PS-00156-2016

1/30 Procedimiento Nº PS/00156/2016 RESOLUCIÓN: R/02314/2016 En el procedimiento sancionador PS/00156/2016, instruido por la Agencia Española de Protección de Datos a la entidad INFORMATION INTERNATIONAL GLOBAL CORP., A.A.A., MEGAINFORMES ON-LINE S.L., MULTIGESTION IBERIA 2014, S.L.U., y en base a los siguientes, ANTECEDENTES PRIMERO: En el marco de actuaciones previas de inspección de referencia E/00706/2010 llevadas a cabo para comprobar la inmovilización del fichero DOMICILIOS, del que existía previa orden de inmovilización dictada por el Director de la Agencia, se pudo comprobar que: - En el PS/00629/2008, incoado a la entidad SABERLOTODO INTERNET S.L. (en adelante SABERLOTODO), en fecha 23/02/2009 el Director de la Agencia Española de Protección de Datos dictó Resolución de inmovilización del fichero DOMICILIOS, inscrito en el RGPD por dicha entidad. - Mediante inspecciones PS/00629/2008-I/1 y PS/00629/2008-I/2 realizadas en fecha 30/07/2009, se comprobó que el citado fichero seguía activo. - Mediante inspecciones PS/00629/2008-I/3 y PS/00629/2008-I/4 realizadas en fechas 10/02/2010 y 11/02/2010 respectivamente, se comprobó no sólo que el citado fichero seguía activo, sino también que a pesar de no haber suscrito las entidades inspeccionadas el contrato con TRUMBIC CORPORATION S.L. (TRUMBIC) que previamente les había sido enviado, interpretando que de esta forma el contrato con SABERLOTODO quedaba rescindido, las claves de las que disponían para acceder a la web de SABERLOTODO se encontraban activas en el enlace que dicha página realizaba a la de TRUMBIC, pudiéndose encontrar los mismos datos que en las inspecciones anteriormente citadas. - Dado que en la web de SABERLOTODO se encontraba el enlace a la de TRUMBIC, se realizó visita de inspección a dicha entidad en la que sus representantes manifestaron que todos los clientes que eran de SABERLOTODO pasaron a serlo de TRUMBIC, si bien no se ha podido acceder al fichero dado que no se disponía de sistemas informáticos para ello, ni obtener una lista de clientes por haberse negado la entidad a facilitarla a la Inspección de Datos en dos ocasiones. - Asimismo, el fichero DOMICILIOS fue inscrito en el RGPD por SABERLOTODO. Igualmente consta SABERLOTODO como entidad responsable de dicho fichero en el contrato que se ha remitido a sus antiguos clientes con la finalidad de que pasasen a ser clientes de TRUMBIC CORPORATION, contrato que no informa a los clientes sobre la orden de inmovilización del fichero dictada por el Director de la Agencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/30 - En la inspección realizada a TRUMBIC, y actuando D. A.A.A. en representación de esta entidad, no se da acceso al fichero DOMICILIOS, pese a que la entidad si da acceso a dicho fichero a sus clientes, sino que se dice que dicho acceso se debe solicitar a INFORMACIÓN PRIVILEGIADA. - En la inspección a INFORMACIÓN PRIVILEGIADA S.L., y actuando nuevamente D. A.A.A., ahora actuando en representación de esta entidad, vuelve a negarse el acceso al fichero DOMICILIOS, alegando que dicho acceso habrá de ser realizado mediante inspección a D. A.A.A., por ser su propietario, concepto este que no aparece en la LOPD. - Finalmente se realizó visita de inspección a D. A.A.A. que manifestó que conoce la orden de inmovilización de los datos contenidos en el fichero DOMICILIOS, los cuales tienen diversos orígenes, entre ellos los obtenidos del censo, padrón y repertorio de abonados al servicio telefónico. - En las inspecciones realizadas a SABERLOTODO, INFORMACIÓN PRIVILEGIADA TRUMBIC, y D. A.A.A., siempre ha estado presente éste último, bien en calidad de administrador o bien como representante de la entidad inspeccionada. Como resultado, se procedió a incoar un procedimiento sancionador de referencia PS/00146/2011 en que fueron sancionados tanto SABERLOTODO, D. A.A.A. y TRUMBIC tras haber comprobado que el fichero DOMICILIOS no estaba realmente inmovilizado sino que continuaba en explotación. SEGUNDO: Con fecha de 31 de marzo de 2015 se resolvieron por el director de la Agencia Actuaciones Previas de Inspección de referencia E/03971/2013 en que se disponía: <<Ahora bien, dado que de las manifestaciones realizadas por TRUMBIC puede inferirse que el fichero que contiene los datos personales de la denunciante -accesible a través de la página web de TRUMBIC- es el mismo fichero que fue inmovilizado por decisión del Director de la AEPD, a fin de verificar este extremo se acuerda llevar a cabo actuaciones de investigación en el marco del E/00728/2015>> TERCERO: En el expediente de investigación E/00728/2015, por los Servicios de Inspección de esta Agencia se practicaron diligencias teniendo conocimiento de los siguientes hechos: 1 Según la información obrante en el Registro Mercantil Central: a. SABERLOTODO INTERNET S.L. (en adelante SABERLOTODO) figura con constitución y primera inscripción datada en 2006, en que se inscribe a D. A.A.A. como administrador de la misma. Posteriormente le sucede en el cargo Dª B.B.B.. El último asiento registral, de fecha 10/12/2013, hace constar: <<Cierre provisional de hoja registral por baja en el Índice de Entidades Jurídicas.>> b. TRUMBIC CORPORATION S.L. figura con constitución y primera inscripción en 2009. c. INFORMACION PRIVILEGIADA S.L. figura con constitución y primera inscripción datada en 2009, en que se inscribe a D. A.A.A. como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/30 administrador de la misma. d. MEGAINFORMES ON-LINE S.L. (en adelante MEGAINFORMES) figura con constitución y primera inscripción datada en 2007, en que se inscribe a D. A.A.A. como administrador de la misma, estableciéndose como primer domicilio social la (C/...1) (Alicante). Posteriormente le sucede en el cargo D. C.C.C. en 2009, Dª B.B.B. en 2013 y nuevamente D. C.C.C. en 2004. De la información aportada por CAIXABANK se ha podido saber que D. C.C.C. es accionista y administrador único de INFORMATION INTERNATIONAL GLOBAL CORP. (en adelante IIGC). 2. Durante las actuaciones previas de inspección de referencia E/05876/2012 AGESCO, ASESORÍA DE COBRO Y GESTION S.L. aportó copia de un contrato suscrito con TRUMBIC por el que se le daba acceso a los ficheros cuyo responsable es SABERLOTODO. Aportaba igualmente un escrito remitido por TRUMBIC sin fecha ni firma, en que se informaba a AGESCO: <<Esta empresa quiere comunicarle que ha sido adquirida por un grupo empresarial extranjero, la mercantil INFORMATION INTERNATIONAL GLOBAL CORP. (en adelante, la adquirente) razón por la cual los contratos en vigor existentes habrán de ser extinguidos con fecha de 31 de diciembre del año en curso. No obstante, los servicios ofrecidos por esta empresa hasta 1 fecha se mantendrán, por cuestiones meramente técnicas, a partir de enero de 2013, desde la Web actual, www.trumbic.com, hasta que los mismos sean accesibles por la Web de la adquirente. Esto sucederá a lo largo de enero de 2013 y serán debidamente comunicados. Por tanto, en breve les remitiremos el documento de resolución del contrato suscrito con la mercantil TRUMBIC CORPORATION, dicho documento deberá ser devuelto, convenientemente firmado. Posteriormente, la adquirente le remitirá el nuevo contrato de prestación de servicios.>> Solicitada información respecto de dicha adquisición a TRUMBIC CORPORARION S.L., la misma fue negada por la entidad. Sin embargo, se ha podido comprobar que los intentos de acceso a la web www.trumbic.com eran redireccionados a www.inglobaly.com en la que aparece como responsable INFORMATION INTERNATIONAL GLOBAL CORP. 3. se ha podido comprobar que: a. El sitio web www.trumbic.com aparecía redirigido a www.inglobaly.com. b. El sitio web www.bormeonline.com aparecía redirigido a www.inglobaly.com. Una consulta al DNS arroja como resultado que el titular del dominio bormeonline.com es MEGAINFORMES. c. El sitio web www.megainformes.es aparecía redirigido a www.inglobaly.com. Una consulta al DNS arroja como resultado que el titular del dominio megainformes.es es MEGAINFORMES. Posteriormente esta redirección se ha quitado y aparece una web cuyo responsable declarado es MEGAINFORMES. d. El servidor web www.inglobaly.com está alojado en la IP ***IP.1, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/30 que está asignada a ONO. En dicha dirección IP estuvo anteriormente alojado el servidor web www.trumbic.com y actualmente está alojado el servidor web www.megainformes.com. e. En un acceso a la web www.inglobaly.com se ha encontrado que: i.En dicha web aparece como responsable INFORMATION INTERNATIONAL GLOBAL CORP., con domicilio en (C/...2) Islands. Sin embargo se ha podido averiguar que dicha sociedad tiene CIF y domicilio fiscal en España. ii.Aparece como teléfono de contacto 902****** y como dirección electrónica de contacto .....@inglobaly.com. iii.El acceso a los servicios de la web requiere el uso de un identificador de usuario y contraseña. iv.Informa que los servicios on-line que presta son: o Localización y contacto de impagados o Localización de viviendas y sus residentes. o Información telefónica o Validación de datos antifraude o Incidencias en boletines oficiales La descripción “Localización de viviendas y sus residentes” coincide con los datos que recoge el fichero inmovilizado DOMICILIOS. 4. Solicitada ampliación de información a VODAFONE ONO S.A.U (en adelante ONO) respecto de SABERLOTODO, de la información aportada se desprende: a. La cuenta en que, entre 9/11/2011 al 24/07/2014 fue titular SABERLOTODO tuvo un cambio de titular el 24/07/2014, pasando a ser el titular MEGAINFORMES hasta el 01/12/2014. Como teléfono de contacto aparece el ***TEL.1 y como correo electrónico de contacto ...........@gmail.com. b. La cuenta estaba domiciliada en (C/...1) Alicante. c. Entre los servicios que, en algún momento, estuvieron asociados a esta cuenta aparece las líneas ***TEL.1, ***TEL.2 y ***TEL.3. d. Aporta facturas en las que se aprecia que la cuenta ***CTA.3 que anteriormente era facturada a SABERLOTODO pasa a ser facturada a MEGAINFORMES. 5. Solicitada ampliación de información a ONO respecto de TRUMBIC, de la información aportada se desprende: a. Como persona de contacto asociada a TRUMBIC aparece D. A.A.A. con teléfono ***TEL.1, y correo electrónico .....@trumbic.com, con dirección postal en (C/...1) de Alicante. b. Aparece la entidad como contratante de un servicio en que aparece como dirección postal en (C/...1) de Alicante. c. Aparece igualmente asociado a TRUBIC un servicio de línea móvil, y en el campo comentarios figura “INFORMACION PRIVILEGIADA S.L.”. 6. Solicitada información a ONO respecto de MEGAINFORMES, de la información aportada se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/30 a. Tiene contratados los servicios de la línea ***TEL.4, desde el 1/12/2014, estando actualmente activa. Como dirección asociada a esta línea figura (C/...1)de Alicante. Como persona de contacto aparece D.D.D., con correo electrónico .......@megainformes.es, teléfono de contacto 902*****1. b. La cuenta ***CTA.1, con servicios ya desactivados, consta con domicilio en (C/...1)de Alicante. A través de dicha cuenta se facturan los servicios de la línea ***TEL.7, con domicilio de instalación en (C/...1) de Alicante. Como teléfono de contacto para SMS consta el ***TEL.1, como teléfono trabajo consta el ***TEL.3 y como persona de contacto D. C.C.C. (...........@gmail.com). c. La cuenta ***CTA.2, con servicios ya desconectados, con domicilio en (C/...1) Alicante, correspondiente a la línea fija ***TEL.5 con dirección de instalación en (C/...1) de Alicante. Como persona de contacto figura D. C.C.C. (...........@gmail.com) d. La cuenta ***CTA.3, con servicios ya desconectados, correspondientes a las líneas, ***TEL.2 y ***TEL.6 . Como cliente figura SABERLOTODO, con dirección en (C/...1)Alicante y dirección de instalación en (C/...1) – Alicante. Para la facturación consta la empresa MEGAINFORMES con teléfono de contacto ***TEL.1 y correo electrónico de contacto ...........@gmail.com. Como titular de la cuenta bancaria a efectos de domiciliación de pagos aparece MEGAINFORMES. e. La cuenta: ***CTA.4 tiene como correo electrónico de contacto ........@gmail.com y como teléfono contacto 902*****1. Dirección de instalación: MEGAINFORMES ON-LINE SL y dirección en (C/...3) de ALICANTE, número telefónico ***TEL.8. f. La cuenta ***CTA.1, con id. de cliente desconectado, consta como cliente MEGAINFORMES, con domicilio en (C/...1) de Alicante y como persona contacto D. C.C.C. (...........@gmail.com) y teléfono contacto- ***TEL.3 y ***TEL.1. g. En la cuenta ***CTA.5, figura como cliente figura MEGAINFORMES con domicilio en (C/...1), de Alicante correo electrónico de contacto .............@gmail.com, teléfonos de contacto ***TEL.1 y 902*****1. h. La cuenta ***CTA.2 muestra como cliente MEGAINFORMES con domicilio en (C/...1). Como persona contacto aparece D. C.C.C. (...........@gmail.com) y teléfonos de contacto ***TEL.9 y ***TEL.3. i. La cuenta ***CTA.3, muestra como cliente MEGAINFORMES don domicilio en (C/...1) de Alicante, sin persona de contacto, pero con correo electrónico de contacto ......@gmail.com y teléfono de contacto ***TEL.1. j. La línea 902*****1 aparece contratada por MEGAINFORMES, con alta en fecha 20/7/2007 y baja el 7/2/2014. Las llamadas eran enrutadas al ***TEL.10. Aporta la entidad copia de la última factura, que fue emitida a nombre de INFORMACION PRIVILEGIADA. 7. Solicitada información a ONO, la entidad informa que la dirección IP ***IP.1, se trata de una IP estática asignada a MEGAINFORMES, con domicilio en C/ (C/...1) Alicante. Se tratad de un hosting dedicado, esto es, MEGAINFORMES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/30 tiene asignada dicha IP en exclusiva. Asociados a dicha empresa aparecen los números de teléfono 902*****1 y ***TEL.1 así como la dirección de correo electrónico ........@gmail.com. 8. Informa TELCOM BUSINESS SOLUTIONS S.L. (en adelante TBS) que el número de teléfono 902****** está contratado por IIGC, con domicilio fiscal en (C/...1) - Alicante, según acredita mediante la fotocopia del documento de la Agencia Estatal de Administración Tributaria en que se asignaba NIF a IIGC. La entidad tiene como teléfono de contacto ***TEL.7 (operado por TBS) y como dirección de correo electrónico .....@gmail.com. Solicitado a TBS ampliación de información, la entidad manifiesta: - Que la línea 902****** se redirecciona a la línea ***TEL.1. - Que la línea ***TEL.7 está contratada por D. C.C.C., (C/...1) – Alicante, con email .....@gmail.com y móvil de contacto ***TEL.1. Esta última línea telefónica ha sido el número de contacto usado reiteradamente, tanto con SABERLOTODO como con TRUMBIC, con D. A.A.A., con IICG y con MEGAINFORMES. 9. Solicitada información a D. A.A.A. en el domicilio conocido por esta Agencia de actuaciones anteriores, la carta ha resultado devuelta por el Servicio de Correos como “Desconocido”. Tras localizar la dirección obrante en el Padrón de habitantes respecto de D. JVL, se le ha remitido escrito de solicitud de información. Se realizaron dos intentos de entrega por el servicio de Correos, en fechas 17 y 23/12/2015, siendo finalmente devuelto en fecha 4/1/2016, tras no haber sido retirado de la lista de Correos. Durante las actuaciones de inspección de referencia E/03971/2013 que dieron origen a las presentes actuaciones, se envió solicitud de información A D. A.A.A. en fecha 5/3/2014, intentando la entrega el servicio de Correos en fechas 10 y 11/3/2014, resultando finalmente devuelto en fecha 20/3/2014 como no retirado de la lista de Correos. Durante las actuaciones de referencia E/06675/2012, en fecha 17/7/2013 se remitió a D. A.A.A. escrito mediante el cual se le solicitaba información. Dicha solicitud resultó devuelta por el Servicio de Correos en fecha 29/7/2012, con la indicación “Ausente de reparto” tras haber sido intentada su entrega en fechas 18/7/2013 y 19/7/2013, y no haber sido retirada la carta de la oficina de Correos. En fecha 13/8/2013 se reiteró la anterior solicitud de información que también resultó devuelta por el Servicio de Correos en fecha 27/8/2013, con la indicación “Ausente de reparto” tras haber sido intentada su entrega en fechas 16/8/2013 y 19/8/2013, y no haber sido retirada la carta de la oficina de Correos. Durante las actuaciones de inspección de referencia E/05876/2012 también le fue solicitada información a D. A.A.A. a través del servicio de Correos, se realizaron dos intentos de entrega en fechas 19/4/2013 y 22/4/2013, constando como “Ausente de reparto” siendo finalmente devuelto a esta Agencia como “NO RETIRADO EN OFICINA”. D. A.A.A. está eludiendo recibir las solicitudes de información que se le están realizando por parte de esta Agencia. 10. Solicitada información a IIGC en (C/...1)(Alicante) informada por TBS, la carta no ha sido recogida. 11. Solicitada información a MEGAINFORMES, la entidad dio respuesta a través de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/30 su abogado D. E.E.E., quien manifiesta que: <<PRIMERO. - En primer lugar, y en lo referente a las sedes mencionadas afirmar que esta mercantil mantiene su sede representativa y centro de sus actividades en la (C/...3), de Alicante-, si bien sólo en la Oficina n° 53 de la misma. SEGUNDO.- En cuanto al segundo requerimiento, esta entidad no posee ficheros incardinables o que estén dentro del marco de aplicación de la Ley Orgánica de Protección de Datos. Poseemos datos de clientes, que son igualmente mercantiles que contratan nuestros servicios de asesoramiento jurídico y venta y asesoramiento sobre servicios informáticos y alojamiento web. TERCERO.- En cuanto al tercero de los requerimientos, no poseemos clientes en esas adscripciones geográficas que nos detallan.>> Mediante correo electrónico se señaló al abogado de la entidad que MEGAINFORMES mantiene inscritos en el Registro General de Protección de Datos una serie de ficheros, por lo que se reiteró la solicitud de información. La respuesta dada por el representante de MEGAINFORMES ha sido elusiva, no respondiendo a las preguntas realizadas, negando tener datos personales. D. E.E.E., ha asistido como abogado del inspeccionado a diversas inspecciones realizadas tanto a SABERLOTODO, como a INFORMACIÓN PRIVILEGIADA, TRUMBIC y a D. A.A.A., por lo que es conocedor de dichas entidades, así como de la orden de inmovilización del fichero DOMICILIOS del que D. A.A.A. se ha manifestado reiteradamente como propietario del fichero y que ha sido explotado tanto por SABERLOTODO, como por INFORMACIÓN PRIVILEGIADA y TRUMBIC. 12. MEGAINFORMES tiene declarado el fichero GUIA ELECTRONICA TELEFONICA, cuya finalidad declarada es: <<DATOS OBTENIDOS DE FUENTES ACCESIBLES AL PUBLICO QUE SOLO PODRAN SER CONSULTADOS POR EMPRESARIOS ACREDITADOS CON USUARIO Y CONTRASEÑA FACILITADOS POR LA EMPRESA PREVIO PAGO DE LA CUOTA.>> Habiendo manifestando disponer de los datos: NIF/DNI, nombre y apellidos, dirección y teléfono. El anterior fichero coincide con el que fue inscrito por SABERLOTODO como fichero DOMICILIOS, cuya finalidad declarada fue: <<DATOS OBTENIDOS DE FUENTES ACCESIBLES AL PUBLICO, QUE SOLO PODRAN SER CONSULTADOS POR EMPRESARIOS ACREDITADOS CON USUARIO Y CONTRASEÑA FACILITADOS POR LA EMPRESA, PREVIO PAGO DE LA CUENTA.>> Habiendo manifestando disponer de los datos: NIF/DNI, nombre y apellidos, dirección y teléfono. Como se ve, tanto la finalidad como los datos son idénticos. 13. En el marco del expediente de actuaciones previas de inspección de referencia E/02012/2015 la mercantil MULTIGESTION IBERIA 2014, S.L.U. (en adelante MGI) ha aportado copia de un contrato fechado el 1/10/2014 con IIGC para la realización de una prueba del servicio, según el cual IIGC comercializa el servicio de provisión de datos de contacto y localización actualizados. Mediante escrito de fecha 5/10/2014 MGI encargaba a IIGC la obtención de datos de localización de una relación de 100 personas. 14. En fecha 9 de marzo de 2016 se realizó visita de inspección a MGI. Durante la misma, sus representantes realizaron las siguientes manifestaciones en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/30 respuesta a las cuestiones planteadas por los inspectores: a. ELLENDALE S.L. es una empresa propiedad de la entidad ALKALI INVENSTMENT II SARL. ELLENDALE S.L. realizó una operación societaria por la que compraba determinados activos y pasivos de MULTIGESTION IBERIA, S.A.U. (en adelante MGISAU) Entre ellos, compró la marca MULTIGESTION IBERIA, conservó la sede social anterior de MGISAU, sus clientes y proveedores, y se subrogó el personal que anteriormente prestaba sus servicios en MGISAU. Posteriormente ELLENDALE S.L. cambió su denominación social a MULTIGESTION IBERIA 2014, S.L. (MGI) Los representantes de la entidad subrayan que no se ha producido una sucesión universal de derechos y obligaciones de MGISAU. b. Para su trabajo MGI dispone de una serie de proveedores de datos de localización de los deudores a los que se les va a requerir deudas contraídas con los clientes de MGI. Entre estos figuran eInforma, DETECTIS, DETECTIVES LUCENTUM, EUROGIPSA, INCOFISA NOVAQUALITY CONSULTING e INFORMATION INTERNATIONAL GLOBAL CORP. c. Los representantes de la entidad aportan copia de dos contratos con INFORMATION INTERNATIONAL GLOBAL CORP. (IIGC) de los que se recaba copia. El primero de ellos, de fecha 1/10/2014 hace referencia a una prueba del servicio, por el que IIGC proporcionará a MGI datos de localización respecto de un máximo de 100 personas en el periodo comprendido entre 1/10/2014 y 31/12/2014. En el segundo contrato, de fecha 1/4/2015 MGI contrata el servicio de obtención de datos de contacto y localización actualizados, a través de 60 usuarios autorizados para acceder a la plataforma. Los representantes de la entidad manifiestan que conocieron a la empresa por un inversor que no pueden determinar, no disponen de documento en el que se describiese el servicio ni el volumen de información al que se les daría acceso. Informan que a pesar de que como lugar de firma del contrato figura las Islas Vírgenes Británicas, el personal de MGI no se desplazó hasta allí, sino que lo recibieron firmado y tras la firma fue remitido a IIGC. Solicitada información respecto a la forma en que fue recibido y remitido el contrato, los representantes de la entidad manifiestan no recordarlo, creen que fue por correo postal o mensajería. Solicitadas direcciones y personas de contacto, dicen no disponer de ninguno. Solicitados a los representantes de la entidad la una copia de la relación de usuarios recibida de IIGC, manifiestan no disponer de ella, ni saber dónde localizarlos. Han podido localizar un usuario y contraseña, informando que pueden tener abiertos con dicho usuario hasta 60 conexiones. Manifiestan los representantes de la entidad que apenas usan el servicio, dado que los datos no aportan valor añadido, ya que se están encontrando en páginas blancas. d. Solicitada la relación de personas facilitadas a IIGC para la realización de la prueba, informan los representantes de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/30 que dicha petición ha sido aportada en el marco de un procedimiento sancionador en curso. Solicitado copia de dicho contrato, dada la tardanza en su localización, los inspectores actuantes acceden al sistema informático de la Agencia y obtienen copia del documento, aportado en el marco del PS/00651/2015. e. Respecto de los procedimientos de requerimientos de deuda, disponen la entidad de dos servicios: - Un Call Centre en el que se reclama la deuda telefónicamente. - Un departamento de apoyo que, en distintas fases, realiza el envío de modelos de cartas a través de los servicios contratados con dos proveedores de servicios postales MEYDIS y Marketing Gestión Postal. 15. Los inspectores de la Agencia solicitan al representante de MGI que les permita el acceso a los sistemas de información de la entidad, donde se realizan las siguientes consultas: a. Desplazados al Call Centre, una persona del mismo realiza, a petición de los inspectores, un acceso a la web www.inglobaly.com, por medio un usuario y contraseña, y realiza una consulta respecto de D. F.F.F.. Se comprueba que aparecen datos de dos personas del mismo nombre. Una de ellas residente en Coruña y otra en Barcelona. Se accede a los datos de la persona que reside en Coruña. Se encuentra que en la sede aparecen datos de dos domicilios completos de la misma persona, actual y anterior. Pulsando sobre el icono del teléfono aparecen los resultados de una búsqueda con los teléfonos de vecinos de la persona buscada. b. Se realizan similares búsquedas respecto de nueve personas más elegidas al azar entre las personas de la relación que le pasó MGI a IIGC para la prueba del servicio. Entre la información a que da acceso la web www.inglobaly.com, se comprueba que se tiene acceso al nombre completo, DNI, dirección postal y anteriores, personas que viven en el mismo edificio, teléfonos de personas que residen el mismo edificio, etc. Solicitado al personal del Call Centre respecto de la forma de contacto con IIGC, informan que se contacta a través del correo electrónico que aparece en la web. Insisten los inspectores en que proporcionen algún otro dato de contacto (personas, teléfonos, direcciones) manifestando los representantes de MGI que no disponen de dicha información. Informa un miembro del Call Centre que los servicios de IIGC son ampliamente conocida en el sector. c. Desplazados al Dto. de Informática, se realizan diversas consultas en su sistema de información respecto de la información recabada de IIGC (inglobaly) no encontrándose información que permita determinar el nivel de utilización y éxito del servicio dado por IIGC. d. Desplazados al Dto. de Contabilidad, se recaban copia de la ficha del mayor de IIGC y de la única factura que consta recibida por MGI. La factura consta como emitida en fecha 30/3/2015 por los servicios del 1/4/2015 al 31/3/2016. Consta como pagada en fecha 20/5/2015. En la factura aparece una cuenta bancaria para el ingreso de los pagos. 16. Solicitada la presencia de D. G.G.G. y D. H.H.H. informan respecto del contrato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/30 - - con IIGC que no pueden aportar más detalles sobre el contrato, lo firmaron con la conformidad de sus servicios técnicos. Los representantes de la entidad manifiestan que anteriormente trabajaron en MGISAU y a través de ella conocieron a: SABERLOTODO INTERNET SL, con la que se tuvo contrato, que fue resuelto tras conocer de la inmovilización del fichero PERSONAS de esta entidad. Se trata de una errata, donde dice el fichero PERSONAS se refiere al fichero DOMICILIOS. INFORMACION PRIVILEGIADA SL, no recuerdan haber tenido relación con esta entidad. TRUMBIC CORPORATION SL, se tuvo contrato que fue rescindido. MEGAINFORMES ON-LINE SL, no recuerdan haber tenido relación con esta entidad. Los representantes de la entidad informan que su personal operativo no les ha informado de la similitud de la web www.inglobaly.com con www.trumbic.com y www.saberlotodo.com. 17. Conocida la existencia de la nueva web www.multigestión.es, en fecha 16 de marzo de 2016 se volvió a realizar visita de inspección en MGI. Los inspectores de la Agencia solicitaron al representante de MGI que les permita el acceso a los sistemas de información de la entidad, en donde se realizan las siguientes comprobaciones: a. Se solicita que se realice un intento de acceso a la web www.megainformes.es con el usuario y contraseña de que dispone MGI para acceder a la web www.inglobaly.com comprobándose que no se tiene acceso, dando como respuesta “El usuario o clave introducidos no son válidos”. Se recaba copia de las comprobaciones realizadas como documento DOC. 1. b. Se realiza un intento de acceso a la web www.inglobaly.com comprobándose que no se tiene acceso, comprobándose que no se tiene acceso, dando como respuesta “El usuario o clave introducidos no son válidos”. Se recaba copia de las comprobaciones realizadas como documento DOC. 2. c. Los representantes de la entidad informan que, tras la anterior inspección, se ha procedido a rescindir el contrato con INFORMATION INTERNATIONAL GLOBAL CORP.,(en adelante IIGC) aportando copia de un correo electrónico remitido el 14/3/2016 con el asunto “RESCISION CONTRATO” en el que comunica la intención de rescindir el contrato con la entidad. Aportan igualmente copia de la entrega del correo electrónico. Además, la misma comunicación ha sido remitida por correo postal certificado a la sede social de IIGC en las Islas Vírgenes Británicas con fecha de admisión en Correos del 15/3/2016. 18. Los representantes de MGI realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. La entidad tiene suscrito un único contrato con MEGAINFORMES ON-LINE S.L. de asesoramiento jurídico y se trata de un contrato subrogado de MULTIGESTIÓN IBERIA S.A.U. Este servicio no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/30 está usando actualmente. Aportan copia de dicho contrato así como documento de la subrogación del mismo a MGI. Sin embargo, MEGAINFORMES dijo no tener clientes en Madrid. 19. Solicitada información a CAIXABANK relativa a las personas con acceso a operar con la cuenta a través de la que MGI a IIGC pagó la factura aportada durante la inspección, la entidad informa que la cuenta es de titularidad de IIGC y la única persona con acceso a dicha cuenta es D. C.C.C., con dirección en (C/...1) de Alicante. 20. En las actuaciones previas de investigación de referencia E/6675/2012 se pudo comprobar que la entidad MGISAU tenía acceso al fichero DOMICILIOS a través de la web www.trumbic.com, y por ello se abrió el procedimiento sancionador de referencia PS/00500/2012 por la utilización de datos procedentes del fichero inmovilizado. En la información obrante en el Registro Mercantil Central se encuentra respecto de MGISAU: - Fechado el 12/02/2015, se inscribe el acto de “Nombramientos. Apoderado: MULTIGESTION IBERIA 2014 SL.” - Fechado el 05/03/2015, se inscribe un acto de “Fusión. Extinción. Sin depósito de libros” 21. De la comparación de las impresiones de pantalla obtenidas durante la inspección a MGI con las obtenidas en anteriores actuaciones de inspección respecto del fichero DOMICILIOS accesible en su día a través de www.saberlotodo.com y www.trumbic.com, se observa que la estructura de pantallas y de información que éstas proporcionan es idéntica, salvo la lógica evolución y mejora a lo largo del tiempo. A través de la web de SABERLOTODO (www.saberlotodo.com) se tenía acceso a los ficheros DOMICILIOS, AUTONOMOS y TELEFONOS. En su día quedó acreditado que a través de la web de TRUMBIC (www.trumbic.com) se tenía acceso a los mismos ficheros. Durante la inspección realizada en MGI se ha encontrado que se tiene acceso a los ficheros DOMICILIOS, AUTONOMOS y TELEFONOS. MEGAINFORNES tiene declarados los ficheros GUIA ELECTRONICA TELEFONICA, AUTONOMOS y MEGATELEFONOS cuyo contenido y finalidad coincide con el declarado en su día por SABERLOTODO para los ficheros antes citados. CUARTO: De las actuaciones practicadas en el expediente de investigación E/00728/2015 se desprende lo siguiente: Mediante Resolución de la Agencia Española de Protección de Datos de 23/02/2009 recaída en el Procedimiento Sancionador PS/00629/2008 se resolvió la inmovilización del fichero DOMICILIOS. D. A.A.A. ha venido comercializando el fichero DOMICILIOS través de diferentes entidades, con posterioridad a su inmovilización. En el PS/00146/2011 fueron sancionados tanto SABERLOTODO, D. A.A.A. y TRUMBIC tras haber comprobado que el fichero DOMICILIOS no estaba realmente inmovilizado sino que continuaba en explotación. En las presentes actuaciones se ha podido comprobar la práctica continúa y el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/30 fichero DOMICILIOS que anteriormente estuvo accesible a través de www.saberlotodo.com, y www.trumbic.com, con su correspondiente evolución, ahora está accesible desde www.inglobaly.com. Que ONO da un hosting dedicado a los servidores de la IP ***IP.1, desde donde estuvieron disponibles los servicios web de www.trumbic.com y durante las presentes actuaciones se ha comprobado que se alojan los de www.inglobaly.com, www.megainformes.es. Que dicho hosting es dedicado, está contratado por MEGAINFORMES desde una cuenta de la que anteriormente fue titular SABERLOTODO. La cuenta bancaria de pago es igualmente de MEGAINFORMES. Que los servicios de IIGC han sido contratados y utilizados por MGI, a través de los cuales tiene acceso a los datos alojados en el servicio www.inglobaly.com. MGI sucede en la actividad a MGISAU, empresa que resultó sancionada por consultar el fichero DOMICILIOS tras su inmovilización en el PS/00500/2013. Ha habido una continuidad del personal, actividad y domicilio de MGISAU en MGI, si bien MGI señala que no ha sucedido a MGISAU de forma universal en derechos y obligaciones. Existe estrecha similitud entre las pantallas de los servicios de consultas web proporcionados a través de las webs www.saberlotodo.com, www.trumbic.com, www.inglobaly.com con acceso a datos con idéntica estructura. Que MGI no ha facilitado información solicitada por la Inspección, manifestando ignorar las personas con que negociaron el contrato, como llegó el contrato, como fue remitido a la contraparte, que personas y domicilios de contacto tiene IIGC, y a que volumen de datos se les daría acceso. Han pagado una elevada suma por un servicio que manifiestan no usar, ya que la información que aparece en él consta igualmente en las guías telefónicas. Sin embargo el dato del DNI no consta en guías, ni los datos del resto de personas que viven en el mismo domicilio y no son titulares del teléfono. Que MEGAINFORMES no ha facilitado la información que le ha sido requerida, manteniendo que no dispone de datos de carácter personal, pese a tener declarados los ficheros INCIDENCIAS JURIDICAS, GUIA ELECTRONICA TELEFONICA, AUTONOMOS, MEGATELEFONOS que comercializa a terceros previo pago de una cuota y que coinciden en su descripción con los ficheros que en su día fueron declarados por SABERLOTODO y los actualmente disponibles a través de la web www.inglobaly.com. QUINTO: Con fecha 30/03/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a A.A.A. ( A.A.A. en adelante), INFORMACION INTERNACIONAL GLOBAL CORP y MEGAINFORMES ONLINE S.L., con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, ( RDLOPD en adelante), por la presunta infracción del artículo 37.1

1. f)en relación con el artículo 49 ambos de la LOPD, tipificada como muy grave en el artículo 44.4
2. c)de la citada Ley Orgánica y a MULTIGESTION IBERIA 2014 A.L.U., con arreglo a lo dispuesto en el artículo 127 del RDLOPD de por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
3. b)de la citada Ley Orgánica. SEXTO: En fecha de 26/04/2016 MULTIGESTION IBERIA 2014 S.L. (MGI2014 en adelante) formulo alegaciones, en las que manifestaba, en síntesis lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/30 -primera inspección: el objeto de la inspección era la relación de MGI2014 con INFORMATION INTERNATIONAL GLOBAL CORPORATION (IIGC en adelante) sobre la relación contractual de 1/10/2014 (contrato piloto) para realizar 100 localizaciones entre el 1/10/2014 y 31/12/2014, en cuyo expositivo se establecía en que consistía la prueba piloto. También se aportó el contrato de MGI2014 con IIGC de fecha 1/04/2015. También se localizó un contrato con TRUMBIC CORPORATION (TRUMBIC en adelante) de fecha 30/11/2009 resuelto en 31/01/2013 con MULTIGESTION IBERIA SAU,- entidad diferente de MGI2014. -segunda inspección: cuyo objeto era la vinculación IIGC con la entidad MEGAINFORMES ONLINE S.L. (MEGAINFORMES en adelante). En este caso consta un contrato de asesoramiento jurídico suscrito entre MULTIGESTION en el que se subrogó MGI2014. Este contrato nada tiene que ver con el contrato de localización de domicilios. Dicho contrato se resolvió tal como se acredita mediante la aportación de las comunicaciones al efecto. Asimismo se intentó acceder a la plataforma web de IIGC y a la de MEGAINFORMES con las claves facilitadas a MULTIGESTION, pero ya estaban bloqueadas al haberse resuelto el contrato. Asimismo MGI2014 nunca tuvo un contrato de localización con MEGAINFORMES desconociendo que dicha entidad tuviese pagina web. -MGI2014 y MULTIGESTION son empresas distintas, sin que se pueda imputar a una las actuaciones de la otra. En el acuerdo de inicio se hace constar la relación entre a MULTIGESTION con TRUMBIC y el procedimiento sancionador que en su día se instruyó por el acceso al fichero DOMICILIOS a través de la web www.trumbic.com, debiendo resaltarse que MGI2014 es una empresa de nueva creación, que se constituyó en fecha 7/1/2014 con el nombre de ELLENDALE, SL. y que posteriormente adquirió los activos y pasivos de MULTIGESTION. Son empresas distintas con CIF distintos. MGI2014 no ha tenido sanciones anteriores y desconoce si las empresas SABERLOTODO, TRUMBIC etc., tienen o no relación con IIGC. De la firma del contrato de MGI2014 con IIGC no se podía sospechar la relación de esta última con las anteriores. Nadie se percató que había similitudes entre la plataforma objeto de inmovilización por la AEPD y la de IIGC, máxime cuando era un servicio que apenas se utilizaba y se mantenía activo con una contraseña que fue bloqueada cuando hubo sospechas de su ilegalidad. -falta de denuncia a MULTIGESTION y falta de prueba de los hechos que se imputan. No se ha probado que MGI2014 usara la plataforma web investigada ni hay denuncia que motive la inspección realizada contra la mercantil. MULTIGESTION ya tiene un procedimiento abierto por la AEPD por utilizar información derivada del contrato piloto de 1/10/2014- PS/00651/2015- la información se recibió directamente de IIGC y no empleando la plataforma web causante del presente expediente, a la que nunca ha tenido acceso. A excepción de la prueba piloto antes citada no ha tratado datos personales localizados a través de la plataforma IIGC. Por lo tanto estamos ante un non bis in ídem, ya que los únicos hechos por los que se puede vincular a MULTIGESTION ya están siendo conocidos en el procedimiento antes referenciado cuyo tratamiento es el del sr. F.F.F., recabados de IIGC en respuesta al encargo de obtención de datos efectuado el 5/10/2014. Estos datos son los que los inspectores buscaron en primer lugar en la inspección realizada, de lo que se desprende que está investigando dos veces los mismos hechos, y pretende castigarlos doblemente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/30 -empleo de diligencia en la actuación de MGI2014 al haber cancelado los contratos con IIGC. -con carácter subsidiario, concurrencia del supuesto del art. 45.5 LOPD SÉPTIMO: Con fecha de 25/04/2016 tiene entrada un escrito de MEGAINFORMES ONLINE, S.L. en el que formula las siguientes alegaciones: Ausencia de culpabilidad. No utilizan datos personales de terceros ni ha sido requerida conforme previene la LOPD en su art. 49 LOPD. MEGAINFORMES es una entidad distinta a INFORMACION INTERNACIONAL GLOBAL CORP y a A.A.A.. No realiza más alegaciones a la espera de recibir la copia del expediente. OCTAVO: Mediante diligencia de instrucción de 26/04/2016 se remitió la copia del expediente a MEGAINFORMES ONLINE, S.L., siendo recibida en fecha de 03/05/2016 (Folios 738 a 739) sin que haya presentado nuevas alegaciones. NOVENO: Con fecha de 26/07/2016 se incorporó como prueba documental lo siguiente: -La documentación obrante en el expediente E/728/2015 y las alegaciones al acuerdo de inicio presentadas por MULTIGESTION IBERIA 2014, S.L.U., y MEGAINFORMES ONLINE y la documentación que acompañan. -Se incorporan las siguientes resoluciones: I.Sentencia de la Audiencia Nacional 2/2011 de 15/03/2013. II.Sentencia del Tribunal Supremo- STS – Rec. Casación 1651/2013 de 08/06/2015 III.STS Rec. Casación 5157/2009 de 27/06/2012. IV.SAN 594/2009 de 6/06/2012. V.SAN 428/2009 de 30/04/2010. VI.SAN 177/2009 de 28/10/2010 VII.Auto Aclaración AN 177/2009 de 2/12/2010 VIII.STS Rec. Casación 1286/2011 de 22/10/2013 IX.SAN 179/2013 de 12/12/2013. X.SAN 183/2009 de 20/05/2010 XI.STS Rec. Casación 4152/2010 de 14/11/2012. XII.SAN 358/2008 de 25/03/2009 XIII.STS Sala Especial A61/15/2012 de 20/05/2013 XIV.Resolución R/01320/2016 recauda en el procedimiento PS/00651/2015. -Se incorpora la impresión del asiento del Registro Mercantil Central de la empresa MULTIGESTION IBERIA, S.A. -Se incorpora el Contrato de Prestación de Servicios de 30/11/2009 entre MULTIGESTION IBERIA, S.A., y TRUMBIC CORPORATION, S.L. obtenido del procedimiento PS/00398/2013. -Se incorpora la resolución R/00537/2014 recaída en el procedimiento PS/00500/2013 y la copia del folio 56 que hace referencia a un documento presentado por MULTIGESTION IBERIA SAU en el trámite de alegaciones a dicho procedimiento, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/30 contiene una captura de pantalla del fichero explotado por TRUMBIC a traes de la web www.trumbic.com DECIMO: En fecha de 9/08/2016 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de: I.Que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE EL PROCEDIMIENTO SANCIONADOR a INFORMATION INTERNATIONAL GLOBAL CORP., y a A.A.A., por la caducidad de las actuaciones previas de inspección, de acuerdo con lo dispuesto en el art. 122.4 RDLOPD. II.Que por la Directora de la Agencia Española de Protección de Datos se sancione a MEGAINFORMES ON-LINE S.L con multa de 300.001 (tres cientos mil un euro) €) por la infracción de los artículos 44.4
4. c)de la LOPD, tipificada como muy grave en el artículo 44.4
5. c)de dicha norma. III.Que por la Directora de la Agencia Española de Protección de Datos se sancione a MULTIGESTION IBERIA 2014, S.L.U. con multa de 40.001 € (cuarenta mil un euro) por la infracción de los artículos 6 de la LOPD, tipificada como grave en el artículo 44.3
6. b)de dicha norma. UNDÉCIMO: En fecha de 31/08/2016 MULTIGESTIÓN IBERIA 2014, S.L.U formuló, en síntesis, las siguientes alegaciones: MGI2014 es una empresa de nueva creación que compro activos y pasivos de MGI, pero se trata de personas jurídicas distintas independientes una de otra. No estamos ante una fusión por absorción o cesión global de activo y pasivo, por lo que es inexacto afirmar que MGI es sucesora universal de MGI2014. De dicha adquisición de activos y pasivos no puede presumirse que la adquiriente conociera hechos producidos años atrás. Sólo una parte del personal de MGI paso a MGI2014, y en concreto el personal de operaciones que se encarga de labores de localización ha variado sustancialmente respecto del que estuvo en las fechas en que MGI contrato con TRUMBIC. Los contratos de MGI con TRUMBIC los firmaron personas distintas del contrato de MGI2014 con IIGC, en definitiva no puede presumirse con los pantallazos de la página web de TRUMBIC se pudiera advertir su semejanza con la de IIGC. No se ha probado que MGI2014 hubiese tratado los datos e la web IIGC ni que hubiese accedido a dicha plataforma, únicamente consta el encargo de obtención de datos a IIGC de 5/10/2014 y el listado de localizaciones remitido por IIGC y fechado a 10/10/2014. Únicamente consta tratado por parte de Multigestión es el causante del PS/00651/2015 por usar información recibida del contrato de prueba piloto suscrito con IIGC a 1/10/2014 para el envío de una carta. Resulta inexacto afirmar que MGI2014 accediese a 100 registros a través de la página web de IIGC. Los 100 registros fueron recibidos con fecha 10/10/2014 y no como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/30 consecuencia de acceder a la web. No hay indicio alguno que permita acreditar que se accediese a la web de IIGC, más allá de la posibilidad de acceder a la misma. Vulneración principio non bis in ídem, en relación con el expediente PS/651/2015 y el presente caso. Ausencia del elemento subjetivo de la infracción a MGI2014. Ya que al contrario de lo que se afirma en la propuesta de resolución, no se tenían elementos que permitieran conocer que los datos a los que iba a acceder a través de IIGC podían no ser legales. MGI2014 actuó con diligencia al rescindir el contrato con IIGC a pesar de que no podía imaginar que alguien como el responsable del fichero DOMICILIOS siguiera utilizando el mismo tras las resoluciones de la AEPD. Subsidiariamente la aplicación del art. 45.5 LOPD, remisión al escrito de alegaciones al acuerdo de inicio. No es infracción continuada, no hay perjuicios a interesados ni terceros,, existen procedimientos implantados adecuados tendentes a cumplir la LOPD, regularización diligente que no se apreció en la propuesta de resolución. Falta de proporcionalidad de la sanción. No puede imponerse la misma sanción a quien ha regularizado diligentemente la situación que a quien no adopta ninguna medida o lo hace con mayor dilación. A MEGAINFORMES ONLINE se le impone la multa mínima para las infracciones graves cuya actitud ha sido siempre obstaculizadora y evasiva con la justicia. DUODÉCIMO: En fecha de 06/09/2016, MEGA INFORMES ONLINE S.L., formuló, en síntesis, las siguientes alegaciones: Lo esencial en este procedimiento sancionador es que no se ha conseguido por parte de la AEPD notificar para que comparezca en el seno del presente procedimiento al propietario del presunto fichero inmovilizado y que según criterio de la AEPD es utilizado por MEGA INFORMES sin que articule ninguna prueba directa sobre dicho hecho. Toda la prueba es indiciaria y el requerimiento de inmovilización es también "objetivo", incumpliéndose con ello la Ley. Instamos que sea citado de forma conveniente y que se cumplan los preceptos legales para ello, citándosele, por edictos como previene la Ley, circunstancia que no se ha realizado en el presente procedimiento. El testimonio del Sr. A.A.A. es esencial para que determine dos hechos básicos: el estado actual de inmovilización del fichero y que esta mercantil no ha realizado uso alguno del fichero propiedad de su propiedad. Entre la documentación adherida al procedimiento sancionador no está, la correspondiente al Procedimiento Sancionador n° PS/ 146/2011, puesto que en el mismo se dirimió una anterior sanción a varias de las partes comparecientes en el presente proceso sobre los mismos hechos que ahora se sancionan. Que se aporte a la causa los justificantes de cumplimiento de la LRJPAC en lo referente a la notificación por edictos, cuando se presenten las circunstancias tipificadas en el art. 59.5 de la LRJPAC, a las demás partes habidas en el procedimiento, concretamente la mercantil INFORMATION INTERNATIONAL GLOBAL CORP, así como también a D. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/30 A.A.A.. Nos ha sido notificada la propuesta de resolución del mismo con anterioridad al escrito que da trámite a esta parte a articular la prueba conforma a lo establecido en el Art. 17.1 del real decreto 1398/ 1993, de 4 de agosto. DECIMOTERCERO: de las actuaciones practicadas han quedado acreditados los siguientes HECHOS PROBADOS UNO.- Mediante resolución 23/02/2009 recaída en el Procedimiento PS/0629/2008, se declaró la inmovilización del fichero DOMICILIOS que se explotaba por las entidades SABERLOTODO INTERNET, S.L., TRUMBIC e INFORMACION PRIVILEGIADA, respecto de las que A.A.A. ha sido administrador, apoderado y representante en distintas actuaciones de esta Agencia. DOS.- MEGAINFORMES ONLINE, S.L. y IIGC son conocedoras de la resolución de inmovilización del fichero DOMICILIOS, de acuerdo con la vinculación de A.A.A. con las citadas entidades (ex administrador, domicilios de contacto de los servicios de telecomunicaciones coincidente, líneas de teléfono y otros servicios contratados por las citadas empresas) TRES.- Resulta acreditado que a través de la página web www.inglobaly.com se ofrece un servicio de consulta de datos personales. La estructura de la información, la página principal y los menús y submenús de la citada web, coinciden con el servicio ofrecido por TRUMBIC en la explotación del fichero DOMICILIOS. CUATRO.- Resulta acreditado que hasta al menos el 8/08/2016 intentado el acceso a la web www.trumbic.com la navegación es redireccionada a www.inglobaly.com. CINCO.- En un acceso a la web www.inglobaly.com se ha encontrado que aparece como responsable INFORMATION INTERNATIONAL GLOBAL CORP., con domicilio en (C/...2)| British Virgin Islands, dicha sociedad tiene CIF y domicilio fiscal en España. Aparece como teléfono de contacto 902****** y como dirección electrónica de contacto .....@inglobaly.com. Según ha informado la operadora el número 902****** ha sido contratado por IIGC con domicilio de contacto en (C/...1) que coincide con el domicilio aportado por MEGAINFORMES ONLINE en la inscripción en el RGPD. SEIS.- www.inglobaly.com Informa que los servicios on-line que presta son, entre otros, Localización de viviendas y sus residentes, que coincide exactamente con los datos que recoge el fichero inmovilizado DOMICILIOS. SIETE.- En la dirección IP ***IP.1 que aloja el servidor web www.inglobaly.com estuvo alojado anteriormente www.trumbic.com y actualmente también está alojado el servidor web www.megainformes.com. la citada dirección IP aloja un servicio de hosting dedicado que significa que la información que contiene es únicamente gestionada por el titular del servicio, en este caso MEGAINFORMES ON LINE S.L. OCHO.- En el Informe de Actuaciones Previas de Inspección consta que el sitio web www.megainformes.es aparecía redirigido a www.inglobaly.com. Una consulta al DNS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/30 arroja como resultado que el titular del dominio megainformes.es es MEGAINFORMES. Posteriormente esta redirección se ha quitado y aparece una web cuyo responsable declarado es MEGAINFORMES. NUEVE- MEGAINFORMES ONLINE S.L., tiene declarado en el RGPD el fichero GUIA ELECTRONICA TELEFONICA que coincide en cuanto a los datos que tiene y la finalidad, con el que fue inscrito por SABERLOTODO como “DOMICILIOS” y que fue objeto de inmovilización. DIEZ.- MULTIGESTION IBERIA SAU ha sido sancionada en la resolución R/00537/2014 de fecha 13/03/2014 en relación con el tratamiento de datos procedentes del fichero DOMICILIOS en ejecución se su contrato con TRUMBIC. ONCE.- Resulta acreditado que MULTIGESTION IBERIA SAU contrato el servicio de localización de personas con TRUMBIC, accediendo a dicha información a través de la página web de ésta – www.trumbic.com , cuyas características constan en el folio 973 y coinciden con el servicio que presta IIGC a trasvés de la página web de esta – www.inglobaly.com- a MULTIGESTION IBERIA 2014, SAU en cuanto a estructura de la información, interface, menús, y submenús. DOCE.- MULTIGESTION IBERIA 2014 S.A.U sucedió en derecho y obligaciones a MULTIGESTION IBERIA S.A.U., (con los mismos administradores, domicilio social y asesoría jurídica) resultando probado que tuvo acceso a la web www.inglobaly.com como cliente. TRECE.- En ejecución del contrato de fecha 1/10/2014 entre MULTIGESTION IBERIA 2014, SAU e IIGC (folio 304 y siguientes), aquella accedió a 100 registros –nombre, apellidos y DNI – (folio 312). FUNDAMENTOS DE DERECHO 01. Competencia para resolver. Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. 02. Caducidad de las Actuaciones Previas de Investigación El art. 122.4 del RDLOPD establece lo siguiente: 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/30 Según consta en los folios 30 a 34 del expediente, las presentes actuaciones se iniciaron por Resolución del Director de la AEPD de fecha 31/03/2015 lo que determinara el dies a quo del cómputo de la caducidad, y el dies ad quem será el 31/03/2016. Pues bien, respecto de A.A.A. hay que señalar, se intentó la notificación en dos domicilios que constan en el expediente: En los folios 500 a 502 y 560 a 561 se acredita que los intentos de notificación se produjeron en fechas de 8 y 11 de abril de 2016 por la Sociedad Estatal Correos y Telégrafos. En los folios 522 y 514 consta el informe de seguimiento de la entidad ENVIALIA con incidencias del día 31/03/2016 constando DIRECCION INCORRECTA respecto del cual no puede establecerse que ha sido intentada la notificación de acuerdo con el art. 58.4 LRJPAC. Respecto de IIGC, consta en los folios 579 a 581, el informe de seguimiento de la entidad ENVIALIA con una incidencia de fecha 31/03/2016 constando DESTINATARIO DESCONOCIDO y la acreditación de que la Sociedad Estatal Correos y Telégrafos intento la notificación en fecha de 4/04/2016, siendo finalmente devuelta la notificación por DESCONOCIDO. Respecto de la primera incidencia, no puede establecerse que ha sido intentada la notificación de acuerdo con el art. 58.4 LRJPAC, y respecto de la segunda, ha sido realizada fuera del plazo. Por todo ello procede declarar la caducidad de las actuaciones previas respecto de A.A.A. e IIGC, todo ello sin perjuicio de la prescripción de las infracciones imputadas y la posibilidad de incoar actuaciones de investigación. 03. Sobre las personas y entidades imputadas por vulneración del art. 37.1
8. f)tipificada en el art. 44.4
9. c)en relación con el art. 49 todos ellos de la LOPD. Establece el art. 37.1
10. f)de la LOPD, en relación con las funciones de la AEPD, lo siguiente: (…) Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones. (…) Establece el art. 49 de la LOPD lo siguiente: (…)En los supuestos constitutivos de infracción grave o muy grave en que la persistencia en el tratamiento de los datos de carácter personal o su comunicación o transferencia internacional posterior pudiera suponer un grave menoscabo de los derechos fundamentales de los afectados y en particular de su derecho a la protección de datos de carácter personal, el órgano sancionador podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, el órgano sancionador podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas (…) Establece el art. 44.4
11. c)de la LOPD lo siguiente: No cesar en el tratamiento ilícito de datos de carácter personal cuando existiese un previo requerimiento del Director de la Agencia Española de Protección de Datos para ello (…) En el presente caso debe tenerse en cuenta que mediante resolución del Director de la Agencia Española de Protección de Datos de fecha 23/02/2009 – C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/30 PS/00629/2008-, se acordó (…) Acordar la inmovilización del fichero “DOMICILIOS”, del que es responsable la entidad SABERLOTODO INTERNET, S.L., que queda obligada a cesar en la utilización y cesión de los datos de carácter personal registrados en el mismo, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilitado. Esta inmovilización del fichero deberá mantenerse hasta que por parte de dicha entidad se acredite debidamente ante esta Agencia Española de Protección de Datos la cancelación de todos aquellos datos personales que no hubiesen sido recabados de los propios afectados, y con su consentimiento, o que no procedan de fuentes accesibles al público y, especialmente, los datos personales obtenidos del censo de población y de padrones municipales de habitantes, o bien facilitados por la entidad Detectives Lucentum, S.L., o recabados por el propio representante de la entidad imputada en el ejercicio de una actividad privada. (…) Dicha resolución fue notificada a SABERLOTODO INTERNET, S.L., cuyo administrador es A.A.A.. Con posterioridad se acreditó la utilización de dicho fichero por parte de la entidad y de su administrador a través de otras sociedades, por lo que, tal como se advertía en la resolución parcialmente transcrita, se sancionó a SABERLOTODO INTERNET, S.L., y a A.A.A. tras la tramitación del oportuno expediente sancionador (PS/00146/2011). En concreto respecto de A.A.A. resulta probado que intencionadamente y con el claro propósito de eludir la medida decretada, llevo a cabo diversas actuaciones con la finalidad de que se mantuviera la prestación del servicio de acceso a la base de datos “Domicilios” por parte de terceros, clientes de SABERLOTODO, que supone la cesión de los mismos a tales clientes, prohibida en la Resolución que acordó la inmovilización del fichero. Entre otras acciones que se detallan en los hechos probados, el imputado realizó cambios societarios, formalizó contratos e, incluso, pretendió la modificación del titular del fichero “domicilios” que consta en la inscripción del mismo en el Registro General de Protección de Datos. Frente a la resolución que resolvía el PS/00146/2011, por A.A.A. se interpuso Recurso Contencioso-Administrativo (Rec. Núm. 002/2011) por entender que no fue parte en el procedimiento donde se resolvió la inmovilización y por tanto la imposición de la sanción por desatender la inmovilización, según alega, le causo indefensión. Posteriormente se interpuso Recurso de Casación ante el Tribunal Supremo que resolvió la controversia por Sentencia de 8 junio 2015 (Recurso de Casación 1651/2013, dictado por la Sección 7ª de la Sala de lo Contencioso .RJ\2015\4814), donde en síntesis, vino a determinar que aunque en el procedimiento donde se requirió la inmovilización del fichero no fue parte A.A.A., no puede obviarse que era pleno conocedor de dicha medida, y a pesar de ello continuo explotando dicho fichero. Es conveniente traer a colación, por su claridad y aplicación al caso concreto, determinados párrafos de la citada Sentencia: FD6º (…) Pues bien, aquí sucede que don A.A.A. admitió haber tenido conocimiento de la inmovilización de su fichero "DOMICILIOS", del cual, además, es el encargado de los tratamientos según consta en el Registro General de Protección de Datos, y no ha desvirtuado las imputaciones de la Agencia Española de Protección de Datos que señalan la continuidad en la actividad de ese fichero pese a la existente orden de inmovilización y su concreta responsabilidad al respecto. Por otro lado, es cierto que, como apunta el Abogado del Estado, esa inmovilización tiene una naturaleza objetiva pues sirve para evitar la vulneración del derecho a la protección de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/30 constitutiva de infracción grave o muy grave originada por tratamientos contrarios a la Ley Orgánica. Su razón de ser no descansa, pues, en la cualidad de un determinado sujeto, no responde a criterios sentados intuitu personae sino a la continuidad de tratamientos ilícitos y a su carácter lesivo del derecho fundamental. De ahí que consista en la prohibición de que se use el fichero inmovilizado. Estas características de la inmovilización se perciben con absoluta claridad en este caso porque la orden de cese de los tratamientos del fichero "DOMICILIOS" obedece a que los datos personales obrantes en él se obtuvieron de manera ilegítima. Establecidas estas premisas, vemos que se ha dado el presupuesto de hecho contemplado por el artículo 44.4
12. d)de la Ley Orgánica 15/1999 (RCL 1999, 3058) : existía un previo requerimiento de la Agencia Española de Protección de Datos y, sin embargo, no se cesó en el tratamiento de los datos del fichero "DOMICILIOS". Y ese requerimiento, aunque no se le hizo personalmente a don A.A.A., ni podía ser desconocido por éste --en cuanto Administrador Único de SABERLOTODO, encargado de los tratamientos del fichero y, según destacó en el expediente, propietario del mismo-- ni, de hecho, lo desconoció. Al contrario, era plenamente consciente de él tal como ha admitido. (…)(El subrayado es de la AEPD) De lo expuesto se deduce con claridad que la orden de inmovilización del fichero se vulnera – conducta prevista en el art.44.4
13. c)LOPD - cuando se ha tenido conocimiento de la misma, y a pesar de ello se utiliza dicho fichero. A. Procede ahora el análisis de si las entidades imputadas en el presente procedimiento, han sido conocedoras de tal circunstancia y determinar su grado de responsabilidad. (Respecto de A.A.A. no se estima necesario dicho análisis por ser la misma persona). Con carácter previo hay que señalar para su mejor análisis, que A.A.A. es administrador de SABERLOTODO INTERNET, S.L., y respecto de TRUMBIC aunque no figura en el Registro Mercantil Central, (RMC en adelante) como tal, ha actuado como representante de dicha entidad en multitud de actuaciones de esta Agencia y en la información que aportan las operadoras consta A.A.A. como persona de contacto asociada a TRUMBIC. Además es la entidad que junto con INFORMACION PRIVILEGIADA explotaban comercialmente el fichero DOMICILIOS a través de www.saberlotodo.com y www.trumbic.com y sobre el que se resolvió la inmovilización del fichero. (Folio 29) De la información que consta en el RMC, respecto de MEGA INFORMES ON LINE, S.L. figura con constitución y primera inscripción datada en 2007, en que se inscribe a A.A.A. como administrador de la misma, estableciéndose como primer domicilio social la (C/...1) (Alicante), hasta que en fecha de 03/11/2009 le sucede en el cargo J.A.E.B., y en el año 2013 le sucede INMACULADA E.B., para finalmente en el año 2014 volver a ostentar el cargo a J.A.E.B. Es decir, A.A.A. deja de ser administrador en fecha de 03/11/2009, con posterioridad y por tanto, con conocimiento de que se ha resuelto la inmovilización del fichero y se ha interpuesto dos sanciones a la entidad de la que es administrador (SABERLOTODO INTERNET, S.L.). En conclusión el administrador de MEGAINFORMES ONLINE, S.L., era conocedor de la inmovilización del fichero por lo que las actuaciones de MEGAINFORMES en relación con el mismo no pueden dejar de observar tal circunstancia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/30 Por otro lado, respecto de IIGC, la conexión con A.A.A., con MEGAINFORMES y con el entramado de empresas que éste ha utilizado para explotar comercialmente el fichero DOMICILIOS – como INFORMACION PRIVILIEGIADA de la que es administrador- , debe tenerse en cuenta que de lo señalado en los puntos 1 a 12 del Informe de Actuaciones Previas de Inspección E/00728/2015 obrante en los folios 396 a 403, se extrae sin asomo de duda que IIGC es conocedora de la prohibición de uso del fichero DOMICILIOS. A este respecto cabe destacar que: En inglobaly.com consta como contacto telefónico la línea 902****** que ha resultado que el operador de telecomunicaciones que presta el servicio informo que el domicilio de la empresa titular del mismo- IIGC- es (C/...1), C (Alicante), es decir, el mismo domicilio de MEGAINFORMES ON LINE en su constitución. (Folios 35 -71-280) y el mismo domicilio donde esta domiciliada la cuenta de TRUMBIC. El operador de telecomunicaciones informo que la línea 902****** se redirecciona a la línea ***TEL.1 y que resulta ser la utilizada como numero de contacto con SABERLOTODO, TRUMBIC, A.A.A., IICG y con MEGAINFORMES. (Punto 8 del Informe de Actuaciones Previas E00728/2015 folio 401) B. Por tanto, una vez acreditado que las personas y entidades imputadas por la utilización del fichero inmovilizado son conocedoras de tal prohibición, procede el análisis de los elementos que determinen la explotación y uso del mismo, al margen de la resolución de inmovilización de esta Agencia. En el folio 19 consta la captura de pantalla del fichero que se explota a través de www.trumbic.com con los datos de la denunciante en las actuaciones E/03971/2013. Las evidencias que permiten afirmar que el fichero explotado a través de www.inglobaly.com es el fichero inmovilizado y que se explotaba a través de los sitios web www.saberlotodo.com y www.trumbic.com, además de las coincidencias de las personas responsables, domicilios, líneas de teléfono, etc.,, se pueden resumir en: Al acceder a la web trumbic.com se redirecciona la navegación a inglobaly.com, asimismo ambas páginas web utilizan el mismo servicio de anonimización de datos y ambos dominios esta direccionados a la dirección IP ***IP.1 y que es la dirección donde está actualmente alojado el servidor web de www.megainformes.com. Entre los servicios que presta inglobaly.com consta – localización de viviendas y sus residentes -, que coincide exactamente con los datos que recoge el fichero inmovilizado DOMICILIOS. En cuanto a MEGAINFORMES debe tenerse en cuenta la información que consta en el punto 12 del Informe de Actuaciones Previas de Inspección E/00728/2015, done se evidencian que tanto la finalidad del fichero como el tipo de datos que contenía el fichero inmovilizado DOMICILIOS son las mismas que el fichero que tiene inscrito en el RGPD la citada entidad, en cuanto a la tenencia material del fichero – y explotaciónpor parte de MEGAINFORMES debe tenerse en cuenta lo señalado en el punto 3 del acuerdo de inicio donde consta que la dirección IP que aloja el servidor web de megainformes.com es la misma que alojaba el servidor web de trumbic.com. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/30 Asimismo el operador ONO ha informado que la dirección IP ***IP.1 es estática y aloja un hosting dedicado, lo que implica que las tres páginas web www.trumbic.com , www.inglobaly.com y www.megainformes.es a través del servidor que se aloja en la dirección IP citada, tienen acceso al fichero DOMICILIOS, es decir, se alberga físicamente el fichero DOMICILIOS. El servicio de hosting dedicado contratado por MEGAINFORMES significa que el cliente administra directamente el servidor. Llegados a este punto, respecto de la tenencia y uso del fichero DOMICILIOS por parte de MEGAINFORMES, conviene señalar la virtualidad de la prueba indiciaria cuya admisión en el procedimiento administrativo sancionador se admite en la Sentencia del Tribunal Constitucional núm. 45/1997 (Sala Primera), de 11 de marzo (RTC 1997,45). Así los requisitos necesarios para su admisión vienen desarrollados, con cita de la doctrina del Tribunal Supremo, por la Sentencia del TSJ de Andalucía, núm. 255/2003 de 27 de enero, que dice: “Sobre ella precisar que la jurisprudencia constitucional y la de la Sala 2ª del TS han perfilado los requisitos necesarios para que la prueba indiciaria pueda ser apreciada como tal y que pueden resumirse en los siguientes extremos: 1º- Que el hecho base no se único, pues uno solo podría inducir a error – STC núm. 111/1990 de 18 de junio (RTC1990, 111); 2º- Que estos hechos estén directamente acreditados – SSTS de 18 y24 de enero de 1991 ( RJ 1991,282)- ; y 3º Que la inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general – STC 107/1989 de 8 de junio y 510/1989 de 10 de marzo ( RTC 1985,510) …………” En cuanto al primer requisito, constan varios indicios respecto de la utilización por parte de MEGAINFORMES del fichero inmovilizado: 1. existen conexiones evidentes entre las personas y recursos ( líneas de teléfonos, domicilios, IP, asesoría jurídica, etc.,.) que están tras TRUMBIC, IIGC y la citada entidad. 2. La definición, origen y finalidad del fichero inscrito en el RGPD por parte de MEGAINFORMES coincide plenamente con el que fue inscrito por SABERLOTODO, es decir, el fichero inmovilizado –DOMICILIOS-. 3. La dirección IP que aloja las páginas web trumbic.com, inglobaly.com y megainformes.es es la misma. Ésta dirección IP es estática, lo que implica que es contratada para que sea siempre la misma, y aloja el servidor donde se ha acreditado, la explotación del fichero DOMICILIOS a través de inglobaly.com, lo que implica que “físicamente” – por encontrarse en el servidor el citado fichero esta accesible a través de la web megainformes.es cuya administración – y la de cualquier servidor que “cuelgue” de la dirección IP ***IP.2 corresponde en exclusiva a MEGAINFORMES. 4. La comprobación del Inspector actuante que verifico que accediendo a la web megainformes.es se redirigía la navegación a inglobaly.com, sin perjuicio de que en la actualidad se ha quitado. En cuanto al segundo requisito, hay que señalar que los indicios apuntados están plenamente acreditados y finalmente, en cuanto al último, no dichas evidencias no quebrantan las reglas de la lógica, disciplina alguna o la experiencia general. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/30 MEGAINFORMES ONLINE presento escrito de fecha 6/09/2016 en el que alega diversas cuestiones reflejadas en el antecedente de hecho Duodécimo de la presente resolución, frente a lo que hay que señalar: En primer lugar, debe señalarse que aunque no corresponde a dicha mercantil indicar el modo en que se practican las notificaciones, ya que es determinado ex lege – de acuerdo con los arts. 58 y siguientes de la LRJPAC- consta en el expediente debidamente acreditados los intentos de notificación tal como prevé la norma en los folios 483 a 562 en tres domicilios conocidos de A.A.A.. En segundo lugar, consta incorporado al expediente las resoluciones judiciales que están relacionadas con la actividad de A.A.A. y sus empresas con la inmovilización del fichero DOMICILIOS, por lo que no se justifica la incorporación de las actuaciones realizadas en el PS/000146/2011 ya que las sentencias citadas en los folios 740 a 865, analizan los hechos y fundamentos de derecho derivados de dicho expediente sancionador, por lo que en la medida en que afecta al presente procedimiento, se ha tenido en cuenta, tanto es así, que expresamente se analizó en la propuesta de resolución en el Fundamento de Derecho 2 –por tanto no se explica la alegación en ese sentido- y en la presente Resolución en el Fundamento de Derecho 3. En tercer lugar, idénticas consideraciones a las expuestas en párrafos anteriores merece la solicitud de MEGAINFORMES respecto de las notificaciones realizadas a IIGC cuyas circunstancias consta en los folios 563 a 584 y 1059 a 1077. En cuarto y último lugar, es irrelevante a la circunstancias apuntada por MEGAINFORMES ONLINE, respecto de la notificación de la propuesta de resolución, con anterioridad al escrito de prueba ex art. 17.1 LRJPAC, en la medida en que tal como se advierte en el acuerdo de inicio, el momento procedimental para solicitar la práctica de la prueba acontece junto a las alegaciones formuladas al inicio del procedimiento. En el presente caso MEGAINFORMES ONLINE presentó escrito en fecha de 25/04/2016 (folio 735 y siguientes) sin que solicitara la práctica de diligencia probatoria alguna. Asimismo la notificación de los escritos de Propuesta de Resolución y acuerdo de periodo de prueba, obedece al orden procedimental determinado por la norma, siendo una cuestión ajena a esa Agencia, la circunstancia de que un escrito llegara antes que el otro ya que como consta en los folios 896 a 896 bis – respecto del trámite de prueba- y en los folios 975 y siguientes – respecto del escrito de Propuesta de Resolución- a aquel se le dio salida con anterioridad a este último. MEGAINFORMES ONLINE no explica la razón por la que acontece s.i.c. un grave error, ya que los derechos procedimentales que otorga el Reglamento del Ejercicio de la Potestad Sancionadora (RD/1398/1993 de 4 de agosto) permanecen intactos. Por lo expuesto, resulta acreditado que IIGC, y MEGAINFORMES ONLINE, S.L., son conocedoras de la inmovilización del fichero DOMICILIOS y a pesar de ello lo explotan comercialmente, lo que le hace responsable de la infracción prevista en el art. 44.4
14. c)de la LOPD en relación con el art. 49 de la misma norma. 0.4 Sobre el incumplimiento del art. 6 de la LOPD y la conducta típica prevista en el art. 44.3
15. b)de la LOPD. Se imputa a MGI2014 la infracción del art. 6 de la LOPD que determina: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/30 MGI2014 sostiene, en sus alegaciones formuladas al acuerdo de inicio y en las formuladas a la propuesta de resolución, que es una persona jurídica distinta de MULTIGESTION IBERIA, S.A. y que por tanto la vinculación de MGI2014 con el procedimiento sancionador incoado por la relación jurídica entre TRUMBIC y MULTIGESTION IBERIA, S.A., les es del todo ajena y no tienen elementos para deducir que la contratación con IIGC tiene por objeto la explotación del fichero que tenía TRUMBIC para su objeto de negocio. Frente a ello cabe señala que si bien MGI2014 y MULTIGESTION IBERIA, S.A., son personas jurídicas distintas, no puede obviarse que una se subrogó en la otra y que los responsables de ambas entidades son las mismas personas, y comparten objeto social y domicilio. Además tal como se expondrá a continuación, MGI2014 no puede alegar que no tenía elementos que hicieran sospechar que el fichero de TRUMBIC es el mismo al que accedía a través de IIGC, en concreto: -En el contrato obrante en el folio 947 y siguientes, entre TRUMBIC y MULTIGESTION IBERIA, S.A.U constan como apoderados de ésta última, las mismas personas que en el contrato de fecha 1/10/2014 obrante en el folio 304 y siguientes que hace referencia al contrato entre IIGC y MGI2014, - H.H.H. y G.G.G.- en idénticos términos consta en contrato de fecha 1/04/2015 obrante en el folio 308 entre dichas entidades. Si bien la otra parte, formalmente no es la misma – IIGC y TRUMBIC- no puede serle ajeno a MGI2014 que el contrato de 2009 y los que firmo en 2014 y 2015, tiene prácticamente la misma estructura formal, el mismo objeto, ofrecen las mismas garantías, etc.,. Además en el folio 973 consta incorporado una captura de pantalla de los accesos que realizaba MULTIGESTION al fichero de TRUMBIC, donde puede observarse con claridad que la estructura, el servicio ofrecido, e incluso color de la página web, es idéntica, a la que le presta el servicio IIGC y cuyas capturas de pantalla obran en los folios 318 y siguientes. Siendo especialmente relevante la comparación de la captura de pantalla que obra en el folio 327 (IIGC) con la que obra en el folio 973 (TRUMBIC) pues permite observar que incluso los submenús desplegados coinciden plenamente y que donde figura INGLOBALY en el encabezado de la web, antes constaba TRUMBIC, y que en el pie de página donde consta la información completa de IIGC (logotipo, dirección y medios de contacto) antes constaba la de TRUMBIC. Asimismo tampoco puede obviarse que en el PS/500/2013, MULTIGESTION IBERIA SAU es sancionada por resolución de 13/03/2014, en relación con datos personales que constaban en el fichero DOMICILIOS – el proporcionado por TRUMBIC-. Esta circunstancia acredita que MGI2014 tenía pleno conocimiento de la ilegalidad de dicho fichero y su uso, a la fecha en que firma los contratos con IIGC – pues uno es de 1/10/2014 y el otro de 1/04/2015. En conclusión, ha resultado probado que al suceder MGI2014 a MULTIGESTION en activos y pasivos, y sobre todo en idénticas personas (apoderados e incluso abogadas) es conocedora de la ilegalidad del fichero de TRUMBIC, y a su vez, es conocedora de que aunque nominalmente TRUMBIC y IIGC son distintas, materialmente ofrecen el mismo servicio, con el mismo objeto, es decir, el fichero inmovilizado por resolución del Director de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/30 La vulneración del art. 6 de la LOPD está acreditada cuando ejecuta el contrato de prueba piloto y es receptora de 100 registros por parte de IIGC, comunicación obrante en el folio 312 y siguientes, puesto que no consta que tenga en consentimiento de los titulares de dichos datos, ya que dicho fichero fue declarado ilegal y se procedió a su inmovilización. MGI2014 manifiesta en sus alegaciones formuladas al acuerdo de inicio y en las formuladas a la propuesta de resolución, la conculcación de la prohibición del non bis in ídem, haciendo referencia a que ya fue sancionada por el tratamiento de unos datos obrantes en el citado acceso de 100 registros. Frente a ello cabe señalar que en el procedimiento que cita – el PS/00651/2015- no fue objeto de sanción por el tratamiento sin consentimiento de los datos contenidos en dicho acceso, sino por la vulneración del art. 4.3 de la LOPD, en concreto el principio de calidad, en la citada resolución se acredita por parte de MGI2014 la conculcación de (…)Requisitos de exactitud y veracidad de los datos personales, establecidos en la repetida LOPD, que son exigibles al titular del fichero o tratamiento, según deriva del propio artículo 4.3,(…) y se hace constar lo siguiente (…)En la base de datos de la denunciada, esta, motu propio agregó a los datos de nombre y apellidos casi coincidentes con los de la persona deudora, (solo se diferencian en la última letra del segundo apellido), una dirección producto de una búsqueda que contrata con IIGC. Si bien la denunciada no da detalles ni explicaciones de cuál es el origen de los datos que obtiene, de cómo esa empresa contratada procede a la búsqueda de tales datos, se acredita que esa dirección y ese nombre sirven para dirigir una carta de requerimiento al denunciante que no es deudor, incurriendo en un uso de datos que revela falta de calidad, veracidad y realidad en esos datos, y que identifican a una persona que no es la deudora.(…) Y en el presente procedimiento la imputación es por la vulneración del art. 6 de la LOPD, esto es el tratamiento sin consentimiento, la tenencia de los datos obrantes en los folios 312 y siguientes. Lo que de acuerdo con las definiciones del art. 3 de la LOPD, constituye tratamiento de datos personales. 05. Elemento subjetivo en la comisión de las infracciones. MGI2014 tiene suficientes elementos para conocer que los datos a los que va a acceder en ejecución del contrato con IIGC pueden no ser legales ni por tanto adecuarse a la LOPD. En los contratos de 2014 y 2015 que firma con el proveedor de base de datos, IIGC, consta idéntica cláusula de garantía que en el de TRUMBIC. Además la garantía de legalidad de datos ofrecida contractualmente se estima insuficiente para eliminar el elemento subjetivo en la comisión del a infracción, en este sentido la Sentencia la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/30 para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) En conclusión, MGI2014 no tomo diligencia alguna para verificar que contrataba la explotación de una base de datos que cumplía con la LOPD, es más, tenía elementos suficientes para deducir precisamente lo contrario y que el servicio era sucesión del que MULTIGESTION IBERIA, SAU contrato con TRUMBIC. Además MGI2014 fue sancionada mediante Resolución R/01320/2015 en relación con el tratamiento de los datos de un afectado por vulneración del art. 4.3 LOPD, cuyos datos constaban en el fichero – que según declaro- proporcionado por IIGC, donde se le solicito el origen de los datos tratados, sin que pudiera demostrar el mismo. Respecto de A.A.A. y de IIGC no se analiza el elemento subjetivo en la medida en que han caducado las actuaciones previas. Respecto de MEGAINFORMES ONLINE, S.L es plena conocedora de la prohibición de explotación del fichero DOMICILIOS y a pesar de ello proporciona acceso a sus clientes a través de usuario, es decir, es el objeto de su negocio. 06. Sobre la gravedad de la infracción, la culpabilidad y antijuridicidad de los hechos y la sanción a imponer. El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
16. a)El carácter continuado de la infracción.
17. b)El volumen de los tratamientos efectuados.
18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
19. d)El volumen de negocio o actividad del infractor.
20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
21. f)El grado de intencionalidad.
22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/30 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Respecto de MEGAINFORMES ONLINE, S.L. no constan elementos que permitan aplicar la degradación prevista en el art. 45.5 de la LOPD. Y en aplicación de los criterios de graduación previstos en el art. 45.4 de la LOPD, procede determinar el importe de la sanción propuesta en la cuantía de mínima que permite el precepto, esto es 300.001 €. Respecto de MULTIGESTION IBERIA 2014 S.L.U. debe tenerse en cuenta determinadas circunstancias que permiten aplicar la degradación prevista en el art. 45.5 de la LOPD de acuerdo con su apartado a), esto es, la concurrencia de varias circunstancias previstas en el apartado 4 (como son las previstas en los apartados e, y
31. h)y de acuerdo con su aparado b), respecto a la regularización diligente de la situación. Procede determinar la cuantía de la sanción en el intervalo de las infracciones leves. En aplicación de los criterios de graduación previstos en el art. 45.4 de la LOPD, procede determinar el importe de la sanción propuesta en la cuantía de 20.000 €. 07. Sobre la caducidad de las Actuaciones Previas de Inspección respecto de A.A.A. e INFORMATION INTERNATIONAL GLOBAL CORP. De conformidad con el art. 122.4 del RDLOPD, las actuaciones previas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/30 realizadas contra A.A.A. e INFORMATION INTERNATIONAL GLOBAL CORP. estarían caducadas tal como se explica en el Fundamento de Derecho II, por lo que procede acudir a lo dispuesto en el art. 92.3 de la citada Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que establece que: "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. En el presente caso, estamos ante una infracción grave cuyo plazo de prescripción es de tres años de conformidad con el art. 47 de la citada norma, por lo que no existirá impedimento alguno para la apertura de un nuevo procedimiento dentro del citado plazo. Respecto de la apertura de un nuevo procedimiento sancionador en relación con una infracción no prescrita, previa tramitación de un procedimiento ya caducado, esta Agencia ya se pronunció en la Resolución nº R/00017/2011 de 24/01/2011, en la que se planteó por la representación de la entidad denunciada dudas acerca de dicha posibilidad, citando por este organismo la doctrina jurisprudencial sentada al respecto por el Tribunal Supremo, en concreto se cita en el Fundamento de Derecho II lo siguiente: “la controversia no ha sido pacifica ni por la jurisprudencia ni por la doctrina científica, sin embargo ha quedado zanjada con la Sentencia del Tribunal Supremo de 12 de junio de 2003 ( RJ 2003, 4602) dictada en un recurso de casación en interés de ley, en la que el alto tribunal enjuició la legalidad de una sentencia de una Juzgado de lo contencioso-administrativo de Málaga que anulo una sanción sobre la base de que la dualidad de expedientes sancionadores vulneraba las prescripciones del artículo 44.2 de la Ley 30/1992, habiendo por consiguiente, la administración municipal, impuesto una sanción esquivando la aplicación del régimen de caducidad-perención del procedimiento sancionador. El Tribunal Supremo, sin embargo, no comparte esa conclusión jurídica y fijo la siguiente doctrina legal:” La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en es precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito ( STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001.” A los efectos expuestos se abre el expediente de investigación E/04954/2016 respecto de los hechos imputados a la entidad IIGC y respecto de A.A.A.. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MEGAINFORMES ON-LINE S.L., por una infracción del artículo 37.1
32. f)en relación con el artículo 49 de la LOPD, tipificada como muy grave en el artículo 44.4
33. c)de la LOPD, una multa de 300.001 € (trescientos mil un euro) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad MULTIGESTION IBERIA 2014, S.L.U., por una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/30 infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
34. b)de la LOPD, una multa 20.000 € ( veinte mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: ARCHIVAR EL PROCEDIMIENTO a la entidad INFORMATION INTERNATIONAL GLOBAL CORP. y a A.A.A. por la caducidad de las actuaciones previas de investigación de acuerdo con el art. 122.4 del RDLOPD, y Ordenar a la Subdirección de Inspección de Datos la apertura del expediente E/04954/2016. CUARTO: NOTIFICAR la presente resolución a MEGAINFORMES ON-LINE S.L., MULTIGESTION IBERIA 2014, S.L.U., INFORMATION INTERNATIONAL GLOBAL CORP. , y a A.A.A.. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es