postal de los mismos(…)en cuya ejecución ésta genera un fichero para acciones comerciales, previa segmentación con los criterios proporcionados por HOME XXI. TRES.- La empleada de HOME XXI que se encargaba de tratar con el proveedor de bases de datos – MSP - para la realización de campañas publicitarias manifiesto que el esquema de negocio en acciones de marketing postal nominativo responde a la determinación de las características de los destinatarios por parte del cliente (en este caso HOME XXI) para que el proveedor de la base de datos genere un determinado fichero de destinatarios de dichas acciones. (…)se le solicitaba la información de cuantos registros tenían para una población en concreta o c.p y posteriormente nosotros les decíamos cuántos envíos queríamos que realizasen indicándoles el lugar de celebración de la campaña, la invitación a utilizar horarios de reuniones etc. y ellos seleccionaban dicho fichero, imprimían y manipulaban las invitaciones para su posterior envió.(…) (…)Es habitual que los criterios se determinen por los clientes y no por Meydis, lo único que nos decían eran los parámetros que ellos tenían es decir , sexo, nivel de estudios, teléfono, nivel socio-económico, cp, población, provincia, extranjeros, estado civil.... y nosotros decidíamos los parámetros ya que en este tipo de empresas se trabaja con un sector muy específico(…) CINCO.- HOME XXI, manifestó que no tiene el consentimiento de la denunciante para su tratamiento puesto que (…)no tiene, ni ha tenido nunca, ningún dato de (…) la denunciante, sin embargo en la inspección realizada en la sede de HOME XXI se acredito que los datos personales de la denunciante constaban en sus sistemas. (Folios 38 y 35) FUNDAMENTOS DE DERECHO I. Competencia Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/35 II. Sobre la Caducidad de las Actuaciones Previas de Inspección. El art. 122.4 del RDLOPD establece lo siguiente: 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. MEYDIS, aduce que ha acontecido la caducidad de las actuaciones previas de acuerdo con el precepto citado, en la medida en que han transcurrido más de 12 meses entre la fecha de entrada de la denuncia y la notificación a dichas entidades del acuerdo de inicio. Según consta en el folio 1 del expediente, la fecha de entrada de la denuncia es de 5/03/2015, lo que determinara el dies a quo del cómputo de la caducidad, y el dies ad quem será el 5/03/2016. Pues bien, respecto de MEYDIS hay que señalar, que al contrario de lo que alega, consta en el folio 176 un escrito (Informe de seguimiento de Notificación) de ENVIALIA de fecha 04/03/2016 con el sello de la citada entidad y con firma manuscrita del receptor, por lo que se ha de entender notificado el Acuerdo de Inicio dentro del plazo establecido al efecto. Por lo que han de ser desestimadas las alegaciones de caducidad de actuaciones previas respecto de MEYDIS. En segundo lugar, respecto MSP consta en el folio 221 un escrito (Informe de seguimiento de Notificación) de ENVIALIA donde aparece un intento de notificación donde consta que en fecha 06/03/2016 la incidencia de Ausente CON NOTA y otra de fecha 06/03/2016 con la incidencia Rehusado/Rechazado. Por otra parte respecto del notificación de Correos, constan dos intentos de fechas 7 y 8 de marzo de 2016 ( folio 199), por lo que no pueden considerase los intentos de notificación – art. 58.4 LRJPACrealizados dentro del plazo de doce meses – que vencía en fecha de 05/03/2016 -que determina el art. 122.4 RDLOPD, por lo que ha de considerarse, respecto de MSP que ha acontecido la caducidad de las actuaciones previas. III. Sobre el precepto vulnerado: Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/35 tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado En el presente caso se imputa la comisión de la infracción consistente en someter a tratamiento los datos personales del denunciante por parte de las entidades MACRO SELECT PRINT, S.L., y HOME XXI al haber realizado acciones de marketing utilizando dichos datos y habiendo negado la prestación del consentimiento la denunciante y la inexistencia cualquier causa que lo dispense. IV. Sobre el estatus las entidades imputadas y la prueba practicada a efectos de determinar su participación y la aplicación del régimen sancionador de la LOPD. Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  3. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  4. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  5. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/35 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso ha resultado acreditado que HOMME XXI realizo una campaña publicitaria cuyos destinatarios eran las personas que constaban en el fichero titularidad de MACRO SELECT PRINT, S.L. y que tras la instrucción del presente expediente sancionador, ha resultado que no contenía el consentimiento del denunciante. HOME XXI es responsable del tratamiento por dos vías, la primera respecto de su relación con el responsable del fichero – MSP – en la medida en que determina los parámetros identificativos de los destinatarios de la campaña, tal como se explica a lo largo de la presente resolución, y la segunda, en la medida en que en el folio 35 correspondiente a las comprobaciones que realizaron el Inspector actuante en las Actuaciones Previas de Inspección E/03693/2015 constan los datos personales de la denunciante. MACRO SELECT PRINT S.L., es la responsable del fichero donde constaban los datos personales de la denunciante, de acuerdo con la definición del art. 3
  6. c)LOPD. En cuanto a MEYDIS, S.L., formulan alegaciones en las que afirman que (…)Ni siquiera existe un contrato de servicios entre mi representada y la entidad remitente de la publicidad que se encontrase vigente en la fecha de la campaña, ni tampoco facturas que pudieran justificar que se llevó a cabo algún servicio en ella.(…). Asimismo HOME XXI manifestó que MEYDIS no ha intervenido en la campaña publicitaria en cuestión. (Folio 157) No constan en este procedimiento elementos de juicio que lleven a considerar a que la citada mercantil participó en el tratamiento de los datos personales de la denunciante para la campaña publicitaria objeto de análisis, por lo que no puede considerarse, a los efectos de este expediente sancionador, como responsable de infracción a la LOPD, procediendo al archivo de las actuaciones. V. Sobre la conducta típica y el responsable del fichero o tratamiento. Dispone el artículo 44.3.
  7. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” La cualidad de HOMME XXI como responsable del tratamiento, se constituye por dos vías. V.I La prevista en el art. 46.2
  8. a)del RDLOPD, en la medida que determina los destinatarios de las campañas, o dicho de otro modo, comunica al responsable del fichero qué tipo de registros quiere para sus campañas. A esta conclusión se llega por varias circunstancias: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/35 -Ausencia de lo afirmado por HOME XXI. de la documentación obrante en el expediente, Factura y Contrato, no pueden determinarse las variables utilizadas para identificar el público objetivo o destinatario de una campaña ex art. 46.4 RDLOPD. Es decir, no puede determinarse que en el servicio encomendado a MSP., conste la determinación de todos los parámetros, por mucho que en dicho contrato conste la inserción de una clausula tipo estandarizada, pues es obvio que en la relación mercantil entre ambas para la citada campaña es necesario la existencia de otras instrucciones, órdenes de trabajo, etc.,. que pueda conllevar el envío de cartas nominativas que publicitan un evento comercial organizado por HOMME XXI Consta en el Acta de Inspección las manifestaciones de los representantes de HOME XXI, donde afirman lo siguiente: (…)Para que MSP pueda realizar la convocatoria, HOME XXI facilita a la misma la creatividad a utilizar, así como la dirección del local que será utilizado y las fechas y horas en que se realizarán las presentaciones comerciales. Solicitada copia de las comunicaciones realizadas a MSP respecto de la convocatoria del evento celebrado en el Hotel Barceló Nervión de Bilbao el 10 de febrero de 2015, los representantes de la entidad informan que todas las comunicaciones con MSP se realizaban por teléfono. Los inspectores solicitan la copia de la comunicación en que ser remitiere a MSP conteniendo la creatividad utilizada para la convocatoria, manifestando que la persona que llevaba los contactos con MSP ha sido despedida el día el 15/10/2015. Solicitado por los inspectores acceso a la cuenta de correo electrónico de dicha persona, los representantes de la entidad manifiestan que no es posible, no saben quién puede acceder a ella y el informático está ausente realizando un examen. Informan los representantes de la entidad que los contactos con MSP los llevaba B.B.B..(…) Preguntada a la persona que según HOME XXI llevaba los contactos con MSP ésta afirma que la mecánica general de trabajo era la siguiente: (…)Es habitual que los criterios se determinen por los clientes y no por Meydis, lo único que nos decían eran los parámetros que ellos tenían es decir , sexo, nivel de estudios, teléfono, nivel socio-económico, c.p, población, provincia, extranjeros, estado civil.... y nosotros decidíamos los parámetros ya que en este tipo de empresas se trabaja con un sector muy específico.(…) Es decir, que sobre los indicadores que tenía el responsable del fichero, sexo, nivel de estudios, teléfono, nivel socioeconómico, c.p., población, provincia, extranjeros, estado civil, era HOME XXI quien sobre dichos elementos realizaba la petición al proveedor de la base de datos. Es decir, determinaba las variables a utilizar para delimitar el público objetivo destinatario de la campaña. No obstante lo anterior, HOMME XXI no aporta otros elementos de prueba que acrediten qué parámetros se fijaron y por quién se fijaron. Así las cosas, lo establecido en el contrato es genérico siendo racionalmente necesario otra determinación u acotación más allá de la citada clausula, pues únicamente del citado contrato ayuno de otras circunstancias, no puede deducirse los aspectos relacionados con la acción publicitaria consistente de remitir la carta/invitación que aporta la denunciante al expediente y que prueba el tratamiento de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/35 En este sentido escapa a la lógica más elemental que con la documentación en que se sustenta la contratación de los servicios incorporado al expediente (únicamente el contrato y la factura) se pueda llevar a cabo una acción publicitaria que culmine con el envío del folleto donde constan los datos personales de la denunciante, y que se promociona un evento que tiene se celebra en un lugar determinado y que se publicita un determinado producto, de dicha documentación ( solamente contrato y factura) no puede deducirse el dónde?, el qué?, el cómo? y en lo que aquí interesa, el¿ a quién?, es decir, las variables utilizadas para identificar el público objetivo o destinatario de una campaña ex art. 46.4 RDLOPD. Es decir, se hace necesario la existencia de otras indicaciones que únicamente está en condición de probar HOME XXI o MSP, pues no puede obviarse que si la acción publicitaria consiste en la invitación a un evento comercial que tiene lugar en un Hotel de la localidad de Barcelona, cualquier fin buscado con dicha acción comercial, se vería frustrado si la publicidad se envía a vecinos de cualquier otro municipio del territorio español ( téngase en cuenta que hay 8.122 a 1 de enero de 2015, INE). Por tanto es necesario que conste, entre los parámetros identificativos de los destinatarios, la determinación de la localidad, y que de acuerdo con la documentación obrante en el expediente es HOME XXI a través de la reserva del hotel en cuestión, quien directa o indirectamente concreta dicha localidad. HOME XXI debería estar en condiciones de probar la existencia de los criterios de segmentación referidos en el contrato y la factura, y aun en el caso de que se hubieran fijado por MSP, es decir, si esta entidad los determinó, es HOME XXI la que tiene de algún modo que aceptarlos o validarlos, pues no puede olvidarse que la beneficiaria de la acción publicitaria, la principal interesada en que dicha acción se haga de una forma o de otra, es la propia HOME XXI, por lo que de ser todo como manifiesta, existiría un documento ( ya sea orden de trabajo, borrador, albarán o un simple correo electrónico) donde diera su visto bueno o aceptación, que probara que fue MSP, quien determinó los parámetros, cómo se realizó el diseño de la campaña y sin embargo nada de esto ha aportado. No puede argumentarse que HOME XXI no intervino en la campaña según reflejan el contrato y la factura y que todos los parámetros de la campaña los fijo MSP. De lo anterior que se deduce que tras la elección de la localidad y el local que realiza HOME XXI, comunica al proveedor de bases de datos esas circunstancias y éste extrae del fichero los destinatarios ya determinados, precisamente por dichas variables, entre otras. V.II En el folio 35 correspondiente a las comprobaciones que realizaron el Inspector actuante en las Actuaciones Previas de Inspección E/03693/2015 constan los datos personales de la denunciante. Tal circunstancia conlleva por si sola la acreditación de que HOME XXI sometió a tratamiento los datos personales de la denunciante, conviene acudir a la definición que el art. 3. C) LOPD considera tratamiento: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/35 Por lo que también respecto de esta circunstancia, HOME XXI se ha de considerar responsa del tratamiento de acuerdo con el art. 3
  9. d)LOPD, al margen de su condición de beneficiario de la publicidad y responsable del tratamiento de acuerdo con el art. 46 RDLOPD. VI. Sobre la conducta típica y el responsable del fichero o tratamiento. Dispone el artículo 44.3.
  10. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” MSP es el proveedor de la base de datos objeto de la campaña publicitaria en la que se sometió a tratamiento los datos personales de la denunciante, lo que convierte en responsable del fichero, y que tras la instrucción del presente expediente no ha acreditado el consentimiento de la denunciante. VII. Sobre la prueba practicada Acreditado el tratamiento de datos personales las entidades denunciadas no han presentado ninguna prueba que pueda evidenciar el origen licito de los datos de la denunciante ( ni si quiera ha concretado cual es el origen de los mismos) y por tanto que contaban con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. MACRO SELECT PRINT S.L., es responsable del fichero automatizado donde constan los datos de la denunciante, que tras la determinación por parte de HOME XXI de la localidad donde se realiza el evento comercial, con unos determinados tipos de registros, MACRO SELECT PRINT, S.L., genera de aquel, un fichero sobre el que realizar las acciones publicitarias y entre los que se encuentran los de la denunciante y cuyo consentimiento no ha podido acreditarse. HOME XXI, es responsable del tratamiento y del fichero donde los Inspectores actuantes hallaron los datos personales de la denunciante, sin que el consentimiento para dicho tratamiento haya podido acreditarse. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/35 VIII. Sobre el elemento subjetivo en la comisión de la infracción. A. Respecto de HOME XXI debe señalarse que el art. 46.3 del RDLOPD lo siguiente: 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento Por su parte la Sentencia de la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la diligencia prestada por el beneficiario de la publicidad, que también era en ese caso HOME XXI que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) En el expediente no consta medida alguna que permita afirmar que HOME XXI, tomo cautela alguna para que el tratamiento de datos de la denunciante se hiciera conforme a la LOPD. No puede considerarse como tal el contenido de las clausulas Segunda a, b, y c, del contrato de 16/10/2014 donde se ofrecen garantías de legalidad de la base de datos a utilizar puesto que es un elemento meramente formal sobre el que HOME XXI no ha realizado ninguna verificación previa, y cuya necesidad conoce sobradamente al ser la parte actora en el recurso contencioso-administrativo que resuelve la Sentencia citada y que determina la necesidad de esas cautelas adicionales. B. C/ Jorge Juan, 6 28001 – Madrid En cuanto a MACRO SELECT PRINT, S.L. no aporta al expediente elemento alguno que permita enervar el elemento subjetivo de la culpabilidad, todo ello sin perjuicio de que las actuaciones previas de inspección practicadas respecto de dicha entidad, han resultado caducadas por lo que procede el archivo del presente expediente sancionador. www.agpd.es sedeagpd.gob.es 32/35 C. En cuanto a MEYDIS, S.L., tal como se señala en el Fundamento de Derecho IV, al no haberse acreditado su participación en los hechos denunciados no es necesario analizar el elemento subjetivo. IX. Sobre la gravedad de la infracción, la culpabilidad y antijuridicidad de los hechos y la sanción a imponer. El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/35 clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. X. Determinación de la gravedad y la cuantía de la sanción a imponer a HOME XXI En relación con las infracciones cometidas por HOME XXI y en relación con lo establecido en el art. 45 de la LOPD no procede aplicar la degradación prevista en su apartado 5 y fijar el importe de la sanción propuesta, dentro de la escala relativa a las infracciones leves. En relación con los criterios de determinación de la cuantía a imponer y en concreto las circunstancias previstas en los apartados c),
  26. d)y
  27. f)del art. 45.4 LOPD, debe tenerse en cuenta lo siguiente: HOME XXI es conocedora de las obligaciones de la LOPD y su reglamento de desarrollo, precisamente por su actividad mercantil de la que se infiere un continuo tratamiento de datos, tanto es así, que ha sido sancionada en otras ocasiones por esta Agencia, - cuya sanción ha sido confirmada por la Audiencia Nacional- por lo que los criterios de este organismo y de los tribunales son de su conocimiento y a pesar de ello no ha tomado cautela alguna a la hora de contratar la realización de la campaña publicitaria que conlleva el tratamiento de datos de personas físicas. Por otro lado, nada manifiesta respecto de la circunstancia de por que mantiene en sus sistemas los datos personales de la denunciante, tal como consta en el folio 35. Todo ello en relación con el elemento subjetivo en la comisión de las infracciones y con la intencionalidad que recoge el precepto impide aplicar la degradación prevista y determinar el importe de la sanción en la cuantía de 40.001 euros. XI. Sobre la caducidad de las actuaciones previas respecto de MSP De conformidad con el art. 122.4 del RDLOPD, las actuaciones previas realizadas contra MSP estarían caducadas tal como se explica en el Fundamento de Derecho II, por lo que procede acudir a lo dispuesto en el art. 92.3 de la citada Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que establece que: "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. En el presente caso, estamos ante una infracción grave cuyo plazo de prescripción es de dos años de conformidad con el art. 47 de la citada norma, por lo que no existirá impedimento alguno para la apertura de un nuevo procedimiento dentro del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/35 citado plazo. Respecto de la apertura de un nuevo procedimiento sancionador en relación con una infracción no prescrita, previa tramitación de un procedimiento ya caducado, esta Agencia ya se pronunció en la Resolución nº R/00017/2011 de 24/01/2011, en la que se planteó por la representación de la entidad denunciada dudas acerca de dicha posibilidad, citando por este organismo la doctrina jurisprudencial sentada al respecto por el Tribunal Supremo, en concreto se cita en el Fundamento de Derecho II lo siguiente: “la controversia no ha sido pacifica ni por la jurisprudencia ni por la doctrina científica, sin embargo ha quedado zanjada con la Sentencia del Tribunal Supremo de 12 de junio de 2003 ( RJ 2003, 4602) dictada en un recurso de casación en interés de ley, en la que el alto tribunal enjuició la legalidad de una sentencia de una Juzgado de lo contencioso-administrativo de Málaga que anulo una sanción sobre la base de que la dualidad de expedientes sancionadores vulneraba las prescripciones del artículo 44.2 de la Ley 30/1992, habiendo por consiguiente, la administración municipal, impuesto una sanción esquivando la aplicación del régimen de caducidad-perención del procedimiento sancionador. El Tribunal Supremo, sin embargo, no comparte esa conclusión jurídica y fijo la siguiente doctrina legal:” La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en es precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito ( STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001.” A los efectos expuestos se abre el expediente de investigación E/3882/2016 respecto de los hechos imputados a la entidad MACRO SELECT PRINT. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad HOME XXI HOGAR Y DESCANSO S.L por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  28. b)de la LOPD, una multa de 40.001 euros ( cuarenta mil un euro) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: ARCHIVAR EL PROCEDIMIENTO a la entidad MEYDIS S.L., por no constar su participación en los hechos denunciados. TERCERO: ARCHIVAR EL PROCEDIMIENTO a la entidad MACRO SELECT PRINT S.L por la caducidad de las actuaciones previas de investigación de acuerdo con el art. 122.4 del RDLOPD, y Ordenar a la Subdirección de Inspección de Datos la apertura del expediente E/3882/2016. CUARTO: NOTIFICAR la presente resolución a HOME XXI HOGAR Y DESCANSO S.L., MACRO SELECT PRINT S.L., MEYDIS S.L., y a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/35 Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.