← España

PS-00128-2016

1/105 Procedimiento Nº PS/00128/2016 RESOLUCIÓN: R/02231/2016 En el procedimiento sancionador PS/00128/2016, instruido por la Agencia Española de Protección de Datos a la entidad MACRO SELECT PRINT, S.L., MEYDIS S.L., PLENISAN, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de marzo de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<He recibido carta promocional, de Sistemas Médicos Profesionales, que dicen que los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Yo no tengo constancia de haber cedido mis datos personales a ninguna de estas dos entidades. En general siempre marco la casilla de que no quiero que utilicen mis datos para otra cosa que no sea para el motivo que relleno cualquier cuestionario comercial.>> Aporta el denunciante copia del envío, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convoca a la denunciante a una demostración comercial a realizar en el HOTEL MELÍA PALAS ATENEA (en adelante el HOTEL) en Palma de Mallorca el día 4 de marzo de 2015. El documento exhibe el logotipo de SISTEMAS MEDICOS PROFESIONALES, cuya denominación actual es PLENISAN. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias a las entidades MACRO SELECT PRINT, S.L., MEYDIS S.L., PLENISAN, S.L., HOTEL MEILA PALAS teniendo conocimiento de que: Solicitada información al HOTEL en que fue convocado el acto mencionado en la carta publicitaria, de la información aportada se desprende que el primer contacto para la reserva fue iniciado por PLENISAN mediante correo electrónico del dominio sistemasmedicos.com fechado el 3 de febrero de 2015. 1. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle C/ (C/...1) 8, 8º 14 de Madrid, sede social de MACRO SELECT PRINT S.L., llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono ***TEL.1, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/105 teléfono conocido del administrador único de la entidad, que no es contestada. - A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el interior. Durante la espera se realiza una nueva llamada al número de teléfono ***TEL.1, que no es contestada. Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo D. B.B.B., administrador de MACRO SELECT PRINT S.L. Pese a ser el domicilio conocido de MACRO SELECT PRINT S.L. no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. - Se intenta acceder a la calle (C/...1) 18, pero se observa que no existe dicho número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/...1) 8 que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle (C/...2), y tras llamar a dicho domicilio, atiende una persona, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a D. B.B.B.. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee B.B.B. indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con D. B.B.B., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>> Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones profesionales, solicitan ponerse en contacto con D. B.B.B., la persona que les atiende, que se identifica como D. C.C.C., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a D. B.B.B. que se ponga en contacto con el mismo. El gerente de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/105 ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. 2. Mediante escrito con fecha 28 de octubre de 2015 el administrador de MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> 3. Se ha solicitado al administrador de MSP que informe de la dirección efectiva de administración y gestión de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos. 4. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/105 acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. c. Aportan copia del contrato y la factura de servicios profesionales prestados a PLENISAN. 5. Solicitada información al BANCO BILBAO VIZCAYA ARGENTARIA, S.A. respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, se ha podido comprobar que entre el 10/9/2015 y el 2/2/2015 se han realizado un total de 20 accesos desde la dirección IP ***IP.1, que está asignada a MEYDIS. 6. Mediante la correspondiente diligencia se ha podido comprobar que en la URL http://................. aparece una presentación publicitaria de MEYDIS en la que se anuncia que la entidad dispone de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos: - persona de contacto (titular del teléfono), - dirección postal completa, - nivel socioeconómico de la unidad familiar, - edad del titular del teléfono, - nivel cultural del titular del teléfono. 7. La Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda informa que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección IP ***IP.1. Dicha IP está asignada a MEYDIS. 8. En el marco del expediente de actuaciones previas de inspección de referencia E/00285/2015 se solicitó información a PLENISAN, quien manifestó: a. La entidad manifiesta: <<Desconocemos los parámetros marcados por la entidad emisora de la publicidad para la selección del público objetivo del envío, puesto que dichos criterios son fijados unilateralmente por la tercera empresa a la que, en este caso, encargamos que llevara a cabo las campañas publicitarias de nuestros productos, según figura en el referido contrato. Las medidas adoptadas por nosotros para asegurarnos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas IV y V del contrato que adjuntamos a este escrito, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre de 2011.>> b. Aporta copia del contrato fechado el 16/7/2014, figurando en las clausulas citadas: <<IV.- LIST BROKER se compromete al cumplimiento de la Ley Orgánica de Protección de Datos en las campañas que realice para CLIENTE y manifiesta especialmente que no se utilizarán datos de personas inscritas en las Listas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/105 Robinson de ADIGITAL y que los datos estarán convenientemente actualizados. V.- LIST BROKER ofrece absoluta garantía de que los datos que se utilizarán se han obtenido exclusivamente de fuentes accesibles al público que estaban vigentes en el momento del tratamiento de los datos, conforme a lo establecido en la Ley de Protección de Datos. En caso de que no procedan de dichas fuentes, dichos datos habrán sido obtenidos con consentimiento de los afectados para e1 envío de comunicaciones comerciales de los productos o servicios de CLIENTE. Las partes están conformes en que estas manifestaciones y garantías ofrecidas por LIST BROKER son las determinantes de que CLIENTE realice las campañas de marketing utilizando las bases de datos del LIST BROKER. En caso de que, en algún momento, esas garantías dejasen de ser ciertas, el contrato se resolverá de pleno derecho. A modo de comprobación, CLIENTE podrá exigir a LIST BROKER que, antes de determinada campaña, le facilite un muestreo aleatorio de los datos a utilizar en ella, para que CLIENTE pueda verificar que figuran en las fuentes accesibles al público vigentes.>> Donde LIST BROKER se refiere a MSP. c. Aporta igualmente la entidad copia de una factura emitida en fecha 31/10/2014 por los servicios prestados por MSP durante el mes de octubre. 9. En fecha 3 de noviembre de 2015 se realizó una visita de inspección a PLENISAN (Acta de Inspección I/0005/2015/I-01 folios 745-802). Durante la misma los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Solicitada documentación acreditativa de la oferta comercial realizada por MACRO SELECT PRINT S.L. (en adelante MSP) en base a la cual se suscribió el contrato con dicha entidad, los representantes de PLENISAN manifiestan que ese asunto lo llevó el socio de la entidad D. D.D.D.. Solicitada la presencia de dicha persona, los representantes de la entidad tras realizar una llamada a la misma, informan que no está disponible, ya que un familiar se encuentra hospitalizado, por lo que el socio no puede venir a la empresa. El conocimiento de la existencia de MSP y los servicios que presta fue a través de terceros, MEYDIS y otras empresas del sector. b. Respecto al funcionamiento de la entidad con MSP, informan que: C/ Jorge Juan, 6 28001 – Madrid - La entidad elige una localidad y contrata un hotel en la misma, donde se realizará la demostración comercial y captación de clientes. - Concertado el hotel, se comunica a MSP el lugar y fecha en que se realizará el evento, ya sea por teléfono, correo electrónico o fax. Dicha comunicación se hace por el socio de la entidad, por lo que no se puede concretar la forma precisa en que se hizo. www.agpd.es sedeagpd.gob.es 6/105 - MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS. MSP también diseña la creatividad publicitaria. - MEYDIS realiza la impresión y ensobrado de la publicidad, así como su puesta en correos. - Posteriormente, Correos pasa factura a PLENISAN del envío realizado. Los inspectores actuantes solicitan a los representantes de la entidad que informen de cómo se controla que la comunicación sea fiable y no haya confusión en las fechas localidades. Los representantes de la entidad informan que MSP envía a PLENISAN copia de la carta publicitaria, previa a su envío a impresión tras la conformidad de PLENISAN. Los correos electrónicos se borran tras el envío, por lo que no se pueden aportar. c. Solicitada información de contacto en MSP, los representantes de la entidad informan que se relacionan con la entidad a través de dos personas, ***NOMBRE.1 y ***NOMBRE.2, con los que se ponen en contacto por medio del teléfono ***TEL.2. Se realizan tres llamadas a dicho número de teléfono durante la inspección. En la tercera de ellas, una persona que no se identifica dice que ***NOMBRE.1 está reunida y que no pueden atender. Solicitada la identificación de la empresa, no es facilitada por el interlocutor. Se facilita el número de teléfono del inspector actuante para que ***NOMBRE.1 llame posteriormente. Aporta la entidad copia del contrato de servicios suscrito con MEYDIS. 10. Los inspectores de la Agencia solicitan al representante de PLENISAN que les permita el acceso a sus sistemas de información donde se realizan las siguientes comprobaciones( folio 747): a. Se realiza un acceso al correo electrónico del ordenador del director comercial, comprobándose que en las papeleras de reciclaje de las diversas cuentas se encuentran la mayor parte de los correos electrónicos, y que en la bandeja de entrada solo aparecen unos pocos mensajes. b. Se hace una búsqueda con el criterio MACRO encontrándose 12 correos electrónicos en diferentes carpetas. Se imprime correo electrónico dirigido por PLENISAN a MSP solicitando una muestra de 50 registros.(folio 788-789) Analizado dicho correo, se comprueba que fue emitido en fecha 2/11/2015 desde la cuenta .......@plenisan.com con destino a la cuenta .......@hotmail.com y en el mismo se pide: <<Como continuación a nuestra conversación telefónica necesito que me remitas a la mayor brevedad posible: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/105 - Una nuestra de 50 registros del fichero de Macro Select Print, SL que estén en los repertorios telefónicos de la ciudad de León, antes del 23-10-2014>>( folio 788) Informan los representantes de la entidad que dicha solicitud tenía como objeto la presentación de alegaciones ante la AEPD. Se imprime copia de la respuesta a la anterior solicitud, desde una cuenta .......1@meydis.com anexando el fichero solicitado. Igualmente, se incluye una impresión del fichero Excel incluido en el correo.( folio 790-792) Analizado dicho correo, se comprueba que aparece remitido fecha 2/11/2015 desde .......@plenisan.com con destino a la cuenta .......1@plenisan.com. En el mismo se redirige un correo electrónico del mismo día y remitido desde la cuenta .......1@meydis.com con destino a .......@plenisan.com con copia a otras dos cuentas del dominio meydis.com. Mediante la correspondiente diligencia se ha realizado un acceso a la web de la Comisión Nacional de los Mercados y la Competencia comprobándose que MEYDIS consta entre las entidades que tienen acceso al SGDA. Se adjunta un correo electrónico de fecha 17/9/2014 en que el emisor informa a la entidad no haber prestado nunca su consentimiento al tratamiento de sus datos por MSP ni por PLENISAN. c. Se realiza una consulta con el criterio BAJA DATOS, encontrándose 94 correos electrónicos que cumplen dicho criterio. d. Se realiza una consulta con el criterio PRINT, encontrándose numerosos correos electrónicos que cumplen dicho criterio. Se imprime uno de ellos relativo a una solicitud de baja dirigida a PRINT LASER SPAIN S.L. e. Se realiza una consulta con el criterio FALLECI, encontrándose 22 correos electrónicos que cumplen dicho criterio. Los representantes de la entidad informan que se limitan solicitar la cancelación de los datos a MSP por via telefónica, informando a los solicitantes que se ha procedido a comunicar al responsable del fichero la solicitud. f. Se imprime un correo electrónico fechado el 27/10/2015 en el que se da respuesta a una persona que ha solicitado el ejercicio del derecho de cancelación, y por el que se le informan que su petición ha sido trasladada al responsable del fichero. g. Se solicita el acceso al sistema de contabilidad donde se realiza impresión de las cuentas de MSP y MEYDIS de 2014 y 2015. h. Solicitado el acceso al sistema de planificación de los eventos, los representantes de la entidad manifiesta que la planificación la lleva D. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/105 D.D.D., que no se encuentra en la entidad. Se recaban copia de las facturas emitidas por MSP y MEYDIS correspondientes el mes de septiembre de 2014. 11. Mediante diligencia de fecha 4 de noviembre de 2015 se verifica la existencia de una llamada telefónica perdida al inspector actuante realizada desde el número de teléfono ***TEL.2 en fecha 3/11/2015 (a las 14:57 y 14:58 horas). Se devuelve la llamada a dicho número que es atendida por quien dice llamarse ***NOMBRE.1 (no da apellidos). Dicha persona informa al inspector actuante que la llamada fue motivada por la realizada el dia anterior, que fue atendida por su hija, al no estar disponible la interlocutora en ese momento. Se explica a la interlocutora que la llamada fue motivada porque PLENISAN S.L. (anteriormente SISTEMAS MEDICOS PROFESSIONALES S.L.) había informado que ella era la persona de contacto en MACRO SELECT PRINT S.L. A las preguntas del inspector actuante, la interlocutora informa: - Que no trabaja ni ha trabajado en MACRO SELECT PRINT S.L. - Que su empresa sí que trabaja para PLENISAN S.L. - Que la actividad de su empresa consiste en la impresión y ensobrado de publicidad postal. - Que su empresa es MEYDIS S.L 12. Tras la inspección a PLENISAN, en múltiples requerimientos de información posteriores, puntualiza lo manifestado durante la inspección: a. Manifiesta la entidad: <<Plenisan, S.L. no elige una localidad segmentando la geografía española, puesto que Plenisan, S.L. realiza acciones de venta en todo el territorio nacional. Cuando en el acta se dice que “la entidad elige una localidad” a lo que se refiere es a que elige una acción de ventas entre las propuestas por Macro Select Print (puesto que es esta la que prepara las acciones para Plenisan, tal y como figura en el contrato, las facturas y resto de documentos aportados ya a la AEPD) dependiendo de la lejanía, las fechas (no es lo mismo una acción la víspera de Nochebuena, cerca o lejos del domicilio del comercial, etc.), disponibilidad del hotel, disponibilidad de los comerciales, presupuesto del que se disponga (una acción en una gran ciudad requiere un presupuesto diferente de otra en una pequeña localidad), etc. Por eso, más que de elegir” una localidad, lo que hacemos es “descartar” las que no son idóneas de la propuesta de Macro Select Print, por determinadas circunstancias que hacen imposible hacer allí la acción comercial. Una vez conocida por Plenisan la localidad en la que se realizará la campaña, contrata al Hotel (entre los disponibles en esa localidad) y le confirma a Macro Select Print (habitualmente, por vía telefónica) el lugar y fecha del evento, pues podría darse el caso de no haber disponibilidad del hotel o cualquier otro inconveniente (fiestas, huelgas, coincidencia con empresas de la competencia, etc.). En cualquier caso, reiteramos, es Macro Select Print quien determina y prepara las acciones comerciales para Plenisan; como figura en el contrato y en los escritos que hemos remitido a la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/105 En este sentido y respondiendo al requerimiento que nos hace la AEPD, tenemos que decir que, cuando el Acta de la inspección dice que “MSP también diseña la creatividad publicitaria”, se refiere a la creación de la acción comercial en concreto; es decir, si es conveniente o no que la carta vaya personalizada, si es mejor imprimir por las dos caras o sólo por una, si se debe adjuntar a la carta algún regalo promocional, si es conveniente o no adjuntar a la carta una hoja de respuesta, incluir en ella un teléfono de confirmación de asistencia, etc. Pero el mecanografiado de la carta y su arte definitivo lo hace Plenisan, en base a una serie de modelos de trabajo predefinidos que se utilizan para ello y que fueron facilitados en su momento por nosotros a la empresa Meydis, S.L., encargada de la impresión y envío de las cartas. Así, en cada campaña de marketing, una vez determinada la carta modelo que se va a utilizar en ella, Plenisan lo comunica a Meydis, S.L., que es quien se encarga de su impresión y ensobrado, para enviarla a sus destinatarios.>> b. Respecto de la creatividad utilizada para las campañas publicitarias, manifiesta la entidad: <<La solicitud para que se procediese a la impresión y envío de las cartas de esta campaña se la enviamos a la empresa Meydis, S.L. mediante correo electrónico de 5 de febrero de 2015. Dicho correo incluía un archivo adjunto con la orden de impresión de las cartas. Se acompaña a este escrito.>> Aporta en cada caso correos electrónicos la remitido a la entidad hostelera en que se realiza el evento, que contienen un fichero anexo en formato Excel así como la impresión del formulario de petición en el que aparece: ENVIAR DATOS CARTA: <entidad hostelera> <dirección> <población> El formato de dicho formulario contrasta con el encontrado durante la inspección realizada en MEYDIS en fecha 11/1/2016, en donde, para un caso similar se encontró que el formulario remitido por PLENISAN a MEYDIS tenía el formato: ENVIAR DATOS CARTA: - Una x domicilio <entidad hostelera> -Hombres y Mujeres - Preferente Mujeres <dirección> <población> - Eliminar: Analfabetos SocioEconómico: Bajo Aunque no se refiere al mismo envío origen de la presente denuncia, este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/105 formato contrasta con el aportado por PLENISAN en solicitudes por correo, en donde la columna de criterios de selección ha desaparecido. Además, los criterios de selección fijados están entre los que aparecen en la presentación publicitaria de MEYDIS encontrada en Internet. 13. En fecha 11/1/2016 fue realizada una visita de inspección a MEYDIS, en relación con las actuaciones de referencia E/2253/2015 (Acta de Inspección E/002253/2015/I-01 (Folios 61 y siguientes)). Los representantes de la entidad aportaron la siguiente documentación a petición de los inspectores: a. La entidad tiene suscritos contratos tanto con MSP como con PLENISAN. Examinado el contrato suscrito con MSP se aprecia que aparece fechado el 12/6/2014 y en el mismo constan contratados los siguientes servicios: <<1. Impresión y envío de las cartas que incluyan las comunicaciones descritas en el expositivo primero de este contrato. Dichos servicios consistirán en cada campana que se lleve a cabo en lo siguiente: a. Recepción del modelo de carta publicitaria que se deba utilizar en la campaña. b. Recepción de un fichero generado por EL CLIENTE con los datos de nombre, apellidos y domicilio postal completo de las personas a las que deba hacerse el envío de la comunicación. Para la transmisión a MEYDIS del modelo y los ficheros mencionados en las dos letras anteriores, podrán utilizarse los siguientes sistemas, a elección del CLIENTE: entrega a través de un ftp, entrega a través de servicios de alojamiento cloud, servicios de mensajería, etc.). c. Impresión de dichos datos en las cartas a enviar. d. Doblado, ensobrado y franqueo de las cartas. e. Depósito de las cartas en el correspondiente operador postal para su envío. II. Adicionalmente, puesto que el CLIENTE carece de infraestructura suficiente para ello, podrá solicitar a MEYDIS que desempeñe funciones de intermediación en la gestión de las relaciones entre EL CLIENTE y los Clientes Finales, de modo que las peticiones de servicio u otras comunicaciones dirigidas desde estos al CLIENTE se hagan utilizando a MEYDIS como canal. En estos casos, MEYDIS se limitará a trasladar al CLIENTE la comunicación que reciba del Cliente Final.>> Examinado el contrato suscrito con PLENISAN se aprecia que aparece fechado el 6/5/2013 y en el mismo constan contratados los siguientes servicios: <<a. Recepción de las piezas publicitarias, en las que ya se encontrarán impresos los datos de nombre, apellidos y dirección postal de las personas a las que deban ser enviadas. Las piezas publicitarias se entregarán a MEYDIS en soporte papel y apiladas en cajas, sin orden o indexación alguna. Dichas cajas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/105 serán enviadas a MEYDIS directamente por la tercera empresa que haya sido contratada por el CLIENTE para los servicios de selección e impresión de los datos personales en la publicidad. b. Doblado, ensobrado y franqueo de las piezas publicitarias. c. Depósito de la publicidad en el correspondiente operador postal para su envío.>> b. Correo electrónico de fecha 19/12/2014 remitido desde la cuenta .......1@sistemas-medicos.com con destino a tres empleadas de MEYDIS mediante el cual se remitía seis órdenes de servicio, una de las cuales es la convocatoria de una demostración comercial. Examinado dicho correo, se encuentra que en la página en la que se refiere a la orden de servicio SMP-***** relativa a la convocatoria a una demostración comercial en un hotel, aparece: ENVIAR DATOS CARTA: - Una x domicilio <entidad hostelera> -Hombres y Mujeres <dirección> <población> - Preferente Mujeres - Eliminar: Analfabetos SocioEconómico: Bajo Aunque no se refiere al mismo envío origen de la presente denuncia, este formato contrasta con el aportado por PLENISAN, en donde la columna de criterios ha desaparecido. Correo electrónico de fecha 22/12/2014 remitido desde la cuenta de una administrativa de cuentas de MEYDIS con destino a la cuenta .......1@sistemasmedicos.com mediante el cual se le envía una muestra de la creatividad que se utilizará para la convocatoria antes mencionada. Examinada la muestra, se aprecia que en el lugar en que posteriormente aparecerá el destinatario del envío consta la orden de servicio SMP-*****. Correo electrónico de fecha 26/12/2014 desde la cuenta de una de las empleadas de MEYDIS se remite un muestra de ejemplo de la creatividad a enviar para la convocatoria mencionada, conteniendo datos de los destinatarios. Examinada la muestra, se aprecia que ya consta en ella datos de un destinatario real. El envío se acompaña de un código que comienza con el literal SM*****. El mismo día PLENISAN remite correo electrónico confirmando la validez de la campaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/105 14. Manifiestan los representantes de la entidad que el servicio de informática accede a un servicio FTP en el que MSP deposita los ficheros que contienen los datos personales para cada campaña publicitaria. Tras realizar la impresión, los ficheros ubicados en dicho FTP son borrados, en cumplimiento de las condiciones contractuales. 15. Los inspectores de la Agencia solicitan al representante de MEYDIS S.L. que les permita el acceso los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Solicitado un acceso al servicio FTP del cual obtienen los ficheros proporcionados por MSP para la elaboración de las campañas y tras realizar un intento de acceso al servicio, se comprueba que no existen ficheros alojados en el mismo. Se comprueba que la dirección del servidor es ***IP.2. Realizada la búsqueda de dicha IP en el servicio WHOIS se comprueba que está asignada a un prestador de servicio ubicado en EEUU. Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es menor de 1 milisegundo. Los representantes de la entidad manifiestan que dicho servidor pertenece a MEYDIS, que proporciona un FTP a algunos clientes para que puedan enviar los ficheros de ejecución de las campañas. Solicitado el acceso al directorio real al que se asocia el servicio FTP del usuario MACRO, se comprueba que dicho directorio está vacío. Solicitado el acceso al registro de actividad del servicio FTP se comprueba que únicamente se guarda registro de los accesos de mismo día de la inspección. Informa un miembro de sistemas que esto es debido a que acaban de instalar un antivirus y que se ha estropeado la configuración del sistema perdiéndose los datos de los registros de acceso. Aclaración respecto de los tipos direcciones IP’s y sus usos: Las direcciones IP pueden clasificarse según su accesibilidad en públicas o privadas. Las direcciones IP públicas son gestionadas por organizaciones internacionales que, a través de agentes, las asignan a distintos operadores, prestadores de servicios de acceso a Internet y organizaciones. Estas direcciones sirven para identificar unívocamente un dispositivo en Internet y su asignación, estática o dinámica, la decide el operador, prestador de acceso u organización que la tiene asignada. Las direcciones IP privadas son un subconjunto del rango total de direcciones IP que pueden ser utilizadas dentro de las redes internas (Intranet) de cualquier hogar, empresa u organización. Dichas direcciones son únicas dentro de la red interna, y así identifican a un dispositivo dentro de la red, pero pueden repetirse a través de distintas organizaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/105 La utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna. En el caso de las presentes actuaciones, la dirección IP ***IP.2 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica, pero a través de la dirección ***IP.2, el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde Internet. Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.2, no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada. Por tanto, a través de la dirección IP ***IP.2 únicamente se puede tener acceso desde la red interna de MEYDIS sin que hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP sería únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS. 16. Mediante escrito de fecha 23/2/2015 se solicitó información a MEYDIS. A fecha del correspondiente informe de inspección, no consta que haya sido respondida dicha solicitud. 17. Mediante correo electrónico de fecha 23/2/2015 se solicitó información a PLENISAN. A fecha del correspondiente informe de inspección, no consta que haya sido respondida dicha solicitud. TERCERO: Con fecha 09/03/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MACRO SELECT PRINT, S.L con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante) RDLOPD en por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica y a MEYDIS, S.L., con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  2. b)de la citada Ley Orgánica y a PLENISAN, S.L. con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  3. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MEYDIS S.L., mediante escrito de fecha 07/04/2016 formuló alegaciones, significando, en síntesis lo siguiente: - Sobre la consideración de MEYDIS como responsable del tratamiento de los datos de la denunciante. De acuerdo con los arts. 6, 44.3
  4. b)y 3
  5. c)y
  6. d)todos ellos de la LOPD, ha de distinguirse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/105 la posición de quien adopta decisiones ("decide'') en relación con la finalidad, contenido y uso del tratamiento de los datos, de la de quien simplemente "trate datos personales por cuenta del responsable del tratamiento", que se configura legalmente como un mero encargado del mismo. En aquellas operaciones de tratamiento de datos en las que intervengan varías entidades, es necesario precisar en qué condición interviene cada una de ellas, puesto que esto es lo relevante en la determinación de las eventuales responsabilidades. Sólo al responsable tratamiento puede imputársele legalmente un tratamiento inconsentido de los datos. Para que MEYDIS hubiera sido responsable de la infracción imputada, debería haber adoptado alguna decisión sobre la finalidad, contenido y uso del tratamiento de los datos de la denunciante. Sin embargo, esto no consta. Al contrario, MEYDIS se limitó a ejecutar las instrucciones que recibió de sus clientes, por lo que intervino, tanto en su relación con PLENISAN como en su relación con MSP, como encargada del tratamiento de los datos. Así se refleja, con respecto a Plenisan, en el clausulado del contrato de servicios suscrito entre las partes con fecha de 6 de mayo de 2013, en cuyas cláusulas II, III, IV y V se contienen específicamente las previsiones que anuda a este tipo de contratos el mentado artículo 12 LOPD. Y así se establece también en la relación de prestación de servicios de MEYDIS a MSP, ya sea en la prestación directa de los servicios contratados con ella, ya en su calidad de subcontratista de algunos de los servicios que a MSP encargaban sus clientes. Así se determina en la cláusula Sexta del citado contrato incorporado al expediente. De conformidad con esas previsiones, en la medida en que MEYDIS destine los datos a la finalidad establecida en dichos contratos, no los comunique a terceros y los trate conforme a las instrucciones recibidas en cada caso, deberá ser considerada encargada del tratamiento, por lo que, por aplicación sensu contrario del articulo 12.4 LOPD, no es responsable de las infracciones que el responsable del tratamiento hubiese cometido. A mayor abundamiento, no existe en el expediente ningún elemento que permita concluir que MEYDIS adoptó decisiones por cuenta propia en relación con los datos de la denunciante. Y tampoco consta ningún dato que revele que MEYDIS pudo incumplir en la campaña objeto de la denuncia sus obligaciones como encargada del tratamiento y las instrucciones de sus clientes. Así: A mayor abundamiento, no existe en el expediente ningún elemento que permita concluir que MEYDIS adoptó decisiones por cuenta propia en relación con los datos de la denunciante. Y tampoco consta ningún dato que revele que MEYDIS pudo incumplir en la campaña objeto de la denuncia sus obligaciones como encargada del tratamiento y las instrucciones de sus clientes. Asi, de la documentación incorporada al procedimiento se deduce que:
  7. a)PLENISAN reservó, el 4 de febrero de 2015, un salón en el Hotel Melia Palas Atenea, de Palma de Mallorca. Dicha reserva aparece facturada por el Hotel a PLENISAN y pagada por esta .
  8. b)En el marco del contrato suscrito entre PLENISAN y MEYDIS, aquella envío a esta un e-mail, con fecha de 5 de febrero de 2015, con un pedido para la impresión de determinadas cartas publicitarias para una convocatoria de venta de los productos de PLENISAN en el Hotel (documento 5.1 de los anexos al escrito de 4 de marzo de 2016 remitido por PLENISAN en respuesta al requerimiento de la AEPD E/004041/2015). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/105 En el Acuerdo de Inicio dice que los requerimientos no fueron respondidos por las empresas denunciadas lo cual no es cierto.
  9. c)En fecha de 10 de febrero de 2015, una empleada de MEYDIS remite a PLENISAN el modelo de la carta publicitaria impresa para la conformidad del cliente (documentos 6.1 y 6.2 de los anexos al referido escrito). Estos mismos documentos constan en la respuesta dada por MEYDIS al requerimiento E/04041/2015 de la AEPD mediante escrito de 7 de marzo de 2016.
  10. d)En fecha de 18 de febrero de 2015, una empleada de MEYDIS remite a PLENISAN las cartas personalizadas para la conformidad del cliente (documentos 7.1 y 7.2 de los anexos al referido escrito).
  11. e)En fecha de 18 de febrero de 2015, PLENISAN da por e-mail su conformidad para la impresión y envío (documento 8.1 de los anexos al escrito). Este mismo documento constan en la respuesta dada por MEYDIS al requerimiento E/04041/2015 de la AEPD .
  12. f)Posteriormente, en cumplimiento del contrato, MEYDIS lleva a cabo la impresión de las cartas con los datos del fichero que ha suministrado MSP a tal fin. En este fichero, como se ha sabido después, se incluían los datos de la denunciante.
  13. g)Una vez impresas las cartas, se lleva a cabo por MEYDIS el manipulado material y puesta en correos, en cumplimiento del contrato con PLENISAN.
  14. h)Los servicios prestados por MEYDIS a PLENISAN en la campaña aparecen correctamente facturados, como figura en los documentos 9.1 y 9.2 de los anexos al escrito de PLENISAN de 4 de marso de 2016.
  15. i)Posteriormente, esa factura es abonada por PLENISAN a través del correspondiente contrato de factoring, como se acredita con los documentos justificativos del pago que se acompañan .
  16. j)Los servicios prestados a MSP por MEYDIS también son oportunamente facturados y pagados. Se incluye la documentación acreditativa de ello en los documentos que se acompañan a la respuesta dada por MEYDIS, mediante escrito de 7 de fmarzo de 2016, al requerimiento de la AEPD. El esquema de trabajo descrito ha sido confirmado por la información y documentación obtenidas en las inspecciones realizadas por la AEPD a PLENISAN y MEYDIS, habiendo sido, además, ratificado por aquella entidad y por MSP en los escritos que han remitido a esa Agencia en relación con otros procedimientos sancionadores, algunos de los cuales han sido incorporados a este expediente por la inspección de la AEPD. Asi, PLENISAN, en su escrito de 13 de febrero de 2015, en relación con el requerimiento de información de la AEPD E/00285/2015, manifiesta que MSP es la entidad responsable de los datos de los destinatarios del envío publicitario, acompañando el contrato de servicios y la factura emitida. Señala, asimismo, PLENISAN que es MSP la que fija unilateralmente los parámetros para la selección del público objetivo del envío. Asimismo, por ejemplo, en su escrito de 7 de enero de 2016, respondiendo a un requerimiento de información remitido en el marco del E/3229/2015, dice PLENISAN que: "Una vez conocida por PLENISAN la localidad en la que se realizaré la campaña, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/105 contrata al Hotel (entre los disponibles en esa localidad) y le confirma a Macro Select Print (habitualmente, por vía telefónica) el lugar y fecha del evento, pues podría darse el caso de no haber disponibilidad del hotel o cualquier otro inconveniente (fiestas locales, huelgas, coincidencia en fechas con otras empresas e la competencia, etc.). En cualquier caso, reiteramos, es MSP quíen determina v preñara las acciones comerciales para PLENISAN: como figura en el contrato y en los escritos que hemos remitido a la AEPD. En este sentido y respondiendo al requerimiento que nos hace la AEPD, tenemos que decir que, cuando el Acta de la inspección dice que MSP también diseña la creatividad publicitaria", se refiere a la creación de la acción comercial en concreto; es decir, si es conveniente o no que la carta vaya personalizada, si es mejor imprimir por las dos caras o sólo por una, sí se debe adjuntar a la carta algún regalo promocional, si es conveniente o no adjuntar a la carta una hoja de respuesta, incluir en ella un teléfono de confirmación de asistencia, etc. Pero el mecanografiado de la carta v su arte definitivo lo hace PLENISAN en base a una serie de modelos de trabajo predefinidos que se utilizan para ello v que fueron facilitados en su momento por nosotros a la empresa Meydis. S.L. encargada de la impresión v envío de las cartas. Asi, en cada campaña de marketing una vez determinada la carta modelo que se va a utilizar en ella. PLENISAN lo comunica a Meydis. S.L. que es quien se encama de su impresión v ensobrado, para enviarla a sus destinatarios." Y continúa manifestando PLENISAN en dicho documento que: 'La solicitud Para que se procediese a la impresión v envío de las cartas de esta campaña se la enviamos a la empresa Meydis. S.L mediante correo electrónico de 5 de febrero de 2015. Dicho correo incluía un archivo adjunto con la orden de impresión de las cartas. Se acompaña a este escrito. El fichero con los datos de los destinatarios de la publicidad no se envió por nosotros a MEYDIS, S.L, porque este fichero lo suministra directamente la empresa Macro Select Print, tras hacer conforme a sus propios criterios la selección de direcciones." Ha decidió la AEPD no incorporar a este expediente las respuestas dadas por MSP a los requerimientos de información que le han sido remitidos en otras campañas (a diferencia de lo que ha hecho con las respuestas de PLENISAN). Sin embargo, merece la pena destacar que, por ejemplo, MSP, en su escrito de 5 de octubre de 2015 por el que da respuesta al requerimiento de la AEPD E/3229/2015 y que se halla incorporado al PS 107/2016, reconoce que ha suministrado los datos de las campañas de PLENISAN, habiéndolos obtenido de sus ficheros y manifestando que fue exclusivamente MSP la que fijó "los parámetros que sirvieron para identificar los destinatarios de la campaña", consistiendo en una segmentación por zona de residencia. Se solicitará que se incorpore dicha respuesta a este expediente. No puede obviarse que, a la hora de determinar qué entidad ha de ser considerada responsable del tratamiento en la realización de campañas de marketing, lo que dispone el art. 46 RDLOPD. Por tanto, en la realización de campañas de marketing con ficheros de terceros, este precepto legal hace responsable sólo a la empresa o empresas que determinen los parámetros identificativos de los destinatarios. Y ya hemos visto que en la campaña denunciada (como en el resto) MEYDIS no fijó parámetro alguno en tal sentido, limitándose a cumplir las instrucciones recibidas de cada cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/105 En este sentido y para reforzar lo anterior, interesa mencionar el Dictamen 1/2010 del Grupo de Trabajo del articulo 29 de la Directiva 95/46/CE (GT 29), sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento», que es esclarecedor a la hora de delimitar ambas figuras y que establece criterios interpretativos vinculantes para las autoridades de control nacionales de la UE. Dicho Dictamen dice que la delimitación de concepto de responsable del tratamiento y encargado del tratamiento es determinante a la hora de fijar la responsabilidad por la realización de tratamientos ilícitos de datos personales, reconociendo que "de hecho, todas las disposiciones que establecen condiciones para el tratamiento lícito se dirigen esencialmente al responsable del tratamiento". Y afirma que "La distinción entre «¡responsable del tratamiento» y «encargado del tratamiento» sirve primordialmente para diferenciar entre quienes asumen la responsabilidad en tanto que responsables y quienes sólo actúan por cuenta de éstos. De nuevo, se trata básicamente de cómo asignarla responsabilidad.' Según el GT 29, para tener la consideración de responsable del tratamiento ha de concurrir el elemento de que la entidad en cuestión determine los fines v los medios del tratamiento de los datos. Para concluir quién ha determinado esos elementos, dice el GT 29 que 'se debe atender a las operaciones concretas del tratamiento en cuestión y ha de comprenderse quién las determina, respondiendo en un primer momento a las preguntas «¿por qué se produce este tratamiento?, ¿quién lo ha iniciado? Ser responsable del tratamiento es consecuencia, en primer lugar, de la circunstancia de hecho de que un ente ha decidido tratar datos personales para sus propios fines." Entiende el GT 29 que la principal característica del concepto del responsable del tratamiento es su autonomía. En definitiva, lo determinante es la capacidad de influencia de hecho que tenga el sujeto al determinar el tratamiento. Y añade que "En caso de duda pueden ser de utilidad otros elementos que no sean las condiciones de un contrato para determinar quién es el responsable del tratamiento, como el grado de control real ejercido por una parte, la imagen dada a los interesados o las expectativas razonables de los interesados sobre la base de esta visibilidad (véase a continuación el tercer elemento de la letra b). Esta categoría es particularmente importante puesto que permite examinar las responsabilidades y asignarlas también en aquellos casos de conducta ilegítima en que las actividades efectivas de tratamiento puedan realizarse en contra de los intereses y la voluntad de algunas de las partes. ° En conclusión, dice el GT 29 que "un organismo que no tenga capacidad de influencia de hecho ni de derecho para determinar cómo se tratan los datos personales no puede considerarse responsable del tratamiento". En la campaña de marketing en la que se trataron los datos de la denunciante, MEYDIS no adoptó ninguna decisión, no tuvo capacidad de influencia sobre el tratamiento de dichos datos y no actuó autónomamente, limitándose a atender las peticiones de servicios recibidas, como se refleja en el Expediente. Además, MEYDIS aparece contractualmente configurada como encargada del tratamiento, asume las obligaciones propias de esta figura, no ejerce ningún control real sobre los datos de la denunciante y no se presenta en modo alguno ante esta como responsable de dicho tratamiento, puesto que en la carta publicitaria sólo figuran, como no podía ser de otro modo, los datos del anunciante (Plenisan) y los del responsable del fichero origen de los datos (MSP). De lo expuesto se deduce que MEYDIS no ha adoptado ninguna decisión sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/105 finalidad, contenido o uso del tratamiento de los datos de la denunciante, por lo que, actuando sólo en calidad de encargada del tratamiento y habiéndose ajustado a las instrucciones contractuales recibidas, no puede ser considerada responsable de una infracción del articulo 44.3
  17. b)LOPD en relación con el artículo 6. - De la interpretación que hace la AEPD de las información obtenidas por la Inspección durante las actuaciones previas. El presente procedimiento es el septimo de los procedimientos actualmente abiertos contra MEYDIS por esa Agencia, por hechos idénticos, tras los iniciados con los ordinales de referencia 47, 53,107,121, 124, y 127 de 2016. La imputación de MEYDIS, parece deducirse que MEYDIS solo de ciertas informaciones obtenidas durante las respectivas actuaciones de inspección interpretadas de modo que MEYDIS podría tener capacidad de disposición sobre los datos del fichero de la empresa MSP. En demasiadas ocasiones parece que la interpretación de los hechos es torcida de modo intencionado por los inspectores de la AEPD, para intentar convencer de lo anterior. Para lo que se estima necesario describir, en primer lugar, los servicios que MEYDIS prestaba a PLENISAN y a MSP, así como el modo en que se desarrollaban las campañas.
  18. a)Descripción de los servicios prestados por MEYDIS a PLENISAN y a MACRO SELECT PRINT. MEYDIS es una empresa con experiencia en el sector que ha trabajado para multitud de clientes, y cuyos servicios se circunscriben a: I.La gestión de las bases de datos del cliente, conforme a las instrucciones recibidas de él. En este ámbito, MEYDIS realiza para el cliente, por ejemplo, tareas de normalización de las bases de datos, exclusión de Robinson en campañas comerciales, etc. II.La impresión, personalización, manipulado y envió de comunicaciones de diversa naturaleza por correo postal, en nombre y por cuenta del cliente. En dichas tareas, MEYDIS utiliza las bases de datos que los propios clientes facilitan en el marco de los servicios contratados, lo cual implica que MEYDIS trata dichos datos en condición de encargada del tratamiento, conforme a lo previsto en el artículo 12 de la LOPD. Así se recoge expresamente en los contratos suscritos. Con fecha 06/05/2013, se firmó un contrato entre MEYDIS y PLENISAN por virtud del cual, teniendo esta última la necesidad de que se realizasen trabajos materiales de impresión, manipulado y puesta en correos de las cartas publicitarias utilizadas en sus campañas comerciales, contrató dichos servicios con MEYDIS, con la finalidad de que ésta los llevase a cabo en nombre y por cuenta de aquella. Constituyéndose así MEYDIS como encargada del tratamiento de los datos a los que pudiera acceder como consecuencia de la ejecución de dicho encargo, tratando los datos únicamente conforme a las instrucciones de PLENISAN ( Clausulas II, II y IV) asimismo PLENISAN garantizaba la legalidad del fichero. El 16/07/2014 (como figura en el Expediente), PLENISAN contrató a la empresa Macro Select Print, S.L (en lo sucesivo, MSP) los servicios de selección de direcciones postales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/105 e impresión de datos en sus cartas publicitarias. Según aparece en dicho contrato (Cláusula II), el proveedor de manipulado de PLENISAN (que, desde un año antes, era MEYDIS), recibiría directamente del proveedor de datos las cartas ya impresas. El Presidente de MEYDIS, conocía por motivos personales a B.B.B.. Este último le había manifestado su intención de constituir una sociedad (MSP) que se iba a dedicar a la explotación de bases de datos con fines comerciales, pero que carecía de los medios materiales necesarios para llevar a cabo las tareas de impresión y personalización de las cartas publicitarias de sus clientes. Por ello, solicitó a MEYDIS que le prestase dichos servicios. En fecha de 12 de junio de 2014, se firmó un contrato entre MSP y MEYDIS, que servirla como acuerdo marco para regular los servicios de impresión y manipulado de MEYDIS para aquella. Adicionalmente, MSP solicitó incluir en el contrato la posibilidad de que MEYDIS pudiera realizar tareas de intermediación en las relaciones entre MSP y sus clientes, aprovechando la infraestructura y medios con los que MEYDIS contaba y de los que MSP carecía. Todo ello consta en las cláusulas Primera I y II. del contrato. En las campañas de marketing de PLENISAN, los servicios llevados a cabo por cada empresa eran los siguientes: - Servicios prestados por MSP a PLENISAN: Del contrato firmado y del concepto de las facturas emitidas, se deducen los siguientes servicios: I.Diseño de campañas. II.Fijación de criterios de segmentación de destinatarios. III.Selección de direcciones, tratamiento, spool de impresión y personalización. -Servicios prestados por MEYDIS a PLENISAN: Del contrato y del concepto por las facturas emitidas, se deducen los siguientes servicios: I.Plegado de carta, ensobrado, cierre de sobre, clasificación y preparación para su distribución (incluye materiales). II.Puesta en correos de las piezas publicitarias. - Servicios prestados por MEYDIS a MSP en las campañas realizadas por ésta última para PLENISAN: Del contrato firmado entre MEYDIS y MSP y del concepto por las facturas emitidas, se deduce que MEYDIS prestaba los siguientes servicios: I.Recepción de carta publicitaria a utilizar en cada campaña. II.Maquetación de cartas. III.Recepción de fichero elaborado por MSP con datos personales de los destinatarios de la campaña. IV.Impresión de los datos en las piezas publicitarias. V.Servicios de intermediación las relaciones entre MSP y sus clientes. Los servicios de doblado, ensobrado, franqueo y envío de las cartas, que también se incluyen en el contrato marco suscrito entre MSP y MEYDIS, no se prestaban por MEYDIS a MSP en las campañas de PLENISAN. Dado que PLENISAN ya los tenía contratados con MEYDIS desde un año antes (6 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/105 mayo de 2013). El hecho de que esos servicios figurasen también en el contrato de MEYDIS con MSP se debe a que éste era un contrato marco, que pretendía regular no sólo las campañas realizadas para PLENISAN, sino también las de otros clientes de MSP, con respecto a los cuales ésta sí podría haber necesitado subcontratar con MEYDIS los servicios de manipulado. En definitiva, parte de los servicios que MSP facturaba a PLENISAN, después, los subcontrataba con MEYDIS (recepción del modelo de publicidad, maquetación e impresión y personalización de las cartas publicitarias), mientras que otros servicios que MSP facturaba a PLENISAN (como la selección de los destinatarios de la campaña) eran prestados directamente por MSP. En todo caso, tanto en la relación comercial entre MEYDIS y PLENISAN, como en la que existía entre MEYDIS y MSP, MEYDIS actuaba siempre en calidad de encargada del tratamiento de los datos, limitándose a cumplir las instrucciones que cada uno de sus clientes le daba, según consta en los respectivos contratos. El esquema de relaciones mercantiles y servicios que ha sido descrito no sólo se desprende de la documentación obrante en el procedimiento, sino que ha sido ratificado por PLENISAN y MSP en las respuestas que estas empresas han dado a los requerimientos de información de la AEPD y que figuran en el Expediente.
  19. b)modo de ejecución de las campañas de Plenisan.  Plenisan remitía un correo a MEYDIS con una comunicación a la que adjunto un archivo Excel incluía la información que MEYDIS necesita para imprimir. En concreto: -El lugar de la convocatoria; -el modelo de carta a utilizar; -las fechas y horas que deben figurar en la convocatoria y la fecha del deposito de las cartas; ós datos del hotel; la referencia del pedido,-el nombre del cliente y en algunos casos, de su proveedor de bbdd.  Recibida la petición de Plenisan, MEYDIS accedía a un servidor FTP de su propiedad, en el que MSP había depositado el previamente el fichero segmentado para esa campaña concreta  Se excluían los datos Robinson que asi constaban en el fichero de MSP.  Se remitía a Plenisan una muestra para el visto bueno.  Una vez recibida la conformidad, se remitía desde MEYDIS a PLENISAN una versión final de la carta para el visto bueno definitivo.  Tras la aprobación, MEYDIS imprimía todas las cartas y las ponía en correos.  Como regla general los ficheros colocados por MSP en el FTP eran cancelados tras cada campaña, si bien se mantenían bloqueados ex art. 22.2 RDLOPD.
  20. c)Sobre las tareas de intermediación y otras actuaciones auxiliares realizadas por MEYDIS para MSP. Como se ha indicado, la relación entre el Presidente de MEYDIS y el administrador de MSP devenía de los contactos institucionales y comerciales que, tras muchos años de desempeño profesional, mantenía aquel. Esa relación, añadida a la falta de medios de MSP (por su reciente constitución y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/105 pequeño tamaño), determinó que MEYDIS llevase a cabo habitualmente ciertas tareas de gestión de las relaciones entre MSP y sus clientes (en cumplimiento de la cláusula Primera II del contrato), asi como otras actividades auxiliares que, sin venir expresamente reguladas en aquel, eran realizadas, por indicación del Presidente de MEYDIS, como deferencia hacia MSP, en aras al mantenimiento de la buena relación con este cliente. Del Informe E/04041/2015 parece que se interpreta que dichas tareas auxiliares son indicios de un poder de disposición de MEYDIS sobre los ficheros de MSP. Tales interpretaciones deben ser desvirtuadas, por erróneas, torcidas o carentes de objetividad. Procede explicar el significado real de cada uno de los hechos:
  21. a)Relación de PLENISAN con MSP a través de MEYDIS. El modo de trabajo es lógico teniendo en cuenta que PLENISAN ya trabaja con MEYDIS desde tiempo atrás. Fue el presidente de MEYDIS el que presentó a PLENISAN a la empresa MSP para que pudieran trabajar juntos.
  22. b)También se interpreta en contra de MEYDIS los documentos 7 y 8 de las actuaciones de inspección 1/00005/2015/1-01, en los que, mediante un correo electrónico dirigido a MSP, PLENISAN solicita a esta "Una muestra de 50 registros del fichero de Macro Select Print que estén en los repertorios telefónicos de la ciudad de León, antes del 23 del 10 de 2014.” Posteriormente, por orden de MSP, MEYDIS devuelve esta petición a PLENISAN, enviándole un fichero que cumplía los requerimientos del cliente, extraído de los ficheros de MSP, que, tras cada campaña y ser convenientemente cancelados, se mantenían bloqueados en cumplimiento del artículo 22.2 del RD1720/2007.existe una diligencia de 27 de enero de 2016, realizada por la AEPO, en la que se constata que MEYDIS figura entre las entidades que tienen acceso al SGDA, y ante la convicción de que se interpretará este hecho como indicio en nuestra contra también en este procedimiento, queremos destacar que PLENISAN, en la referida solicitud, no pide registros extraídos de repertorios telefónicos, sino "registros del fichero de Macro Select Print" que estén en dichos repertorios, lo cual evidencia que los datos se debían extraer, exclusivamente, del fichero de MSP, no de los listados públicos de teléfonos.
  23. c)La AEPD parece considerar indiciario en el mismo sentido, el contenido del documento 6 de los anexos al Acta de Inspección E/2253/2015/1-01. En él figura el correo electrónico de 30 de julio de 2014, en el que la asesoría jurídica de Multigestión remitió a un abogado externo de MEYDIS (con copia a una empleada de esta entidad) un contrato a firmar entre Multigestión y MSP. Consta la revisión de dicho contrato y la respuesta con la conformidad de ambas partes. Asimismo, consta un e-mail de la asesoría jurídica de Multigestión, dirigido a una empleada de MEYDIS, En dichos e-mails, Multigestión (que es también cliente de MEYDIS) remite a MSP (a través de MEYDIS) un contrato para su revisión y firma. Ante la inexistencia de una asesoría jurídica propia en MSP y en el marco a la buena relación comercial existente, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/105 Presidente de MEYDIS pidió a su abogado externo que revisase el contrato de MSP y, una vez definido el texto, Multigestión solicitó a MEYDIS que lo trasladase a MSP para su firma por esta y posterior devolución por el mismo canal. Existe un importante error en el Acuerdo de Inicio del Procedimiento en relación con los remitentes y destinatarios de estos e-mails. Dice literalmente la AEPD ( subrayado de MEYDIS): Examinado dicho correo, se observa que contiene múltiples reenvíos: • El 30/7/2014 una persona de Multigestión Iberia, S.L comunica al abogado de Meydls "..."aquí tienes una versión del contrato más simplificada". • El mismo día el abogado de MEYDIS reenvía a una persona de la entidad dicho contrato Te adjunto el contrato conforme a lo hablado". • Seguidamente una persona de MEYDIS responde: "Conforme a los cambios. Procedo a imprimir y pasar a firma aquí. Te enviaré el pdf y luego circulamos dos ejemplares a través de ***NOMBRE.1 y ***NOMBRE.3 y doy la orden de pago de las facturas". Lo anterior es incorrecto. Del examen del e-mail se deduce que la comunicación del abogado de MEYDIS en la que dice Te adjunto el contrato conforme a lo hablado", no se reenvía por él a una persona de MEYDIS, sino que se redacta en respuesta al anterior e-mail recibido de E.E.E. (abogada de Multigestión) y se dirige a esta. Igualmente es erróneo decir que el e-mail "Conforme a tos cambios. Procedo a imprimir y pasar a firma aquí. Te enviaré el pdf y luego circulamos dos ejemplares a través de ***NOMBRE.1 y ***NOMBRE.3 y doy la orden de pago de las facturas" fue enviado por una persona de MEYDIS en respuesta a los anteriores. Puede comprobarse viendo los datos del remitente que este correo fue enviado por la abogada de Multigestión y va dirigido al abogado de MEYDIS. Es cierto que en copia de todos esos correos va el email de una empleada de MEYDIS, pero todos ellos son intercambiados entre el abogado de MEYDIS y la abogada de Multigestión. Posiblemente el error de la AEPD sea consecuencia de que, después, consta un e-mail enviado por la abogada de Multigestión a las 11:53 que sÍ se dirige a una empleada de MEYDIS en relación al modo en que esta debía dar traslado del contrato a MSP para su firma. Este e-mail, confirmando que el papel de MEYDIS era de mero intermediario, termina diciendo: A la carta de cesión, como veréis, también le falta una firma, asi que simplemente tomad nota y va os la volveré a enviar totalmente firmada para que me la devolvéis firmada por MSP. Llama la atención que este párrafo, que revela sin lugar a dudas que el único sentido del e-mail era el de solicitar a MEYDIS que trasladase el contrato para su firma a MSP y, una vez firmado por esta, lo devolviese a Multigestión, haya sido suprimido en el Acuerdo de Inicio del Procedimiento Sancionador. Obsérvese, por último, cómo esta cadena de e-mails se cierra con uno, desvinculado de los anteriores, pero que guarda relación indirecta con ellos, en el que una trabajadora de MEYDIS remite a otros empleados de esta empresa una comunicación en la que se informa de que Multigestión (que es también cliente de MEYDIS) no depositará ese día ningún fichero, ya que va a proceder a un cambio de denominación social, para acreditar lo cual reenvía internamente los e-mails anteriores. Este último correo es ajeno a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/105 relación Multigestión-MSP y se refiere sólo a los servicios que MEYDIS presta a aquella.
  24. d)En el documento 7 de los anexos al Acta de Inspección E/2253/2015/1-01, figura un correo electrónico de 31 de julio de 2014, remitido desde la cuenta de una empleada de MEYDIS a otros empleados de la entidad y a MSP. En el correo se comunica que ya se dispone de un certificado de la FNMT que se ha obtenido para MSP y que hay que trasladar a esta. Es este otro ejemplo de las tareas auxiliares que MEYDIS realizaba para MSP. MSP pidió al Presidente de MEYDIS el favor de que obtuviese para ella un certificado digital, por carecer de conocimientos técnicos para hacerlo por si misma y el Presidente de MEYDIS pidió a una de sus empleadas que lo hiciese en nombre de MSP. El sentido meramente auxiliar de esta acción puede verse en el hecho de que en el email se dan órdenes de trasladar el certificado a su legítimo propietario, que es MSP. Se adjunta declaración emitida por F.F.F., empleada de MEYDIS que obtuvo el certificado de MSP y remitió el correo electrónico informando de que habla que trasladarlo a dicha empresa, con el fin de que quede acreditado lo expuesto.
  25. e)Otro claro de actividades auxiliares malinterpretadas por la AEPD, es que para facilitar a MSP la recogida de las devoluciones que se producían en su apartado de correos, se le habla permitido que autorizase a los mensajeros de MEYDIS (D. G.G.G. y 0. H.H.H.). Esto no es extraño. Existen otros clientes de MEYDIS que también han autorizado a los mensajeros de ésta para la recogida de devoluciones en sus apartados de correos. Se adjunta declaración emitida al efecto por D. G.G.G.. En definitiva, en la relación comercial entre MSP y MEYDIS, ésta realizaba, en nombre y por cuenta de aquella, diversas actuaciones auxiliares, de gestión administrativa, de ayuda o de intermediación, que, aunque no generaban un beneficio económico directo a MEYDIS, sí contribuían al mantenimiento de una buena relación comercial con MSP.
  26. d)sobre el FTP utilizado por MSP para depositar los ficheros. Interesa en este punto aclarar una conclusión equivocada a la que llega el Acuerdo de Inicio del Procedimiento, reproduciendo las erróneas manifestaciones del Informe de Actuaciones Previas de Inspección E/02253/2015 en relación con el FTP que era utilizado por MSP para depositar los ficheros a utilizar en las campañas de sus clientes. Como se manifestó por el representante de MEYDIS durante la inspección de la AEPD a esta entidad, el FTP utilizado por MSP era titularidad de MEYDIS y se puso a disposición de MSP con dicho fin. Ha de precisarse que esto es habitual en la relación entre MEYDIS y sus clientes, puesto que, disponiendo MEYDIS de una infraestructura informática bien definida, sólida y segura para el intercambio habitual de ficheros, muchos clientes prefieren utilizar nuestros FTP antes que montar uno específico. Se pedirá en fase de prueba el testimonio de otros clientes de MEYDIS que confirmen lo anterior. Durante su visita, los inspectores de la AEPD solicitaron un acceso al FTP que era utilizado por MSP para depositar sus ficheros, comprobándose que no se encontraban C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/105 ficheros alojados en él, lo cual es lógico, si tenemos en cuenta la previsión de la cláusula Sexta VI del contrato suscrito entre MEYDIS y MSP y el hecho de que hace varios meses que se hablan dejado de prestar servicios a dicha compañía. Accediendo los inspectores al directorio real asociado al FTP del usuario MACRO, comprobaron que estaba vacío y que no se habían guardado los registros de acceso, lo cual es coherente con la manifestación efectuada en el acto por el administrador de sistemas de MEYDIS, que indicó que la reciente instalación de un antivirus habla estropeado la configuración del sistema, perdiéndose los datos del registro de accesos. En todo caso, en relación con el funcionamiento y contenido de esa carpeta FTP, ha de tenerse en cuenta que, en la fecha de la inspección de la AEPD, el contrato de MSP hacía varios meses que ya había sido resuelto. Indica el informe de Actuaciones Previas que se comprobó por los inspectores que la dirección del servidor era ***IP.2, realizándose una búsqueda de dicha IP en el servicio WHOIS y comprobándose que estaba asignada a un prestador de servicios de EEUU. Asimismo, dice el Acuerdo de inicio y el Informe de Actuaciones Previas que "Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es inferior a un milisegundo." Dice también la AEPD que, posteriormente, desde su sede, "Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.2; no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada". Realiza la Agencia en su escrito una explicación sobre las diferencias entre IP públicas y privadas, indicando que las primeras, que son asignadas por operadores en Internet, permiten identificar unívocamente un dispositivo en Internet, mientras que las privadas son asignadas internamente por el administrador del sistema de una red y sólo identifican un dispositivo dentro de esta, pudiendo repetirse en distintas organizaciones o redes. Dice también la Agencia a este respecto que la utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna". Añadiendo que "En el caso de ¡as presentes actuaciones, ¡a dirección IP ***IP.2 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica; pero a través de la dirección ***IP.2 el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde internet" La conclusión que alcanza la AEPD es que "a través de la dirección IP ***IP.2 únicamente se puede tener acceso desde la red interna de Meydís, sin que hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP serla únicamente porque los sistemas de MSP se encuentran dentro de la red interna de Mevdis'. Sin embargo, incurren los inspectores en un trascendente error, para acreditar lo cual se acompaña a estas alegaciones Informe Pericial Informático emitido por experto independiente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/105 Realmente, la dirección IP a la que hace referencia el expediente, ***IP.2, es una dirección IP privada de la red de MEYDIS, si bien no se corresponde con el servidor FTP, sino con el Sistema de Alimentación Ininterrumpida (SAI). La dirección que si se corresponde con el servidor FTP es ***IP.3., como se acredita en el Informe Pericial. Y no se trata de un mero error material, consistente en haber reflejado en el Acuerdo de Inicio y el Informe de Actuaciones Previas la dirección IP con una errata, sino que en la diligencia firmada por el inspector el 26 de enero de 2016, consta que las comprobaciones de verificación en WHOIS, el intento de acceso al FTP, el intento de acceso a los servicios web y el resultado de la ejecución del comando PING se llevaron a cabo todos ellos en relación con la IP ***IP.2, y, por tanto, sobre una dirección IP equivocada, diferente de la del servidor FTP en el que MSP depositaba sus ficheros. Dicho error, por sí sólo, ya debería invalidar los argumentos contenidos en el Acuerdo de Inicio sobre el FTP. No obstante, abundaremos en ello, para no dejar lugar a dudas. Un servicio FTP permite la transferencia de ficheros entre sistemas que una organización pone a disposición de terceros para enviar o recibir información. Desde dentro de la organización que presta el servicio de FTP se presenta como una carpeta de un disco duro accesible mediante un nombre de carpeta o una dirección IP privada. Desde fuera de la organización que presta el servicio de FTP, a este se accede mediante una IP pública, con la que se configura un software cliente de FTP (una aplicación para poder transferir ficheros). Como decíamos más arriba, la dirección real interna que si se corresponde con el servidor FTP es ***IP.3. Este servidor FTP es gestionado por MEYDIS para dar servicio a numerosos clientes, con el objeto de poder recibir ficheros y confeccionar los documentos para las campañas encargadas a MEYDIS. En todos estos casos, MEYDIS trabaja igual que lo hacía con respecto a (os ficheros depositados por MSP: se utilizan esos ficheros para llevar a cabo la correspondiente impresión de documentos de distinta tipología, según las instrucciones de los dientes (piezas comerciales, extractos bancarios, facturas de servidos, comunicaciones a dientes finales, etc.). El acceso a este FTP desde dentro de Mevdis se realiza mediante el nombre de la carpeta o la dirección IP privada ***IP.3. Ahora bien, MEYDIS proporciona a los clientes una IP Pública para que puedan acceder a este servicio. Dicha IP es ***IP.1. El acceso como FTP a esta IP sólo puede realizarse desde fuera de la red de Mevdis. Esta es la IP que MSP (como otros dientes), utilizaba para depositar los ficheros correspondientes a las campañas de PLENISAN. Por lo tanto, lo manifestado en el del Acuerdo de Inicio de Procedimiento "Si MSP pudo tener acceso a dicha dirección IP sería únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS" es erróneo, debido a que MSP (como otros clientes) no accedía al FTP mediante la IP interna de Mevdis. Sino mediante la dirección IP pública ***IP.1 configurada a tal efecto. En conclusión, es errónea la conclusión de que los sistemas de MSP se encontraban dentro de la red de MEYDIS. Se adjunta a estas alegaciones Informe Pericial emitido por Ingeniero Informático colegiado y perito judicial que acredita todo lo anterior. Por otra parte, se solicitará que, en fase de prueba, las comprobaciones efectuadas por la AEPD en fase de actuaciones previas en relación con la IP ***IP.2 se reiteren con respecto a la IP ***IP.1 y que se incorpore al expediente el resultado de dichas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/105 actuaciones.
  27. e)En relación con el acceso por MEYDIS a la cuenta corriente titularidad de MSP. Los accesos a la cuenta BBVA de MSP se deben al contrato de cesión de créditos entre MEYDIS y MSP que preveían tal circunstancia, ya que en conversaciones con el administrador de MSP se puso de manifiesto la posibilidad de que MSP cesara en su actividad, por lo que se realizo dicho contrato de cesión de 9/09/2015. Existen errores en lo analizado por el inspector puesto no puede haber acceso efectuados en 2013. La razón por la que se hacían consultas era porque era el único modo en que MEYDIS podía comprobar si los clientes de MSP hacían algún pago y poder así exigirle que le reintegrasen ese dinero en cumplimiento del contrato. Todos los accesos han sido meras consultas, sin que se haya operado con la cuenta corriente de otro modo.
  28. f)Existencia de una presentación comercial de MEYDIS del año 2009 accesible en Internet Nos referimos aquí a una diligencia de inspección de fecha 23 de febrero de 2016, que se halla incorporada al procedimiento y que se describe en el Acuerdo de Inicio con el siguiente literal: Mediante la correspondiente diligencia se ha podido comprobar que en la URL que consta en el expediente, aparece una presentación publicitaria de MEYDIS en la que se anuncia que la entidad dispone de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos: a. persona de contacto (titular del teléfono). b. dirección postal completa. c. nivel socioeconómico edad del titular del teléfono. de la unidad familiar. d. nivel cultural del titular del teléfono. Refleja la AEPD dicha diligencia en relación con la circunstancia de que, en la visita de inspección realizada a Meydis el 11 de enero de 2016, en una orden de servicio recibida de la empresa Plenisan con referencia SMP-***** y correspondiente a una campaña de marketing distinta de las que han determinado la incoación de procedimientos sancionadores contra Meydis, junto a los datos del Hotel que debían imprimirse en la carta publicitaria, figura la siguiente información: Una x domicilio. Hombres y mujeres. Preferente Mujeres. Eliminar: Analfabetos SocioEconómico: Bajo Destaca la propia AEPD que estos datos no constan en ninguna otra de las órdenes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/105 servicio que se han aportado por las partes o que han sido obtenidas durante las inspecciones en relación con campañas análogas a esta. No obstante lo cual, dice la Agencia que "los criterios de selección fijados están entre los que aparecen en la presentación publicitaria de MEYDIS encontrada en Internet." Obviamente, esta última precisión de la AEPD va dirigida a que se razone que, si Meydis indicaba en su publicidad que disponia de datos segmentabas conforme a dichos criterios y Plenisan, en una orden de trabajo, los incluyó, es porque dicha orden iba dirigida a Meydis para que realizase la selección de los datos conforme a los aludidos criterios. Claramente, de esta argumentación, la AEPD busca inferir que Meydis sería la que habría realizado la segmentación de los datos conforme a las instrucciones de Plenisan. Sin embargo, debemos decir que desconocemos absolutamente el sentido de dicha información y por qué Plenisan la incluyó en esa orden de trabajo. Para las tareas a realizar por Meydis esa información es innecesaria e irrelevante, puesto que Meydis no realizaba segmentación alguna de los datos, sino que se limitaba a imprimir en las cartas publicitarias los datos previamente segmentados por MSP en su propio fichero. Prueba de que esos criterios son innecesarios para las funciones que desarrollaba Meydis es el hecho de que en ninguna de las restantes órdenes de trabajo remitidas por Plenisan para el envió de sus campañas aparecen dichos elementos, sino sólo los datos correspondientes al lugar y hora de convocatoria que debían constar impresos en la publicidad. Si esos otros criterios de segmentación fuesen necesarios para que Meydis realizara sus tareas contractuales, deberían aparecer en todas y cada una de las órdenes de trabajo. Si no figuran en las demás, es porque se trata de datos innecesarios para las tareas a realizar por Meydis. Pese a ello, la AEPD conecta el hecho de que en una orden de servicio se incluyan esos criterios con la circunstancia de que en Internet esté accesible una presentación comercial del año2009 en la que se menciona que Meydis dispone de ficheros que contienen información que pudiera ser similar a la que figura en la orden de trabajo de Plenisan. La presentación aparece elaborada el año 2009, cuando las campañas de marketing objeto de denuncia se han desarrollado durante el año 2015. Seis años después. ¿De qué modo entonces puede conectarse racionalmente dicha presentación con los servicios que Meydis ha prestado a Plenisan en las campañas en cuestión? La inspección de la AEPD busca pruebas donde no las hay y llega de este modo a conclusiones absurdas, por forzadas. Esa presentación está completamente desfasada y no existe ningún elemento que la conecte con las campañas objeto de denuncia. La torcida intención del inspector al incorporar este elemento al expediente se confirma por el hecho de que, en lugar de haber consultado una presentación comercial elaborada por esta empresa en el año 2009, deberia con más lógica haber visitado la página Web corporativa actual (www.mevdis.com). vigente desde el año 2012, en cuyo apartado "Marketing Intelligence y BBDD", Meydis promociona que puede prestar a sus clientes, entre otros, los siguientes servicios: Disponemos de una base de datos de hogares de más de 14.000.000de registros segmentable por diferentes criterios: 'Geográfico 'Nivel socio económico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/105 'Composición Unidad Familiar 'Rangos de edad ' Tipología de los hogares No se entiende por qué el inspector ha incorporado al expediente una presentación comercial de Meydis elaborada el año 2009 en lugar de acceder a la actual página web de la entidad, en la que, parece lógico, se detallarán los servicios que esta presta ahora. Y más aún cuando, si se efectúa una búsqueda en Google con la palabra "Meydis0, el link a la presentación comercial aparece en el puesto 19 de los resultados de la búsqueda (segunda página), mientras que la Web corporativa de la entidad aparece en el primero de los resultados de la primera página. Y este mismo resultado se obtiene si la búsqueda en Google se hace con los términos "servicios Meydis". La única explicación lógica que cabe deducir del hecho de que se haya incorporado al expediente la presentación de diapositivas y no el texto de la Web corporativa es que, de nuevo, el inspector, con flagrante violación de su deber de objetividad, pretende resaltar aquellos hechos que perjudican a Meydis y ocultar los que justifican la legalidad de su actuación, En definitiva, lo que Meydis ofrece a sus clientes a través de este servicio es caracterizar estadísticamente sus ficheros, con el fin de poder asociar de forma probabilística los criterios antedichos a las personas que figuran en tales ficheros. Pero, como figura en el contrato entre Meydis y Plenisan, dicho servicio de caracterización de bases de datos no es uno de los que mi representada prestaba a esta. Conforme a ello, debe decaer la sospecha infundada de que los servicios ofrecidos por Meydis de forma pública en su página Web tienen algo que ver con la información que constaba en la orden de trabajo SMP-***** de Plenisan. Esa información es ajena a nosotros y desconocemos su significado y finalidad.
  29. g)Declaración de una empleada de la empresa Home XXI Hogar y Descanso. S.L. Por último, ante la posibilidad de que la AEPD lo utilice en nuestra contra también en el presente procedimiento, queremos hacer referencia a la presunta declaración de una antigua empleada de la empresa Home XXI Hogar y Descanso, S.L., que consta en el expediente PS 124/2016, también incoado contra mi representada. En relación con la declaración, es necesario, en primer lugar, destacar el hecho de que consta efectuada a través de un correo electrónico que se envía a la inspección de la AEPD el 15 de diciembre de 2015 desde un e-mail con dominio xxxxx@gmail.com. Asi hecha, la declaración no acredita en modo alguno la identidad de la persona que hace las manifestaciones. En primer lugar, al enviarse a través de correo electrónico, la declaración no aparece firmada por nadie. Se trata de un mero texto procedente de una dirección de Gmail, sin que exista ningún elemento de convicción que permita tener por demostrada la verdadera identidad del remitente. Se firma con el nombre "H.H.H.", pero podría haber sido remitido por cualquiera, porque ni la declaración se encuentra firmada (manuscrita o digitalmente), ni se acompaña copia del DNI de la declarante que permita tener un indicio de que, efectivamente, la declaración puede atribuirse a ella. Pero es que, se ha eliminado en la dirección de correo electrónico del remitente cierta información que es manifiestamente relevante para que esta parte pueda valorar dicha prueba testifical e indagar la verdadera identidad de aquel. Y es que el inspector, en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/105 documentación facilitada a esta representación, ha tachado la primera parte de la dirección de correo electrónico del remitente, haciéndola ilegible. De este modo, sólo nos consta que el e-mail aparece enviado desde una dirección de Gmail, pero no podemos saber ni siquiera el usuario de dicha cuenta, puesto que está tachado. Esto implica una violación de nuestras posibilidades de defensa, al habérsenos facilitado la información del expediente de modo incompleto, eliminando datos relevantes para conocer la verdadera identidad del remitente y, por tanto, limitando las posibilidades de defensa de esta parte. Si el e-mail es falso o el remitente no es quien dice ser, no podemos saberlo ni combatirlo, porque se nos ha privado de la información esencial para ello, cual es la de conocer al menos la dirección de correo electrónico completa desde la que la declaración fue enviada a la AEPD. Sólo conociendo esa dirección, ésta parte podría solicitar las pruebas oportunas para que se revele la verdadera identidad del titular de la cuenta de Gmail. Al margen lo anterior, aunque la declaración fuese real y estuviese correcta y formalmente formulada, merece la pena entrar a analizarla, para poner de manifiesto las contradicciones, incoherencias e imprecisiones de que adolece. Aparentemente, se realiza la declaración por Da. H.H.H., empleada de la empresa Home XXI que, según consta, fue despedida por dicha entidad. Obviamente, este hecho del despido y la natural aversión hacia el empresario que lo ha llevado a cabo han de tenerse en cuenta a la hora de valorar la objetividad y veracidad de este supuesto testimonio. Dice la ex empleada al inicio de su declaración que, hasta el año 2013, Meydis prestaba a su empresa los servicios de "manipulación, ensobrado y envío" de sus cartas publicitarias, para lo cual, Home XXI enviaba una orden de trabajo a Meydis. Asimismo, dice que los datos para realizar dichos envíos los compraba Home XXI a MSP. Pero comienzan aquí ya los errores o falsedades, por cuanto afirma que Home XXI estuvo comprando registros a la empresa MSP desde el año 2007 hasta el año 2013, cuando, como consta en los diversos procedimientos administrativos incoados contra Meydis, la empresa MSP fue constituida en junio del año 2014. Dice además que, a partir de marzo del año 2013 la empresa Home XXI dejó de trabajar con Meydis y empezó a imprimir sus propias cartas publicitarias, utilizando registros de sus propios ficheros. Y sigue, afirmando que: "A partir de finales de junio de 2015 la empresa Meydis nos realiza los envíos, ya que Correos cancelo nuestro contrato por la deuda acumulada de casi un año sin abonar facturas porque nosotros realizábamos la impresión y ensobrado y dicha empresa nos realizaba los envíos que posteriormente nosotros le abonábamos para así seguir teniendo los descuentos que correos tenía firmados con ellos. A partir de septiembre de 2015 (creo recordar) se precedió fsicj a subarrendar todas la maquinaria de impresión y ensobrado a Meydis, S.L con el fin de que se encargaran de nuevo de toda la impresión y manipulado de las invitaciones para que así no tuviera que encargarse HOMEXXI de pagar el renting de la maquinaria y se acordó fsicj una serie de precios por invitación o registro impreso de nuestra propia base de datos que era proporcionada a MSP para dicha impresión y ensobrado" Obsérvese, además, la falta de contundencia de la declaración que se deriva de que la declarante utiliza frases que ponen en duda su propia confianza en la veracidad de lo que está declarando, del tipo "creo recordar". No parece estar segura de lo que afirma. Y obsérvense también las numerosas incongruencias en que incurre, como el hecho de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/105 que afirme que Home XXI imprimía sus propias invitaciones con datos de sus ficheros y que, contrariamente, afirme a renglón seguido que las invitaciones "eran proporcionadas a MSP para dicha impresión y ensobrado". Si las cartas eran impresas por Home XXI con los datos de sus ficheros, ¿para qué se debería entregar a MSP "para dicha impresión Pero no acaban aquí las incoherencias. Alude después la declarante a que, con anterioridad a julio de 2014, la empresa MSP tenía "otras razones sociales" y menciona otra entidad (Mega Data Integral Services) que, según puede comprobarse en Internet (http://www.............), fue constituida en el año 2009, tiene un administrador distinto del de MSP, tiene domicilio social distinto y CIF distinto y se encuentra hoy activa. Tales incongruencias, unidas a las dudas de la propia declarante sobre su buena memoria, ponen en cuestión incluso la oportunidad de que el e-mail haya sido incorporado al expediente como prueba de cargo. Al margen de lo anterior, dice la declaración con respecto a las comunicaciones entre Home XXI y MSP que: "La forma de comunicación era vía telefónica y sobre todo via email. En los inicios la persona de contacto era ***NOMBRE.4 (no recuerdo el apellido) luego asignaron a ***NOMBRE.5 (se ha jubilado) y posteriormente tratábamos todo con: I.I.I. (......4@meydis.com). J.J.J. (......5@meydis. com). K.K.K. (......6@meydis.com). Estas personas son las que trabajábamos el día a día, luego con otras personas se trataban otros temas, que normalmente se encargaba directamente el gerente o director ejecutivo de la compañía: Parece que la declarante, en la confusión que preside toda su declaración, habla de una empresa para referirse a otra y de esta para referirse a aquella, incurriendo en un galimatías dificil de desentrañar. Es evidente que las personas de contacto mencionadas con e-mail @meydis.com y el teléfono aludido son empleados de Meydis. Pero mezcla la declarante los servicios de venta de datos que MSP prestaba a Home XXI con los servicios de manipulado y puesta en correos que Meydis prestó a su empresa en algunas épocas. De hecho, confundiendo las personas de una y otra empresa, incluye entre los e-mails de contacto unos de Meydis y otros de MSP. Quizás la confusión se deba a que, como resultado de las tareas de intermediación con clientes que Meydis prestaba a MSP y que han sido explicadas más arriba, en ocasiones, la declarante se relacionó con Meydis en peticiones dirigidas a MSP en virtud del contrato entre ambas. En cualquier caso la declaración en su conjunto es un verdadero embrollo de información confusa e incoherente. Llama la atención que la Administración reproduzca en el Informe y el Acuerdo literalmente lo que la declarante dice en el apartado 5 de su declaración (desde el primer párrafo hasta el último), y, sin embargo, decida sustituir por unos puntos suspensivos precisamente el texto que describe los servicios de Meydis, que es el siguiente: "Una vez subarrendamos todas las máquinas de impresión y ensobrado y pasaron a encargarse de la impresión, ensobrado y envió de las invitaciones, HommeXXI le enviaba un archivo de Excel por cada campaña comercial con todos los registros que queríamos que se le enviasen invitación y estos se encargaban de la impresión y envío C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/105 de las mismas esto se hacía así hasta el momento en el que me despidieron de la compañía, ahora mismo no sé cómo se están realizando las campañas". Tras omitir intencionadamente ese párrafo, siguen el Informe de Actuaciones Previas y el Acuerdo de Inicio reproduciendo literalmente el siguiente párrafo de la declaración. Por tanto, la Administración, ha eliminado de forma intencionada, precisamente, el párrafo que describe que, en las campañas de Home XXI, cuando Meydis ha intervenido, se ha limitado a llevar a cabo tareas de impresión, manipulado y puesta en correos de las bases de datos que Home XXI le ha facilitado de sus propios ficheros. Dicha falta de objetividad y la clara evidencia de que el inspector intenta inducir al instructor a error sobre el verdadero contenido de las diligencias que ha practicado, esforzándose por intentar dirigir sus decisiones en contra de Meydis, violan las más elementales reglas que presiden la actuación administrativa en un Estado de Derecho, aproximándose a un sistema inquisitorial en el que el inspector, en lugar de jugar un papel imparcial de obtención de evidencias, asume la función de acusador, manipulando las pruebas a su antojo. Pero no acaba aquí la inequidad. A continuación, cuando explica a quién atribuye la declarante las tareas de impresión y manipulado de las cartas, el Informe de Actuaciones Previas, en lugar de reproducir literalmente lo que consta en la declaración como viene haciendo hasta ese momento, dice simplemente que "f. Informa que la impresión y ensobrado de las cartas convocando a las presentaciones comerciales las realiza Meydis". Con esa afirmación, pretende el inspector crear la sensación de que la declarante ha afirmado que, en todo caso, Meydis ha realizado para Home XXI dichas tareas y que, en concreto, las ha realizado en la campaña objeto de denuncia en ese expediente. Pero lo afirmado ahí por el inspector es radicalmente falso, por sesgado. Lo que realmente afirma la declarante en relación con la empresa que realizaba la impresión y ensobrado de las cartas convocando a las presentaciones comerciales (punto 7 de la declaración) es: "La empresa que se encargaba de la impresión y ensobrado de las invitaciones es Meydis SI. o en cierto periodo de tiempo Home xxi va que realizábamos un rentina de máquinas de impresión y ensobradoras. Encamándonos de la compra de sobres v del papel de invitación''. Por tanto, lo que la declarante afirma realmente no es que Meydis se encargaba de la impresión y ensobrado de las cartas de Home XXI, sino que esta tarea sólo la asumió durante ciertos períodos de tiempo. Y, de hecho, en los apartados 1 y 5 se afirma que Home XXI llevaba a cabo esas tareas hasta que se subarrendaron las máquinas de impresión y ensobrado a Meydis (septiembre de 2015, según se indica), a partir de cuyo momento era esta empresa la encargada de la impresión, manipulado y puesta en correos de las cartas con el fichero que, en formato Excel, enviaba Home XXI. Se ratifica, por tanto, que Meydis no prestaba servicios a Home XXI en la fecha en que se llevó a cabo la campaña de marketing objeto de denuncia en el PS124/2016. Al margen de esta inaceptable actuación inspectora (de la que se dará debida cuenta a la Directora de la AEPD), las contradicciones, incongruencias, oscuridades, imprecisiones y dudas contenidas en la declaración de Da. H.H.H. son de tal envergadura que por sí solas son argumento suficiente para que dicha declaración y las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/105 manifestaciones contenidas en ella no pueda ser tenida en cuenta por la AEPD. Quizás sólo la circunstancia de que la declarante fuese despedida por la empresa Home XXI es la que ha condicionado su decisión de emitir estas manifestaciones. Y quizás tal aversión y la situación emocional derivada de ella son las que la han llevado a incurrir en incongruencias insalvables, en su afán por hacer afirmaciones que perjudicaran a su antigua empresa - Consideraciones legales sobre la presunción de inocencia de MEYDIS y la prueba indiciaria. La imputación de MEYDIS parece deducirse sólo de que ciertas informaciones obtenidas durante la fase de actuaciones previas han sido interpretadas de tal modo que revelarían que MEYDIS podía tener alguna capacidad de disposición sobre los datos del fichero de MSP. Estas conclusiones se deducen de hechos meramente indiciarios y susceptibles de diversas interpretaciones, meras conjeturas, por lo que consideramos necesario precisar, desde el punto de vista jurídico, el alcance que pueden tener a la hora de enervar la presunción de inocencia que legalmente asiste a MEYDIS. Dispone el art. 137 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, "1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario." La STEDH de 20 de marzo de 2001, caso Tefner contra Austria, sostiene que dicho principio implica que no cabe partir de una idea preconcebida de que al acusado ha cometido la infracción que se le imputa, que el peso de la prueba recae sobre el Estado que sanciona y que cualquier duda debe beneficiar al acusado; vulnerándose la presunción cuando 'el peso de la prueba se traslade de la acusación a la defensa'. En el mismo sentido en la STEDH de 6 de diciembre de 1988 caso Barbera, Messegué y Jabardo contra España. Para que dicha presunción de inocencia quede desvirtuada, será necesario verificar si se han practicado, con contradicción de partes, pruebas de cargo válidas y con un significado incriminatorio suficiente (más allá de toda duda razonable) para estimar acreditada la intervención de MEYDIS en la ejecución de los hechos integrantes de la infracción (la adopción de decisiones sobre el tratamiento de los concretos datos de la denunciante); pruebas que, además, tienen que ser valoradas con arreglo a las máximas de la experiencia y a las reglas de la lógica, debiendo constar siempre debidamente motivado el resultado de esa valoración; todo ello conforme a las exigencias que viene imponiendo de forma reiterada la jurisprudencia del Tribunal Constitucional (SSTC137/2005,300/2005,328/2006,117/2007,111/2008 y 25/2011, entre otras). No existe en este procedimiento ninguna prueba real que permita concluir que MEYDIS tomó decisiones sobre el tratamiento de los datos de la denunciante. La imputación se basa, según se deduce del Acuerdo de Inicio, en hechos accesorios que son susceptibles de varias interpretaciones y todos los cuales, además, han sido explicados en este escrito, por lo que no ha quedado acreditado de ningún modo que MEYDIS tuviese algún poder de disposición sobre el fichero de MSP. Pero es más, aunque ese presunto poder de disposición hubiera sido acreditado, que no lo ha sido, no debemos olvidar que la actividad probatoria de carao sólo sería suficiente si demostrarse que MEYDIS. Efectivamente, ejerció alguna decisión en relación con los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/105 concretos datos de la denunciante o. al menos, en la campaña en que dichos datos fueron tratados. Es evidente que una eventual sanción puede basarse en una prueba por indicios, pero ello ha de producirse sin menoscabo del derecho a la presunción de inocencia, como el Tribunal Constitucional viene sosteniendo desde sus primeras sentencias sobre la materia (SSTC 174/1985,175/1985,24/1997,157/1998,189/1998,68/1998,220/1998,44/2000 y 117/2000). La existencia de indicios no es suficiente para destruir la presunción de inocencia, en su vertiente de regla de juicio, a pesar de que se parta de una actividad probatoria lícita, cuando del hecho base acreditado no se infiere de modo inequívoco la conclusión a la que se llega, es decir, cuando se trata de una inferencia irrazonable o de inferencias no concluyentes por excesivamente abiertas, débiles o indeterminadas, lo que equivale a rechazar la conclusión cuando ja deducción sea tan inconcluyente que en su seno quepa tal pluralidad de conclusiones alternativas que ninguna de ellas pueda darse por probada (SSTC 189/1998 ,220/1998,124/2001 y 137/2002). No cabe confundir una prueba indiciaría de cargo con las meras sospechas o conjeturas. Y, obviamente, no cabe apreciar como prueba de cargo meros indicios cuando se han aportado por esta parte otros tantos contra indicios que desmontan aquellas apreciaciones y que explican por qué la interpretación que hace la AEPD en contra de MEYDIS en el Acuerdo de Inicio del Procedimiento no es correcta. Aunque no corresponde a esta parte la carga de la prueba de su inocencia, hemos de decir que, frente a los presuntos indicios en los que se basa el Acuerdo de Inicio del Procedimiento (todos los cuales, además, han sido explicados a lo largo de este escrito), existen, al menos, los siguientes hechos probados que llevan a la conclusión de que Meydis no tuvo nunca poder de disposición sobre el fichero de MSP y, en concreto, que no adoptó ninguna decisión en relación con los datos de la denunciante. a)Del contrato de servicios de 6 de mayo de 2013, suscrito entre Plenisan y Meydis, se deduce que esta interviene en las campañas de marketing como mera encargada del tratamiento, incluyéndose a tal fin el clausulado que exige el artículo 12 de la LOPD y, en concreto, disponiendo en la Cláusula II que MEYDIS únicamente tratará los datos conforme a las instrucciones del cliente. b)El contrato de prestación de servicios de 12 de junio de 2014, suscrito entre MSP y Meydis dispone en su cláusula 3.2 que "El CUENTE (MSP) reconoce que MEYDIS prestará los servicios Que se mencionan en la Cláusula Primera en nombre v por cuenta del CUENTE, puesto que este carece de la infraestructura necesaria para su prestación a los Clientes Finales. Ello implica que MEYDIS llevará a cabo dichos servicios conforme a las instrucciones del CUENTE (...)".
  30. d)La cláusula 6.1 de este mismo contrato, suscrito entre MSP y Meydis establece que Tara llevar a cabo los trabajos objeto de este contrato, MEYDIS tendrá acceso a los datos de carácter personal que consten en los ficheros de EL CUENTE. En este sentido, MEYDIS tratará dichos datos en nombre v por cuenta del cliente, para la prestación de servicios v como encargado del tratamiento." Y, en el mismo sentido, la cláusula 6.2 dispone que "Los datos de carácter personal de los ficheros de EL CUENTE (MSP) a los que acceda MEYDIS. S.L para la prestación de sus servicios serán tratados de acuerdo con las previsiones del articulo 12 de la Lev C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/105 Orgánica 15/1999. de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante. LOPD). en condición de encargado del tratamiento. A tal efecto, MEYDIS manifiesta expresamente, bajo su responsabilidad, que reúne todas las garantías para el cumplimiento de las disposiciones del Real Decreto 1720/2007, de 21 de diciembre, por el que se desarrolla la LOPD y se compromete a: a. En la condición de encargado del tratamiento de los datos de EL CUENTE. únicamente tratará los datos conforme a las instrucciones de este. prohibiéndose expresamente su aplicación o utilización con un fin distinto al establecido en la relación que les vincula."
  31. d)Consta en el expediente que la orden de trabajo en la campaña se recibió de Plenisan mediante correo electrónico, sin que Meydis adoptase decisión al respecto. En los documentos siguientes, se confirma que Meydis sólo llevó a cabo la impresión y envió de las cartas publicitarias cuando Plenisan lo ordenó y dio su conformidad con las pruebas de impresión.
  32. e)en escritos de PLENISAN a la AEPD manifiesta que los parametros identificativos de los destinatarios de la campaña fueron fijados por MSP, Plenisan , ratifica que la decisión sobre los destinatarios de la campaña la adopta MSP y es posteriormente confirmada por Plenisan. Además, este escrito confirma que la intervención de Meydis en las campañas se limita a las tareas de intermediación, impresión, manipulado y puesta en correos de los envios, conforme a las órdenes de los clientes.
  33. g)Tanto en el contrato, como en el concepto de la factura emitida por MSP contra Plenisan y correspondiente a la campaña (ver escritos aportados por ambas), se refleja expresamente que es aquella entidad la que fija los criterios de segmentación de los destinatarios de la misma.
  34. h)Los servicios prestados por Meydis a MSP y a Plenisan como mera encargada del tratamiento quedan confirmados en el concepto de las facturas emitidas por aquella a estas últimas en relación con la campaña objeto de denuncia (ver documentos 6.1 y 6.2. de los anexos al escrito de respuesta de Plenisan a la AEPD de 7 de enero de 2016). Dicha factura se encuentra correctamente contabilizada y pagada, como se comprueba mediante la documentación justificativa que se acompaña a este escrito.
  35. k)De la factura emitida por Meydis contra MSP que se acompaña a este escrito (sorprendentemente, la AEPD no ha adoptado la básica medida de recabarla previamente a la apertura de este procedimiento), se deduce que el servicio prestado por Meydis a aquella es únicamente de impresión y maquetación para sus clientes, a modo de subcontratación de dichos servicios, que igualmente son facturados por MSP a Plenisan. Dicha factura se encuentra correctamente contabilizada y pagada. En resumen, existen elementos de convicción suficientes para confirmar que Meydis no intervino de ningún modo en la determinación de los parámetros de selección de los destinatarios de la campaña, ni adoptó decisión alguna con respecto a los datos de la denunciante. Meydis se limitó a acatar las instrucciones recibidas en su calidad de encargada del tratamiento de los datos, llevando a cabo tareas de maquetación, impresión, manipulado y puesta en correos de las cartas publicitarias. - Caducidad de las actuaciones previas. La entrada de la denuncia se produjo en fecha de 11/03/2015 mientras que el Acuerdo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/105 de inicio fue notificado mediante correo certificado a MEYDIS en fecha de 14/03/2016 por lo que ha transcurrido más de un año desde la entrada de la denuncia lo que lleva a la caducidad de las actuaciones previas de acuerdo con el art. 122.4 RDLOPD. - Indebida Incoación de sucesivos procedimientos sancionadores por unos mismos hechos. Como señalábamos al principio de este escrito, nos han sido notificados los Acuerdos de Apertura de los procedimientos sancionadores que se relacionan a continuación, todos ellos por la presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), tipificada como grave en el artículo 44.3.
  36. b)de dicha norma: -PS 47/2016, de fecha 1 de febrero de 2016. -PS 53/2016, de fecha 3 de febrero de 2016. -PS 107/2016, de fecha 24 de febrero de 2016. -PS 121/2016, de fecha 2 de marzo de 2016. -PS 124/2016, de fecha 3 de marzo de 2016. -PS 127/2016, de fecha 9 de marzo de 2016. -PS 128/2016, de fecha 9 de marzo de 2016. Del análisis de los expedientes administrativos referenciados se deduce que, en todos los casos, los hechos que ocasionan su apertura son idénticos y derivan del envió de una comunicación comercial de terceras empresas con datos de ficheros de la entidad Macro Select Print, Si. (MSP), para la convocatoria a un acto de presentación de los productos de aquellas. En esas campañas comerciales, Meydis llevó a cabo las tareas de impresión, manipulado y puesta en correos de las piezas publicitarias, si bien la AEPD parece entender que pudo tomar decisiones sobre el tratamiento de los datos de los denunciantes. El escenario descrito en todos los procedimientos incoados es el mismo y en él intervienen los mismos sujetos. Sólo puede apreciarse una mínima variación en el PS 124/2016, puesto que en él la empresa que envió la publicidad no fue Plenisan, Si. (Como en los restantes), sino Home XXI Hogar y Descanso, Si. De los sucesivos procedimientos incoados puede deducirse que, según la AEPD, habría existido una situación continuada en la que Meydis habría tenido poder de disposición sobre el fichero de MSP. y habría adoptado decisiones en las campañas de marketing realizadas por sus clientes. Esta situación se habría producido, al menos, desde el mes de enero del año 2015, fecha de la primera campaña en la que la Instrucción de la AEPD ha considerado a Meydis presunto responsable del tratamiento de los datos de los denunciantes. Ahora bien, quizás por un afán de imponer el mayor número posible de sanciones, no tiene en cuenta la AEPD que, de ser ciertas las imputaciones hechas a Meydis, cada una de las denuncias recibidas no constituirían infracciones independientes de la LOPD, sino una única infracción de carácter continuado. Incoando un procedimiento sancionador independiente por cada denuncia recibida, soslaya la AEPD lo que dispone el articulo 4.6 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora: "No se podrán iniciar nuevos procedimientos sancionadores por hechos o conductas tipificados como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya recaído una primera resolución sancionadora de los mismos, con carácter ejecutivo. Asimismo, será sancionable, como infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/105 continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión." Según lo anterior, si fuesen ciertas las imputaciones hechas a Meydis en los procedimientos sancionadores abiertos, constituirían una única infracción continuada: Meydis, de forma persistente en el tiempo, habría realizado con un fichero ilegal de MSP una pluralidad de acciones (todas las cuales han sido causa de las diversas denuncias recibidas) que vulnerarían el mismo artículo de la LOPD (art. 6.1, en relación con el 44.3.b), aprovechando un supuesto poder de disposición sobre el fichero de MSP o ejecutando un presunto plan preconcebido. Cumpliéndose, sin lugar a dudas, todas las condiciones del articulo 4.6 del Real Decreto 1398/1993, la AEPD debe aplicar las previsiones de este precepto y apreciar una infracción continuada. En esa linea, se hace una remisión a la Sentencia del Tribunal de Justicia de la UE de 6 de diciembre de 2012, Asunto C- 441/11, apartado 41, y resulta esclarecedora la STS, Sala 3a, de 30.11.2004 (ponente L.L.L.), cuando dice que "Para apreciar la infracción continuada en el ámbito del Derecho administrativo sancionador, que constituye una transposición de los contomos jurídicos de esta institución referidos en el artículo 74 del Código Penal, se exige que concurran con carácter general los siguientes requisitos: a)La ejecución de una pluralidad de actos por el mismo sujeto responsable, próximos en el tiempo, que obedezcan a una práctica homogénea en el modus operandi por la utilización de medidas, instrumentos o técnicas de actuación similares. b)La actuación del responsable con dolo unitario, en ejecución de un plan previamente concebido que se refleja en todas las acciones plurales que se ejecutan o con dolo continuado, que se proyecta en cada uno de los actos ejecutados al renovarse la voluntad infractora al presentarse una ocasión idéntica a la precedente. Y
  37. c)La unidad del precepto legal vulnerado de modo que el bien jurídico lesionado, sea coincidente, de igual o semejante naturaleza." La jurisprudencia, aplicando tal criterio, ha considerado que vulnera lo dispuesto en el art. 4.6 del Real Decreto 1398/1993 la apertura de sucesivos procedimientos sancionadores antes de que recaiga resolución sancionadora en el primer procedimiento incoado, cuando aquellos se refieren a hechos de la misma naturaleza, realizados en periodos de tiempo próximos y que infringen el mismo precepto legal. Entre las sentencias de tribunales nacionales que lo han reconocido así, podemos mencionar (con cita de otras) las STSJ Castilla y León, Sala de lo ContenciosoAdministrativo, de 28 octubre 2011 y de 19 septiembre 2008. Pues bien, de ser ciertas las imputaciones que hace a Meydis la AEPD, en el caso de los procedimientos sancionadores PS 53/2016, PS 107/2016, PS 121/2016, PS 124/2016, PS 127/2016 y PS 128/2016, en relación con el PS 47/2016, concurrirían todas las circunstancias exigidas por el articulo 4.6 RD 1398/1993. Por ello, una vez Incoado el PS 47/2016, la AEPD, aplicando imperativamente dicho precepto, no debería haber abierto los subsiguientes hasta que en aquel hubiese recaído resolución ejecutiva. Habiéndose abierto esos otros procedimientos sancionadores de forma indebida, deben ser anulados y seguirse el curso único del PS 47/2016. Así, frente a los presuntos indicios en los que se basa el Acuerdo de Inicio del Procedimiento, existen los siguientes hechos probados que llevan a la conclusión de que MEYDIS no tuvo nunca poder de disposición sobre el fichero de MSP y, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/105 concreto, que no adoptó ninguna decisión en relación con los datos de la denunciante. QUINTO: Notificado el acuerdo de inicio, PLENISAN, S.L. mediante escrito de fecha 31/03/2016 formuló alegaciones, significando, en síntesis lo siguiente: Caducidad de las Actuaciones Previas. La entrada de la denuncia se produjo en fecha de 9/03/2015 mientras que el Acuerdo de inicio fue notificado a PLENISAN en fecha de 15/03/2016 por lo que ha transcurrido más de un año desde la entrada de la denuncia lo que lleva a la caducidad de las actuaciones previas de acuerdo con el art. 122.4 RDLOPD. Ante la caducidad sobrevenida no realiza alegación adicional puesto que dicha caducidad está plenamente acreditada. Lo único que procede es el archivo de oficio, de no ser así se procederá a interponer querella por prevaricación administrativa del art. 404 del Código Penal. SEXTO: Mediante diligencia de instrucción de 11/07/2016 notificada a las partes, se denegaron las siguientes pruebas: PERICIAL: consistente en la realización del acceso a la IP ***IP.1 por el Instructor y las comprobaciones solicitadas, en base a: El error puesto de manifiesto en el acceso a la citada dirección IP, no puede ser objeto de esclarecimiento con la prueba que solicita MEYDIS, S.L. Las alegaciones referidas a la prueba solicitada tienen por objeto la verificación y análisis de la naturaleza de la dirección IP ***IP.1 cuya existencia y uso no fue puesta de manifiesto en la Inspección realizada, sino que es traída al procedimiento en un momento posterior y por tanto su práctica no puede desvirtuar o corroborar lo recogido en el Informe de Actuaciones de Inspección (y en el Acta correspondiente) que centra el análisis en la dirección IP ***IP.4 respecto de la que se ha solicitado prueba Testifical al Inspector actuante para que manifieste lo oportuno al respecto, todo ello sin perjuicio del Informe Pericial aportado por MEYDIS, S.L.. Asimismo, la práctica de la prueba no evidencia el error que atribuyen al Inspector actuante, consistente en realizar la prueba en una IP en lugar que realizar la prueba en otra IP (la propuesta por MEYDIS, S.L.). El resultado que arrojaría la práctica de la misma –por propia lógica de defensa- es el que consta, entre otras cuestiones, en el Informe Pericial aportado al efecto que versa sobre la utilización de dicha dirección IP, y que todo (tanto el informe pericial aportado, como las observaciones del Inspector actuante) será tenido en cuenta a la hora de valorar los elementos de juicio que obran en el expediente. Sin que suponga en ningún caso la valoración del Inspector la sustitución de lo contenido en el Informe ni tampoco la sustitución de lo alegado por MEYDIS, S.L. DOCUMENTAL: aportación de copia del correo de 15/12/2015 de H.H.H. La dirección completa se omite por el derecho a la privacidad de la testigo. MEYDIS, S.L. no explica ni razona el motivo por el que quiere conocer esa información, pues la verificación de la dirección no guarda relación con el objeto de los hechos consistentes en el tratamiento de datos personales realizado en las campañas publicitarias y no le corresponde a la citada mercantil dicha verificación. Siendo lo relevante el contenido del mismo y a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 38/105 efectos de su autenticidad, tanto esta como las restantes pruebas se someten al principio de libre valoración de la prueba. Sin perjuicio de la ratificación, que en su caso, proceda solicitar a dicho testigo. SEPTIMO: En la fase de pruebas, mediante acuerdo de 11/07/2016 notificado a las partes se acordó la práctica de las siguientes pruebas: Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante PLENISAN, S.L., MEYDIS, S.L. y MACRO SELECT PRINT y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04041/2015 y la documentación adjunta. Así como las alegaciones al acuerdo de inicio PS/00128/2016 presentadas por los denunciados y la documentación que a ellas acompaña. Se dan por reproducidos a efectos probatorios, las diligencias de prueba practicadas en el Procedimiento Sancionador PS/00121/2016, cuyo resultado se reproduce a continuación: INFORME PERICIAL aportado por MEYDIS, S.L. Testifical a MULTIGESTION, mediante escrito de 20/04/2016 del PS/0047/2016. -Como cliente de la empresa MEYDIS, S.L., cuando tiene que facilitarle usted ficheros para la prestación de sus servicios ¿entrega dichos ficheros depositándolos en una carpeta FTP titularidad de MEYDIS, S.L.? Como cliente de la empresa MEYDIS, S.L. cuando tenemos que facilitarle ficheros para la prestación de los servicios concertados de mailing y correos, entregamos los ficheros depositándolos en un servidor SFTP. Desconocemos la titularidad del mismo. -En caso afirmativo, ¿Cuál es la dirección IP a la que ustedes se conectan para depositar dichos ficheros en el FTP? ***IP.1 Testifical 1 a N.N.N. - Asesoría Jurídica de Multigestión – ( folio 389) ¿Por qué razón remitió un contrato entre Multigestión y MSP a un abogado externo de MEYDIS para su revisión, teniendo en cuenta que el contrato se refería solo a la relación entre Multigestion y MSP? Como consecuencia de la operación de adquisición de determinados activos y pasivos de Multigestión Iberia S.A.U. por parte de Multigestión Iberia 2014, S.L.U. (en lo sucesivo "Multigestión 2014"), ésta última negoció con Macro Select Print, S.L. (en lo sucesivo "MSP") la firma de un documento, por el cual se cediesen a la nueva sociedad los derechos y obligaciones derivados del contrato que, en esa fecha, se encontraba vigente entre MSP y Multigestión Iberia S.A.U. MSP nos informó de que, como no tenía servicios jurídicos propios, la empresa Meydis, S.L. le iba a hacer el favor de pedir a su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 39/105 abogado externo que revisase dicho contrato, evitando así gastos extraordinarios a MSP. Para confirmar lo anterior, nos pusimos en contacto con la Dirección de Meydis, S.L. y, efectivamente, Ésta nos dijo que podíamos negociar el contrato de MSP con su abogado. En el marco de esa negociación, intercambié diversos e-mails con el abogado de Meydis,S.L. para alcanzar un texto que conviniese a Multigestión 2014 y MSP. ¿Por qué razón traslado por email instrucciones MEYDIS para la firma de ese contrato y le solicitó a esta misma entidad que se lo devolviese, una vez firmado por MSP? Dado que el abogado con el que debíamos negociar el contrato era de la empresa Meydis, S.L. y Ésta intervenía en algunos asuntos como intermediaria para MSP, se nos solicitó que pusiésemos a Meydis, S.L. en copia de ios correos que intercambiásemos con su abogado en este asunto y que, para facilitar la firma, le diésemos traslado del contrato a Meydis, S.L. para que ésta lo hiciese llegar a MSP y, tras su firma, nos lo devolviese. Por esta razón, se indicó a Meydis, S.L. que procediese a dicho traslado, una vez alcanzado un acuerdo sobre el texto del contrato. ¿Ha sido receptora de comunicación alguna por parte de MSP respecto de la posible ilegalidad del fichero que explota comercialmente? ¿ha recibido comunicación similar a la que se aporta al presente escrito como doc. 1? En caso afirmativo, acredite dicha recepción. Multigestión 2014, sí, ha sido receptora de una comunicación de fecha 28 de octubre de 2015 por parte de MSP sobre el fichero que explotaba. A la luz de los hechos en la misma comunicados se procedió a resolver el contrato de servicios que unía a MSP con Multigestión 2014. Se adjuntan, Documento n 1, carta recibida de MSP y Documento n 2, documento de resolución de contrato. ¿Tiene MULTIGESTION IBERIA 2014 S.L. (o su antecesora MULTIGESTIÓN IBERIA S.A.U,) o ha tenido relación jurídico-comercial con MEYDIS, S.L. en orden a realización de algún servic

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.