← España

PS-00159-2015

1/15 Procedimiento Nº PS/00159/2015 RESOLUCIÓN: R/01818/2015 En el procedimiento sancionador PS/00159/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 2 de abril de 2014 tiene entrada en esta Agencia denuncia interpuesta por D. A.A.A. (en lo sucesivo el denunciante), manifestando que:

  1. a)El 27 de marzo de 2014 recibió un correo electrónico publicitario en su dirección de correo personal sin que lo hubiese solicitado o autorizado, sin que exista o haya existido relación alguna con la entidad remitente a la que, hasta la fecha desconocía.
  2. b)Su dirección de correo electrónico nunca ha sido publicada en fuentes accesibles al público y todas las empresas que disponen de ella tiene comunicada por carta certificada su expresa oposición a la cesión de cualquier dato de carácter personal.
  3. c)El correo electrónico recibido no informa tal y como establece el artículo 5 de la LOPD sobre el origen de sus datos personales, los trata sin su consentimiento, no incluye la palabra PUBLI, tal y como exige el artículo 20.1 de la LSSI y el medio de baja proporcionado, conforme a lo dispuesto en el artículo 21.2 de dicha norma, es un enlace que no funciona. El escrito adjunta copia del correo electrónico recibido así como de su código fuente y cabeceras completas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad Orange Espagne S.A.U. (en lo sucesivo el denunciado) y se realiza visita de Inspección a Ipsos Investigación de Mercado, S.A. (actualmente Ipsos operaciones, S.A.) teniendo conocimiento de que:
  4. a)El denunciante recibió el 26 de marzo de 2014 en su cuenta de correo B.B.B. un correo electrónico remitido desde la cuenta .....@online-encuesta.com. El correo electrónicos contenía una invitación para participar en una encuesta con cuyas respuestas el remitente procedería a elaborar un estudio sobre telefonía móvil en España encargado por los clientes de “Ipsos”, que es quien firmaba el mensaje. El correo electrónico dispone de un enlace para solicitar la baja de la lista de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 destinatarios que el denunciante manifiesta no funciona. La URL del enlace de baja es https://resources................... Al tratar de acceder a dicha dirección el Subinspector actuante constató que la página devuelve un mensaje de baja correcta a pesar de que en la URL no existe ningún parámetro que permita identificar sobre qué dirección de correo electrónico se ha solicitado y resuelto la solicitud de baja por lo que parece imposible que ésta se haya ejecutado correctamente.
  5. b)La dirección IP de origen del correo electrónico es ***IP.1 y es utilizada por el servicio de computación en la nube denominado Amazon Web Services.
  6. c)El dominio online-encuesta.com está registrado a nombre de SOLUCIONES NETQUEST DE INVESTIGACION SL. El dominio netquest.es está registrado a nombre de SOLUCIONES NETQUEST DE INVESTIGACION SL. El dominio ipsos.es está registrado a nombre de IPSOS INVESTIGACION DE MERCADOS (en adelante IPSOS).
  7. d)En la visita de inspección en la sede de IPSOS se pusieron de manifiesto los siguientes hechos: IPSOS es una sociedad cuya actividad principal es la investigación de mercado para sus clientes. El correo electrónico pertenece a un estudio de mercado realizado por IPSOS para el operador de telefonía SIMYO y los datos de los potenciales participantes fueron proporcionados por el operador en dos ficheros, unos para los clientes de pos pago y otro para los clientes de prepago. La entidad aporta copia del contrato firmado el 5 de marzo de 2014 con ORANGE ESPAGNE S.A.U., empresa del grupo al que pertenece SIMYO (marca comercial de ORANGE ESPAÑA VIRTUAL S.L.) para la realización del estudio de investigación “Test de tarifas Simyo” en el que IPSOS aparece como encargado del tratamiento. En el contrato, de acuerdo con lo dispuesto en el artículo 12 de la LOPD, IPSOS se compromete a tratar los datos para cumplir con las obligaciones legales impuestas por el contrato. El contrato prevé y autoriza en su cláusula séptima la subcontratación de SOLUCIONES NETQUEST DE INVESTIGACION SL, en adelante NETQUEST, para que realice parte del estudio de investigación. IPSOS manifiesta que en los correos remitidos no se identificaba la entidad origen de los datos a petición de la propia SIMYO, ya que ésta no deseaba que dicho dato alterase las respuestas y por tanto el resultado del estudio. Los datos del denunciante (correo electrónico, tarifa contratada, edad, provincia, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 código postal, antigüedad y tipo de suscripción) figuran en el fichero de clientes de prepago. IPSOS firmó el 17 de marzo de 2014 un contrato de prestación de servicios con NETQUEST para la ejecución del estudio de mercado. Conforme a lo dispuesto en el contrato NETQUEST elaboró y remitió los correos electrónicos dirigidos a los potenciales participantes y también procesó las respuestas y elaboró los informes de resultados finales. Entre las responsabilidades de NETQUEST se incluye la creación de los enlaces que permitían acceder a la encuesta, así como a las solicitudes de baja. Dado que las direcciones de correo utilizadas por NETQUEST para realizar los envíos no eran de su titularidad, ésta creo la dirección .....@online-encuesta.com. Los correos que se recibieran en dicha cuenta solicitando la baja, pidiendo información, etc. eran reenviados a la cuenta del responsable del estudio en IPSOS.
  8. e)Con fecha 11 de febrero de 2015 de solicita a ORANGE SPAGNE SAU acreditación documental del consentimiento prestado por el denunciante para el uso de sus datos con la finalidad de realizar estudios de mercado. En relación con dicha cuestión ORANGE manifiesta que: “El consentimiento para el uso de los datos con la finalidad de realizar estudios de mercado se recoge al amparo del consentimiento de carácter implícito que se obtiene durante el proceso de contratación. Y ello, porque la realización de tales estudios tiene por objeto obtener información sobre el nivel de satisfacción de los clientes con el servicio contratado. En consecuencia, el tratamiento de datos necesario para la realización de dichos sondeos forma parte de las actividades de gestión y administración del servicio.” El denunciante podía haber ejercido su derecho de oposición al tratamiento de sus datos y prueba de ello es la solicitud de ejercicio de los derechos de oposición y cancelación remitida por el denunciante el 3 de octubre de 2014. La entidad aporta copia de la solicitud y de la respuesta de ORANGE SPAGNE S.A.U.
  9. f)El contrato firmado el 5 de marzo de 2014 entre ORANGE SPAGNE S.A.U. e IPSOS tiene por objeto la realización de un estudio de mercado sobre las nuevas tarifas de SIMYO, que es la marca comercial de una entidad distinta (ORANGE ESPAÑA VIRTUAL S.L.), no para “…obtener información sobre el nivel de satisfacción de los clientes con el servicio contratado” con la propia ORANGE. TERCERO: Con fecha 13 de marzo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.
  10. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 CUARTO: Notificado el acuerdo de inicio, el denunciante mediante escrito de fecha 25/03/2015 remite copia de nuevos correos de Amena, del ejercicio de oposición el 4/4/2011 ante KPN SPAIN, S.L.U., contrato con France Telecom en relación con el número móvil C.C.C., del ejercicio de oposición el 28/02/2011 ante France Telecom, y formula alegaciones significando que: <<…Recibida la resolución, descubro que el responsable de los hechos denunciados es SIMYO (empresa del grupo ORANGE ESPAGNE, SAU), y que solicitada acreditación a ORANGE del consentimiento prestado, esta manifiesta lo siguiente: En el primer párrafo, en síntesis dicen que el consentimiento se obtiene implícito en el proceso de contratación, lo cual podemos dar por correcto. En el segundo párrafo se inicia literalmente diciendo: “El denunciante podía haber ejercido su derecho de oposición al tratamiento de sus datos....”. Es precisamente lo que se hizo mediante escrito de cancelación y oposición de datos de fecha 4 de abril de 2011, al que no recibí contestación. Como prueba, se adjunta como documento N° 1, copia del escrito con sus justificantes de envío y recepción que lo demuestran. Léanse los puntos octavo y noveno de dicho escrito, dirigido en su día a SIMYO…>> (el subrayado es de la AEPD). QUINTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 10/04/2015 remite copia de contrato formalizado con France Telecom electrónica o telefónicamente el 24/03/2013 en relación con el número móvil C.C.C., del ejercicio de oposición ante France Telecom del 8/10/2014 y formula alegaciones significando que: <<…EXISTENCIA DE CONSENTIMIENTO EXPRESO. SUBSIDIARIAMENTE, APLICACIÓN AL PRESENTE PROCEDIMIENTO DE LA REGLA DE LA PRUEBA POR PRESUNCIONES (…) Con carácter previo, hay que señalar que el denunciante inició su relación con ORANGE en el año 2011 mediante un contrato de prestación de servicios de telefonía, si bien en el año 2013, amplió el ámbito de tales servicios, incluyendo una serie de tarificaciones especiales (precio minuto+ datos+ sms) lo que obligó a novar el compromiso que contrajo con mí mandante. El citado contrato, cuya copia se adjunta como DOCUMENTO NÚMERO 1, remitía las condiciones generales de la Compañía vigente en ese momento, y que se adjuntan como DOCUMENTO NÚMERO 2 (…) INFRACCIÓN DEL PRINCIPIO DE TIPICIDAD. INEXISTENCIA DE INFRACCIÓN DEL ARTÍCULO 44.3 B)…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 SEXTO: Con fecha 27/04/2015 se inició el período de práctica de pruebas, acordando entre otras: “…Remitir a ORANGE ESPAGNE SAU copia del escrito remitido por el denunciante, solicitando nos informe del contrato enviado por el mismo así como de las solicitudes de oposición (…) Remitir a D. A.A.A. copia del contrato enviado por ORANGE ESPAGNE SAU solicitando nos informe del mismo…” SÉPTIMO: El 12/05/2015 se recibe escrito del denunciado de contestación a la práctica de pruebas comunicando: <<…1°.- El documento número 1, es un supuesto ejercicio de oposición realizando ante una entidad distinta de mi mandante, y realizada en el año 2011. Es decir, antes de la suscripción del Contrato otorgado en el año 2013, y en el que el denunciante no formuló oposición alguna. En todo caso, se trata de un ejercicio cursado ante la mercantil KPN Spain, S.L.U., no constando que la persona que figura en el justificante de recepción pertenezca a dicha mercantil…>> OCTAVO: El 12/05/2015 se recibe escrito del denunciado de contestación a la práctica de pruebas, remitiendo diversa documentación y comunicando: <<…El contrato aportado por ORANGE no está firmado, y además no tiene relación con el presente procedimiento. En visita de inspección en IPSOS se comprobó lo siguiente: El e-mail objeto de la denuncia fue realizado para el operador SIMYO, y los datos del denunciante (correo electrónico, tarifa contratada, edad, provincia, código postal, antigüedad, y tipo de suscripción) figuraban en el fichero de clientes de prepago. Así era, en esa fecha el denunciante era cliente de prepago de SIMYO con el número D.D.D., contratado vía web el 13-01-2010. Por la SIM que me fue enviada por correo se pagó 4,95 € mediante tarjeta VISA. Todo lo tengo documentado, y es el contrato y el consentimiento para el uso de datos con la finalidad de estudios de mercado durante la contratación de la línea D.D.D. con SIMYO la que tiene que ser aportada. El denunciante aporta escrito de cancelación y oposición de datos a SIMYO de fecha 4 de abril de 2011, al que no recibí contestación. Como prueba, se adjunta como documento N° 1, copia del escrito con sus justificantes de envío y recepción que lo acreditan. Léanse los puntos octavo y noveno, del escrito dirigido en su día a SIMYO… >> NOVENO: Con fecha 15/06/2015 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 4.000 € al denunciado, por la comisión de una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  11. b)de dicha Ley. Dicha propuesta fue notificada al denunciante y al denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 DECIMO: Con fecha de entrada en esta Agencia 6/07/2015, el denunciado realizó alegaciones frente a la citada propuesta de resolución, ratificándose en las manifestadas a lo largo del procedimiento. HECHOS PROBADOS PRIMERO: El denunciante recibió el 26 de marzo de 2014 en su cuenta de correo B.B.B. un correo electrónico remitido desde la cuenta .....@online-encuesta.com. El correo electrónicos contenía una invitación para participar en una encuesta con cuyas respuestas el remitente procedería a elaborar un estudio sobre telefonía móvil en España encargado por los clientes de “Ipsos”, que es quien firmaba el mensaje (folios 1 a 7). SEGUNDO: En la visita de inspección en la sede de IPSOS se pusieron de manifiesto los siguientes hechos: IPSOS es una sociedad cuya actividad principal es la investigación de mercado para sus clientes. El correo electrónico pertenece a un estudio de mercado realizado por IPSOS para el operador de telefonía SIMYO y los datos de los potenciales participantes fueron proporcionados por el operador en dos ficheros, unos para los clientes de pos pago y otro para los clientes de prepago. La entidad aporta copia del contrato firmado el 5 de marzo de 2014 con ORANGE ESPAGNE S.A.U., empresa del grupo al que pertenece SIMYO (marca comercial de ORANGE ESPAÑA VIRTUAL S.L.) para la realización del estudio de investigación “Test de tarifas Simyo” en el que IPSOS aparece como encargado del tratamiento. En el contrato, de acuerdo con lo dispuesto en el artículo 12 de la LOPD, IPSOS se compromete a tratar los datos para cumplir con las obligaciones legales impuestas por el contrato. Los datos del denunciante (correo electrónico, tarifa contratada, edad, provincia, código postal, antigüedad y tipo de suscripción) figuran en el fichero de clientes de prepago (folios 27 a 94). TERCERO: El denunciado ha remitido diversa documentación en relación con el número móvil C.C.C., contratado por el denunciante con France Telecom (folios 198 a 204). CUARTO: El denunciante ha comunicado en periodo de pruebas que <<…El contrato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 aportado por ORANGE no está firmado, y además no tiene relación con el presente procedimiento. En visita de inspección en IPSOS se comprobó lo siguiente: El e-mail objeto de la denuncia fue realizado para el operador SIMYO, y los datos del denunciante (correo electrónico, tarifa contratada, edad, provincia, código postal, antigüedad, y tipo de suscripción) figuraban en el fichero de clientes de prepago. Así era, en esa fecha el denunciante era cliente de prepago de SIMYO con el número D.D.D., contratado vía web el 13-01-2010. Por la SIM que me fue enviada por correo se pagó 4,95 € mediante tarjeta VISA. Todo lo tengo documentado, y es el contrato y el consentimiento para el uso de datos con la finalidad de estudios de mercado durante la contratación de la línea D.D.D. con SIMYO la que tiene que ser aportada. El denunciante aporta escrito de cancelación y oposición de datos a SIMYO de fecha 4 de abril de 2011, al que no recibí contestación. Como prueba, se adjunta como documento N° 1, copia del escrito con sus justificantes de envío y recepción que lo acreditan. Léanse los puntos octavo y noveno, del escrito dirigido en su día a SIMYO… >> (folios 235 a 240). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36 de la LOPD. II El art. 3 apartados
  13. d)y
  14. g)de la LOPD definen: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” Dispone el art. 5.1.
  15. i)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RDLOPD en adelante), que el encargado del tratamiento es La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Por su parte el art. 5.1.
  16. q)del citado RDLOPD establece que el responsable del fichero o del tratamiento es Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados del tratamiento (art. 43), “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley” concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
  17. d)y 3.g). En el presente caso, el responsable del tratamiento es la entidad denunciada, de conformidad con la definición del art. 3
  18. d)de la LOPD y 5.1.
  19. q)del RDLOPD. Sus distribuidores o agentes se instituyen en encargado de tratamiento, de conformidad con las definiciones recogidas ut supra. III En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” IV En relación con el correo electrónico recibido por el denunciante el 26 de marzo de 2014 en su cuenta de correo, hay que hacer constar que uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. V La vigente LOPD incorpora el derecho de oposición, trasponiendo la Directiva 95/46/CE. A tal efecto, el artículo 6.4, que establece una previsión general, según el cual “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El artículo 17 de la LOPD, señala: “1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente. 2. No se exigirá contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación.” Los artículos 34 y 35 del Reglamento de la LOPD aprobado por Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 1720/2007, determinan: “Artículo 34. Derecho de oposición. El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
  20. a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.
  21. b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.
  22. c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento. Artículo 35. Ejercicio del derecho de oposición. 1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
  23. a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” En el presente caso y con independencia de que el denunciante hubiera suscrito contratos con la entidad France Telecom en relación con el número móvil C.C.C., ha quedado acreditado que el correo electrónico denunciado estaba relacionado con el contrato de telefonía móvil de prepago suscrito por el denunciante con SIMYO. Durante la tramitación del presente procedimiento, el denunciante ha remitido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 copia de correos recibidos de Amena, correos que no constituyen el objeto de investigación de este procedimiento y no pueden ser investigados en el mismo. No obstante el denunciante podrá presentar denuncia sobre los mismos, siempre que la infracción no esté prescrita. El denunciante que era cliente de SIMYO con el número móvil D.D.D. (según afirma el mismo), remitió una solicitud de oposición el 5/04/2011 a la entidad KPN SPAIN, S.L.U. (entidad que operaba el servicio de marca SIMYO hasta 2012, marca que actualmente utiliza la entidad denunciada), por lo que el correo electrónico recibido el 26 de marzo de 2014 en la cuenta de correo del denunciante no contaba con el consentimiento del mismo, al haber manifestado a dicha entidad, expresamente su oposición al tratamiento de datos que no se refiera exclusivamente el servicio contratado. Dicho tratamiento constituye una infracción del art. 6 en relación con el 17 de la LOPD. VI El art. 44.3.
  24. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, el denunciado al tratar los datos del denunciante sin su consentimiento, ha cometido la infracción tipificada en dicho artículo. La infracción es imputable, exclusivamente, a la entidad denunciada en su condición de responsable del tratamiento. VII El artículo 45 apartados 1, 2, 4 y 5 de la LOPD establecen lo siguiente: <<..1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  25. a)El carácter continuado de la infracción.
  26. b)El volumen de los tratamientos efectuados.
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  28. d)El volumen de negocio o actividad del infractor.
  29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15
  31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos…>> De conformidad con el apartado
  40. e)del artículo 45.5 de la LOPD es posible fijar la cuantía de la sanción aplicando la escala que preceda en gravedad a aquella en la que se integra la considerada en el caso en cuestión, habida cuenta de que como ha quedado acreditado el denunciante solicitó la oposición a la entidad KPN SPAIN, S.L.U. que gestionaba el servicio prestado bajo el nombre comercial SIMYO, servicio que es gestionado actualmente por la entidad denunciada, por todo ello procede imponer una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. Valoradas en conjunto las circunstancias previstas en el artículo 45.4 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 LOPD, cuya presencia ha quedado acreditada, en particular el número de correos remitidos al denunciante y la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, procede imponer la sanción en su cuantía de 4.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  41. b)de dicha norma, una multa de 4.000 € (cuatro mil euros) de conformidad con lo establecido en el artículo 45.5 apartados 2 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.