PS-00163-2018

1/37 Procedimiento Nº: PS/00163/2018 RESOLUCIÓN R/01444/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00163/2018, instruido por la Agencia Española de Protección de Datos a la entidad AGME DIRECT, S.L., vistas las denuncias presentadas por D. K.K.K., D. H.H.H., DÑA. D.D.D. y Dña. C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/05/2017, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. H.H.H. (en lo sucesivo denunciante 1), en el que denuncia a la entidad AGME Direct, S.L. (en lo sucesivo AGME Direct) por la utilización de sus datos personales, sin su consentimiento, para la realización de un envío postal dirigido a su domicilio mediante el que se remite publicidad de la entidad Gabinetes de Audioprótesis, Electromedicina y Servicios, S.A. (en lo sucesivo GAES). Señala que dicho envío fue recibido en fecha 23/04/2017 y que en el mismo figuran sus datos personales relativos a nombre, apellidos y dirección postal (“ O.O.O.”), la cual no figura en fuentes de acceso público ni consta en repertorios de abonados a servicios telefónicos. Se trata de una carta publicitaria personalizada de la entidad GAES, en la que le informan sobre una reserva de cita para “un estudio auditivo gratuito” del 18/04 al 20/05/2017, correspondiente al Centro GAES de O.O.O. cuya dirección se detalla en el escrito. En la parte superior izquierda figura “GAES Centro Auditivo” y en la parte inferior la siguiente leyenda informativa: “El listado de direcciones utilizado para la realización de esta campaña publicitaria ha sido elaborado por la empresa AGME Direct, S.L. responsable del fichero ante la cual usted podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición, dirigiéndose bien por escrito al Apartado de Correos 113 08390 de Montgat, al teléfono gratuito 900197685 o a info@agmedirect.es. Asimismo le informamos de que sus datos han sido obtenidos de fuentes accesibles al público, de guías de abonados a servicios telefónicos, (…)”. Añade el denunciante que ejercitó el derecho de acceso a sus datos personales ante la entidad AGME Direct y que ésta, en repuesta a dicho ejercicio de derechos, le indicó que disponen de su nombre, apellidos domicilio y teléfono, que estos datos proceden de los directorios de abonados de servicios telefónicos disponibles de forma telemática, que correspondían a la actualización de enero de 2017, y que actualmente no constan (abril de 2017). Con el escrito de denuncia, además del escrito publicitario, se aporta copia del correo electrónico remitido por el denunciante a <info@agmedirect.es>, de 25/04/2017, ejercitando ante AGME Direct el derecho de acceso a sus datos personales, así como la respuesta dada por dicha entidad con fecha de 26 de abril, en la que ésta indica que los datos proceden de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/37 los directorios de abonados a los servicios telefónicos y se encuentran incluidos en el fichero denominado “GODIRTEL”. SEGUNDO: Con fecha 03/10/2017, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. K.K.K. (en lo sucesivo denunciante 2), en el que denuncia a AGME Direct, “OGAU” y Comunicación Personal B.P.G., S.L. por la utilización de sus datos personales, sin su consentimiento, para la realización de un envío postal publicitario dirigidos a su domicilio (“ E.E.E.”). El denunciante destaca que la empresa AGME Direct informa que sus datos han sido incorporados a su fichero por cesión de Comunicación Personal BPG, S.L., y que no conoce al cesionario ni la procedencia de sus datos personales utilizados en el envío publicitario. Se trata de una carta publicitaria personalizada de la entidad GAES, en la que le reservan cita para revisión del día 04 al 26/09, constando en la misma la siguiente leyenda: "Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME según convenga al teléfono gratuito 900197685 al Apartado de Correos 113, 08390 de Montgat o a info@agmedirect.es”. Con el escrito de denuncia se aporta copia de la carta publicitaria remitida por GAES dirigida al denunciante, con detalle de su nombre, apellidos y domicilio postal; en la que se indica “Campaña de detección precoz de la pérdida auditiva 2017. Dirección General de la OGAU”… “Estudio Auditivo Gratuito: Sr… (nombre y apellidos del denunciante 2). Fechas reservadas para su revisión del 4 al 26 de septiembre. Centro Colaborador: E.E.E.”, así como la dirección postal y el teléfono del centro GAES al que debe dirigirse. Como firma aparece la indicación “Director de Prevención Salud Auditiva. GAES Centros Colaboradores”. Y en el pie de página consta el texto reproducido anteriormente. TERCERO: Con fecha 09/02/2018, tuvo entrada en la Agencia Española de Protección de Datos un escrito de Dña. D.D.D. (en lo sucesivo la denunciante 3), en el que denuncia a la entidad GAES por la utilización de sus datos personales para la realización de un envío postal publicitario dirigido a su domicilio (“ B.B.B.”). Adjunta fotocopia del sobre empleado para la realización del envío publicitario, en cuyo anverso consta la indicación “Campaña GAES de subvención de ayudas auditivas 2018 del 8 de enero al 24 de marzo”. En los datos del destinatario figuran el nombre y apellidos de la denunciante 3 y su dirección postal. En el reverso, como remitente, figura “GAES Centros Auditivos. GAES, S.A. Apartado de Correos 1010 - 46080 Valencia”. CUARTO: Con fecha 13/12/2017, tuvo entrada en la Agencia Española de Protección de Datos un escrito de Dña. G.G.G. (en lo sucesivo la denunciante 4), en el que denuncia a la entidad “OI2 Centros Auditivos”, con la que no mantiene relación alguna, por la utilización de sus datos personales para la realización de un envío postal publicitario dirigido a su domicilio, en el que figuran sus datos personales relativos a nombre, apellidos y dirección postal, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/37 detalle de piso y puerta. Aporta copia del envío publicitario objeto de la denuncia, en cuya parte inferior figura la siguiente leyenda informativa: “El listado de direcciones utilizado para la realización de esta campaña publicitaria ha sido elaborado por la empresa AGME Direct, S.L. y se ha incorporado a su fichero por la cesión de la empresa Comunicación Personal BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento con la finalidad de remitirle publicidad y ofertas de empresas de los sectores de ocio, formación, telecomunicaciones, financieros, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial ONG’s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación, cancelación y oposición en todo momento, dirigiéndose a AGME según convenga, al teléfono gratuito 900197685, al Apartado de Correos 113 08390 de Montgat, o a info@agmedirect.es”. En este escrito no figura la fecha de remisión, pero consta: “Promoción válida hasta el 15 de enero de 2018”. QUINTO: Las denuncias reseñadas en los Hechos Primero a Tercero dieron lugar al expediente de investigación señalado con el número E/04446/2017 y la reseñada en el Hecho Cuarto al expediente E/00456/2018. A la vista de los hechos denunciados, en las fases previas de investigación citadas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. Con fechas 20/07, 02/11/2017, 22/03 y 15/05/2018, los Servicios de Inspección de la Agencia comprobaron que los datos personales de los denunciantes 1 a 4, respectivamente, no constan en los repertorios de los servicios de abonados a los servicios de telecomunicaciones denominados “PáginasBlancas.es” e “Infobel”. 2. Con respecto a la compañía GAES: De la información y de la documentación remitida por la compañía GAES con fecha de 7 y 15 de noviembre de 2017, se desprende lo siguiente:  La compañía GAES mantiene una relación comercial y de servicios con la empresa AGME Direct (antes GODIRECT, S.L. y en adelante Proveedor), según contrato de fecha 09/01/2009, mediante el que AGME Direct elaborara listados de destinatarios para la realización de campañas publicitarias (…). En dicho contrato se detalla, entre otras, las siguientes cláusulas: Primera: El Proveedor elaborará listados de destinatarios para la realización de campañas publicitarias (…). Los datos personales que se incluirán en el referido listado contendrán la siguiente información: nombre, apellidos, domicilio y, en su caso, número de teléfono. Segunda: El Proveedor declara que el origen de los datos personales que serán utilizados para la elaboración de los listados de destinatarios de las campañas será: ficheros de datos personales, recogidos directamente de fuentes accesibles al público o facilitados por los propios afectados u obtenidos con su consentimiento, ficheros cuya titularidad corresponde a terceras personas o entidades de las cuales se ha obtenido manifestación expresa de dichas terceras personas o entidades de que tales ficheros cumplen con todos los requisitos exigidos en la normativa legal sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/37 protección y tratamiento de datos personales en orden a su eventual utilización con fines de publicidad o prospección comercial”. Quinta: El Proveedor exonera de cualquier responsabilidad al Cliente (…).  Añade GAES que no es titular de los datos personales de los denunciantes, no ostenta la condición de responsable del fichero ni de encargado del tratamiento y/o cualquier otra que suponga el tratamiento de datos de los interesados. Así mismo, manifiesta GAES que no participó en ningún proceso de segmentación o definición de parámetros identificativos de las personas físicas destinatarias de las campañas publicitarias que fue realizado por la empresa AGME Direct.  Según informó GAES a los Servicios de Inspección, el denunciante 1 fue beneficiario de la campaña Primavera 2016. No obstante, el denunciante 1 manifestó que recibió la publicidad en abril de 2017, lo que también fue confirmado por AGME Direct, contratada por GAES bajo la relación comercial que se formalizó entre ambas en 2009.  El denunciante 2 fue beneficiario de la campaña denominada OGAU 2017, contratada por GAES a AGME Direct, bajo la relación comercial que se formalizó entre ambas en 2009. La Campaña OGAU 2017 realizada mediante envíos personalizados, que recibió el denunciante 2; los listados de los destinatarios fueron elaborados por la compañía AGME a partir de ficheros cuya titularidad es de AGME Direct denominados “GODIRTEL” y “ASTRO”, y de GAES denominado CAMPAÑAS; y los criterios utilizados fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa de la procedencia de los datos personales de los destinatarios: fichero y empresa titular del mismo; en el caso del envío realizado al denunciante 2 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. Dichas circunstancias constan en el documento denominado: Anexo al contrato suscrito con fecha de 9 de enero de 2009 entre GAES y AGME, Ref. Presupuesto Campaña OGAU 2017 + Ampliación Centro”, suscrito por ambas compañías, con fecha de 12/06/2017, cuya copia adjuntan. En el citado documento consta que el total de envíos del fichero “ASTRO” será 3.196.731. La información referente al número de envíos correspondientes a los ficheros “GODIRTEL” y “CAMPAÑAS” se encuentra anulada (tachada). 3. Con respecto a la compañía BLAMBOS, SL. (“OI2 Centros Auditivos”), en lo sucesivo BLAMBOS: De la información y de la documentación remitida por la en fecha 26 de febrero de 2018 se desprende lo siguiente: - La compañía BLAMBOS mantiene una relación comercial y de servicios con la empresa AGME Direct, según contrato de fecha 15 de mayo de 2009, mediante el cual AGME Direct elabora listados de destinatarios para la realización de campañas publicitarias (…). En dicho contrato se detalla, entre otras, las siguientes cláusulas: Primera: “En virtud del presente contrato, el Proveedor elaborará listados de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/37 - - destinatarios para la realización de campañas publicitarias (…). Los datos personales que se incluirán en el referido listado contendrán la siguiente información: nombre, apellidos, domicilio y, en su caso, número de teléfono. Segunda: El Proveedor declara que el origen de los datos personales que serán utilizados para la elaboración de los listados de destinatarios de las campañas o acciones de publicidad directa objeto del presente contrato será, en todo caso, el siguiente: Ficheros de datos personales, recogidos directamente de fuentes accesibles al público o facilitados por los propios afectados u obtenidos con su consentimiento, ficheros cuya titularidad corresponde a terceras personas o entidades de las cuales el Proveedor ha obtenido manifestación expresa de dichas terceras personas o entidades de que tales ficheros cumplen con todos los requisitos exigidos en la normativa legal sobre protección y tratamiento de datos personales en orden a su eventual utilización con fines de publicidad o prospección comercial”. Quinta: El Proveedor exonera, en consecuencia, de cualquier responsabilidad al Cliente (…)”. BLAMBOS manifiesta que la denunciante 4 fue beneficiaria de la campaña denominada “Mailing OI2 Nadal” contratada a AGME Direct en virtud del contrato aportado. Manifiesta que no es responsable de los datos personales de la denunciante, que no es responsable del fichero ni encargado del tratamiento, por lo que no puede facilitar información respecto del origen de los mismos. No obstante, solicitó a AGME Direct información sobre el origen de los datos y dicha entidad le confirmó que para la elaboración de la mencionada campaña se utilizó el fichero ASTRO, titularidad de esta última. A este respecto, BLAMBOS ha aportado Anexo al contrato suscrito con fecha 15 de mayo de 2009 en el que figura la campaña “Mailing OI2 Nadal”. En el documento aportado consta tachado el número de registros utilizados procedentes del fichero ASTRO y los del fichero GORDITEL. Asimismo figura que, bajo la responsabilidad de AGME Direct, la empresa ARVATO SERVICES IBERIA S.A.U. será la responsable de las tareas de tratamiento de homogenización y depuración del listado para la campaña publicitaria. BLAMBOS manifiesta que no participó en ningún proceso de segmentación o definición de parámetros identificativos de las personas físicas destinatarias de las campañas publicitarias que fue realizado por la empresa AGME Direct. BLAMBOS manifiesta que la manipulación, encarte y envío postal de la campaña “Mailing OI2 Nadal” fue realizado por TGB, S.A., con la que tiene un acuerdo de colaboración empresarial desde el 1 de mayo de 2012. A este respecto, BLAMBOS ha aportado copia del acuerdo mencionado y factura emitida al efecto de fecha 3 de noviembre de 2017. 4. Con respecto a la compañía AGME Direct: de las actuaciones realizadas por la Inspección de Datos en el establecimiento de dicha compañía, el día 29/01/2018, se desprende lo siguiente:  La empresa AGME Direct suscribió contrato con Comunicación Personal B.P.G., S.L. (en adelante Comunicación Personal), el 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía. Entre los activos adquiridos se encuentra la base de datos de usuarios. En el exponendo quinto del contrato se establece lo siguiente: “BPG es titular de un Fichero de datos de carácter personal denominado FICHERO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/37 DE CLIENTES registrado en el Registro General de la Agencia de Protección de Datos con el número 2061320757. Este fichero cumple los requisitos necesarios para su utilización en la realización de campañas de marketing, según lo dispuesto en la legislación sobre Protección de fueron recabados de los interesados para remitirles información de los productos de BPG o de terceras empresas”. En el acuerdo segundo se manifiesta que “la información integrante del fichero corresponde a datos recabados de los propios interesados por lo que dieron su consentimiento para el tratamiento. BPG manifiesta que ha cumplido con el deber de información según indica la legislación vigente”.  En el Registro General de Protección de Datos (RGPD) figuran inscritos los siguientes ficheros cuyo titular es AGME Direct:  “ASTRO”, con el código ***COD.1, que contiene la información adquirida a la entidad Comunicación Personal.  “GODIRTEL”, con el código ***COD.2, que contiene información de fuentes de acceso públicos extraída por Arvato Services Iberia, S.A.U. (en delante ARVATO) en virtud del Contrato suscrito con AGME Direct, con fecha de 22 de diciembre de 2008, se aporta copia del citado contrato.  La prestación de los servicios de tratamiento de los datos personales de ambos ficheros los realiza la compañía ARVATO, como encargado del tratamiento, en virtud del Contrato de Prestación de Servicios, Confidencialidad y Protección de Datos Personales para el tratamiento de datos titularidad de AGME DIRECT, S.L. suscrito con fecha 4 de agosto de 2013.  Los ficheros “ASTRO” y “GODIRTEL” son, entre otros, los que utiliza AGME Direct para la selección de los destinatarios de los envíos publicitarios que contratan sus clientes, entre los que se encuentra GAES, realizando perfiles por diversos criterios como edad o código postal.  En relación con el fichero “ASTRO” se ha verificado por parte de la Inspección de Datos que contiene un total de 8.021.729 registros, que coinciden con personas físicas, y de cada una de ellas la siguiente información: Código de cliente, apellidos y nombre, enlace apellidos (para apellidos compuestos), sexo, provincia, municipio, código de entidad colectiva, código de entidad singular, núcleo, población, código postal, tipo de vía, nombre de la vía, código de la calle, número de la calle, resto domicilio RDO (otros datos asociados a la dirección postal: piso, puerta, derecha, izquierda, etc.), fecha de nacimiento y teléfono. El fichero contiene 4.000.829 registros con información de la fecha de nacimiento de la persona y 5.401.477 registros con dirección postal y piso y/o puerta (campo RDO).  En relación con el fichero “GODIRTEL” se ha verificado por parte de la Inspección de Datos que contiene un total de 7.036.708 registros, que coinciden con personas físicas, y de cada una de ellas la siguiente información: Código de cliente, apellidos y nombre, enlace apellidos (para apellidos compuestos), sexo, tipo de vía, nombre de la vía, numero, RDO, población, teléfonos, fecha de alta en el fichero, fecha última actualización, código postal, provincia, municipio, código de entidad colectiva, código de entidad singular, núcleo, código de la calle, fecha extracción y fecha ultima extracción. El fichero contiene 421.347 registros con información en el campo RDO, si bien la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/37 mayoría tiene el texto S-N (sin número).  En relación con el denunciante 1: La publicidad que recibió corresponde a la campaña PRIMAVERA 2017, que fue realizada mediante envíos personalizados. Los listados de los destinatarios fueron elaborados por la compañía AGME Direct a partir de los ficheros “GODIRTEL” (1.239.814 personas físicas) y “ASTRO” (1.700.913 personas físicas), cuya titularidad es de AGME Direct, y del fichero “CAMPAÑAS” (144.820 personas físicas), cuyo titular es GAES con un total de 3.085.547 destinatarios. Los criterios utilizados en la campaña para la selección de los destinatarios fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. Dichas circunstancias se detallan en la Hoja de instrucciones y Anexo al contrato suscrito con fecha 9 de enero de 2009 entre GAES y AGME. Campaña Primavera 2017, de fecha 3 y 10 de marzo de 2017. Por parte de la Inspección de Datos se ha verificado que en el fichero denominado “ASTRO” consta información asociada al denunciante1 con domicilio en “ J.J.J.” piso y puerta, fecha de nacimiento “ P.P.P.” y en el fichero denominado “GODIRTEL” con domicilio en “ N.N.N.”. El representante de AGME Direct manifestó que la primera extracción de los datos del denunciante de la guía de abonados de los servicios de telecomunicaciones se realizó el 8 de noviembre de 2016 y la última el 7 de marzo de 2017, aunque la última carga en el fichero “GODIRTEL” se realizó el 7 de julio de 2017.  En relación con el denunciante 2: La publicidad que recibió corresponde a la Campaña de OGAU 2017 + Ampliación Centro, que se realizó en el mes de septiembre de 2017 mediante envíos personalizados. Los listados de los destinatarios fueron elaborados por la compañía AGME Direct, a partir de ficheros “GODIRTEL” (1.509.643 personas físicas) y ASTRO (3.196.731 personas físicas), cuya titularidad es de AGME Direct, y del fichero “CAMPAÑAS”, cuyo titular es GAES, con un total de 5.315.735 destinatarios. Los criterios utilizados en la campaña fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. Dichas circunstancias se detallan en la Hoja de instrucciones y Anexo al contrato suscrito con fecha 9 de enero de 2009 entre GAES y AGME. Campaña OGAU 2017 ampliación Centro, de fecha 12 y 16 de junio de 2017. Por parte de la Inspección de Datos se verificó que en el fichero denominado “ASTRO” consta información asociada al denunciante 2 con domicilio en “ E.E.E.” y no consta información en el fichero denominado “GODIRTEL”.  La compañía AGME Direct no ha acreditado el procedimiento concreto de obtención de los datos personales del denunciante 1 y denunciante 2 utilizados en los envíos publicitarios. - En relación con la campaña “Mailing OI2 Nadal”, en la que se utilizaron los datos de la denunciante 4, AGME Direct ha aportado copia del Anexo al contrato suscrito con fecha 15 de mayo de 2009 (también aportado por BLAMBOS), en el que figura dicha campaña con 69.495 registros extraídos del fichero ASTRO y 62.215 del fichero GODIRTEL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/37 - En la Inspección E/456/2018-I1 se ha comprobado que constan los siguientes datos de la denunciante 4 en el fichero ASTRO: G.G.G. con domicilio en “ L.L.L.”. En el campo denominado RDO (Resto domicilio) contiene “IZ 3 A”. En el fichero GODIRTEL no se obtienen constancias de la existencia de datos personales relativos a esta denunciante. SEXTO: En relación con la entidad AGME Direct, los Servicios de Inspección destacan que se trata de una microempresa con 4 empleados y ventas de 622.575€, que tiene como objeto social la prestación servicios informáticos, marketing`…; que realiza una actividad que requiere un elevado volumen de tratamientos de datos personales. Asimismo, se comprueba de en el año 2017 fue sancionada en dos ocasiones por esta Agencia por hechos de naturaleza similar. En relación con las campañas publicitarias realizadas, tales Servicios de Inspección informan que en el año 2017 se realizaron al menos dos campañas publicitarias mediante envíos postales, con más de 8.000.000 destinatarios con perfil de edad, entre 55 y 90 años; y consta en antecedentes, entre 2016 y primavera de 2017, que se realizaron tres campañas publicitarias mediante envíos postales para la compañía GAES con más de diez millones de destinatarios, en algunos de ellos consta piso y puerta, y perfil de edad, entre 55 y 90 años. En 2018 está realizando otra campaña publicitaria, según nueva denuncia que se ha incorporado a las presentes actuaciones. Destacan que ya ha sido sancionada en esta Agencia por hechos similares (R/03354/2017). SEPTIMO: Con fecha 14/03/2018, tuvo entrada en la Agencia Española de Protección de Datos un escrito de Dña. C.C.C. (en lo sucesivo la denunciante 5), en el que denuncia a la entidad GAES por la utilización de sus datos personales para la realización de un envío postal publicitario dirigido a su domicilio (“ A.A.A.”), el cual se incorpora a las actuaciones previas E/04446/2017. Dicha denuncia adjunta fotocopia de la carta publicitaria en cuyo encabezamiento figura el texto “Campaña GAES de subvención de ayudas auditivas 2018. Del 8 de enero al 24 de marzo”. En los datos del destinatario figuran el nombre y apellidos de la denunciante 4 y su dirección postal, con indicación de “piso” y “puerta”. En esta carta le informan sobre una reserva de cita para “un estudio auditivo gratuito” del 01/03 al 24/03/2017, correspondiente al Centro GAES de A.A.A. cuya dirección se detalla en el escrito. En la parte inferior la siguiente leyenda informativa: “Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME según convenga al teléfono gratuito 900197685 al Apartado de Correos 113, 08390 de Montgat o a info@agmedirect.es”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/37 OCTAVO: Visto el resultado de las Actuaciones Previas de Investigación señaladas, con fecha 18/05/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AGME Direct, por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
2. b)de la LPACAP, y el artículo 127, letra b), del RLOPD, en el citado acuerdo se determinó que la sanción que pudiera corresponder por la infracción descrita sería de 100.000 euros, sin perjuicio de lo que resulte de la instrucción. NOVENO: Notificado el acuerdo de inicio del procedimiento sancionador, la entidad AGME Direct presentó escrito de alegaciones en el que solicita el archivo de las actuaciones, al menos de forma parcial, por concurrir en tres de los denunciantes la licitud en el tratamiento de datos por parte de AGME Direct y por no concurrir en la misma los elementos de dolo y culpa; se acuerde la supresión parcial de los datos personales registrado en el fichero “ASTRO”; y, subsidiariamente, se aplique lo previsto en el artículo 45.5 de la LOPD con la imposición de la sanción prevista para las infracciones leves en su grado mínimo. Todo ello, de conformidad con las consideraciones siguientes: 1. Considera lícito el tratamiento de los datos personales de los denunciantes 1, 2, 4 y 5. En el primer caso, se trata de datos registrados en el fichero “Gorditel”, creado de fuentes accesibles al público en virtud de un contrato por el que encargó a la entidad Arvato Services Iberia (ARVATO) la recopilación de datos procedentes de repertorios de abonados a servicios telefónicos. En concreto, los datos del denunciante 1 fueron obtenidos de fuentes accesibles al público el 08/11/2016 y actualizados el 07/03/2017. Añade que este denunciante, según consta en una comunicación emitida por ARVATO aportada durante la fase previa, recibió una comunicación publicitaria de GAES correspondiente a una campaña de marzo de 2017, que incluía una leyenda informativa con el detalle del origen de los datos, la finalidad prevista y los derechos del interesado. En relación con los denunciantes 2, 4 y 5, señala que fueron igualmente destinatarios de comunicaciones promocionales con anterioridad a la que ha sido objeto de denuncia y en ellas se le informó debidamente de los términos previstos en el artículo 5 de la LOPD y 12 de su Reglamento de desarrollo, de modo que tuvieron conocimiento previo del fichero y oportunidad de ejercitar sus derechos de oposición o cancelación de datos (el denunciante 2 fue destinatario de una campaña promocional de GAES realizada en junio de 2017). 2. El tratamiento por parte de AGME Direct de los datos personales de algunos denunciantes, así como parte del fichero “Astro”, es lícito por la existencia de un interés legítimo prevalente, conforme a lo establecido en el artículo 7,
3. f)de la Directiva 95/46/CE y 6.1.
4. f)del RGPD, el cual contempla “el tratamiento de datos personales con fines de mercadotecnia directa” como una de los supuestos en los que puede apreciarse dicho interés legítimo (Considerando 47). Entiende que “cuando el responsable del tratamiento hubiera recabado el consentimiento de los afectados a través del procedimiento señalado en el artículo 14 del Reglamento de desarrollo de la Ley Orgánica 15/1999, dicho responsable debería, a partir de 25 de mayo de 2018, recabar un nuevo consentimiento del afectado, a menos que pueda considerar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/37 tratamiento amparado en la regla de ponderación establecida en el artículo 6.1 f)”. Es el caso de las denunciantes 4 y 5, que fueron informadas previamente del tratamiento de conformidad con el artículo 14 del Reglamento de desarrollo de la LOPD. En tal caso, habida cuenta de los nuevos requisitos impuestos al consentimiento por el RGPD (artículo 4.11), al exigir que, en los tratamientos basados en el consentimiento del interesado, este sea inequívoco y en sentido positivo, según lo dispuesto en el artículo 6.1.f), resultaría viable acudir al interés legítimo como base alternativa que legitima aquellos tratamientos para los que no se cuenta con un consentimiento otorgado con tales características A juicio de AGME Direct, dicho razonamiento licita el tratamiento parcial del fichero “Astro” exclusivamente para aquellos interesados que hayan recibido por parte de la entidad campañas junto con la leyenda informando en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12 del Reglamento que la desarrolla. La existencia de un interés legítimo prevalente, como base para el tratamiento de los datos con fines de mercadotecnia, es analizada en el Informe 195/2017 del Gabinete Jurídico de la Agencia. En el caso de comunicaciones comerciales para el desarrollo del negocio que realice la entidad de sus productos y/o servicios, dicho informe indica que los clientes vienen aceptando habitualmente esa publicidad y su recepción, salvo que se ejercite el derecho de oposición, se convierte en una expectativa razonable derivada del propio tratamiento, concluyendo que ese tratamiento podría ampararse en el artículo 6.1.
5. f)del RGPD cuando las acciones se lleven a cabo por medios no electrónicos y los productos o servicios ofertados puedan considerarse similares a los contratados por el cliente. En el caso de las dos denunciantes citadas, la existencia de envío de publicidad de fecha anterior al envío denunciado sin que las mismas hubieran ejercitado sus derechos de cancelación de datos, legitimaría el tratamiento de datos realizado por esta parte. El hecho de que existan interesados que forma parte del fichero ASTRO que hayan venido aceptando con anterioridad publicidad se podría considerar, respeto de los mismos (que pueden ser identificados), una ponderación favorable. Respetando siempre los derechos de los interesados. 3. Para los supuestos señalados anteriormente y para los datos que proceden de fuentes públicas no procedería el cese y eliminación de los datos a que se refiere el acuerdo de apertura. 4. Los datos personales de los denunciantes 2, 3 y 4 figuraban en la base de datos transmitida por Comunicación Personal B.P.G., S.L. a AGME Direct en virtud de un contrato de fecha 30/07/2013, por el que esta última entidad adquirió los activos de la línea de negocio de marketing directo de aquella compañía mediante una contraprestación. En este contrato, Comunicación Personal B.P.G., S.L. garantiza que cumple los requisitos necesarios para la utilización del fichero en campañas de marketing y declara que los datos fueron recabados de los propios interesados para remitirles información de productos propios o de terceras empresas. Con ello se evidencia la buena fe y la debida diligencia en el actuar de AGME Direct, así como la no obligación en la obtención del consentimiento de los afectados. El traspaso de los datos es correcto, por lo que AGME Direct no estaba obligada, para el tratamiento de los datos, a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/37 requerir la previa obtención del consentimiento de los denunciantes. Además, en el envío realizado a la denunciante 4 se informó sobre las finalidades del tratamiento, el cedente y cesionario, así como los medios para ejercer los derechos. 5. En base a lo expuesto anteriormente, invoca los principios de presunción de inocencia y culpabilidad. Teniendo en cuenta que AGME Direct obtuvo los datos de carácter personal a través de un contrato en el cual la empresa cedente de los mismos declara haberlos recabado con el consentimiento de los afectados, es evidente que ha actuado de forma diligente y responsable, sin que haya existido por su parte ningún tipo de culpabilidad ni intencionalidad en el tratamiento de datos de carácter personal. Por todo ello, solicita el archivo parcial del procedimiento, al menos respecto a los denunciantes que se ha podido que sus datos proceden de fuente accesible al público o que fueron informados con anterioridad de su tratamiento a través de pasadas campañas, pudiendo haber ejercido los derechos de supresión y oposición. 6. Subsidiariamente, Invoca el principio de proporcionalidad que justifica la aplicación de lo establecido en el artículo 45.5 de la LOPD con la imposición de una multa por el importe mínimo previsto para las infracciones leves. Con su escrito de recurso, AGME Direct no aportó documentación alguna. DECIMO: Con fecha 11/07/2018, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad AGME Direct, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
6. b)de la LOPD, con una multa de 100.000 euros (cien mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. En dicha propuesta se advirtió a la citada entidad sobre la posibilidad de llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% de su importe, equivalente en este caso a 20.000 euros, con cuya aplicación la sanción quedaría establecida en 80.000 euros y su pago implicará la terminación del procedimiento. La aplicación de esta reducción, según lo establecido en el artículo y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), está condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. DECIMOPRIMERO: Notificada la propuesta de resolución elaborada por el instructor del procedimiento, la entidad AGME Direct ha procedido al pago de la sanción en la cuantía de 80.000 euros haciendo uso de la reducción prevista, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. En el mismo escrito por el que la citada entidad informó sobre su propósito de proceder al pago voluntario de esa cantidad, manifestó reconocer la responsabilidad “en los hechos e infracciones establecidas en este procedimiento PS/00163/2018”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/37 HECHOS PROBADOS 1. AGME Direct tiene como objeto social, entre otras actividades, la prestación de servicios auxiliares de marketing. 2. La empresa AGME Direct suscribió un contrato con la entidad Comunicación Personal B.P.G., S.L., de fecha 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía. Entre los activos adquiridos se encuentra la base de datos de usuarios. En los exponendos cuarto y quinto del contrato se establece lo siguiente: “IV. Que BPG desea transmitir a AGME la línea de negocio de marketing directo, en concreto todos los activos que se enumeran: Base de Datos de Clientes (personas jurídicas), Base de Datos de Usuarios, Know how de la compañía en la citada línea de negocio así como el software de segmentación. V. BPG es titular de un Fichero de datos de carácter personal denominado FICHERO DE CLIENTES registrado en el Registro General de la Agencia de Protección de Datos con el número…. Este fichero cumple los requisitos necesarios para su utilización en la realización de campañas de marketing, según lo dispuesto en la legislación sobre Protección de Datos Personales vigente. Los datos personales que integran este fichero fueron recabados para remitirles información de los productos de BPG o de terceras empresas”. Dicho contrato contiene los siguientes acuerdos: “Primero: BPG transmitirá los activos descritos en el exponendo IV… Los datos integrados en el fichero constan de los campos de nombre y apellidos, domicilio completo, teléfono y fecha de nacimiento. Estos dos últimos datos presentes solo en una parte de la totalidad. Igualmente se hace constar que la información puede contener errores de transcripción al haberse transcrito de documentos manuscritos. Segundo: La información integrante del fichero corresponde a datos recabados de los propios interesados por lo que dieron su consentimiento para el tratamiento. BPG manifiesta que ha cumplido con el deber de información según indica la legislación vigente… Cuarto: Por su parte, AGME manifiesta de acuerdo al artículo 19 del Reglamento antes citado y de acuerdo a la normativa de protección de datos asumir la obligación de informar a los interesados integrantes del fichero de usuarios objeto de transmisión del presente contrato, de la finalidad del nuevo tratamiento y de los medios para que puedan ejercerse en particular el derecho de oposición a la cesión y en general los restantes derechos que la legislación prevé para las personas…”. 3. En el Registro General de Protección de Datos (RGPD) figuran inscritos los siguientes ficheros cuyo titular es AGME Direct: . “ASTRO”, con el código ***COD.1, que contiene la información adquirida a la entidad Comunicación Personal. . “GODIRTEL”, con el código ***COD.2, que contiene información de fuentes de acceso públicos extraída por Arvato Services Iberia, S.A.U. (en delante ARVATO) en virtud del Contrato suscrito con AGME Direct, con fecha de 22 de diciembre de 2008, se aporta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/37 copia del citado contrato. El fichero “ASTRO” contiene un total de 8.021.729 registros, que coinciden con personas físicas, y de cada una de ellas la siguiente información: Código de cliente, apellidos y nombre, enlace apellidos (para apellidos compuestos), sexo, provincia, municipio, código de entidad colectiva, código de entidad singular, núcleo, población, código postal, tipo de vía, nombre de la vía, código de la calle, número de la calle, resto domicilio RDO (otros datos asociados a la dirección postal: piso, puerta, derecha, izquierda, etc.), fecha de nacimiento y teléfono. El fichero contiene 4.000.829 registros con información de la fecha de nacimiento de la persona y 5.401.477 registros con dirección postal y piso y/o puerta (campo RDO). El fichero “GODIRTEL” contiene un total de 7.036.708 registros, que coinciden con personas físicas, y de cada una de ellas la siguiente información: Código de cliente, apellidos y nombre, enlace apellidos (para apellidos compuestos), sexo, tipo de vía, nombre de la vía, numero, RDO, población, teléfonos, fecha de alta en el fichero, fecha última actualización, código postal, provincia, municipio, código de entidad colectiva, código de entidad singular, núcleo, código de la calle, fecha extracción y fecha ultima extracción. El fichero contiene 421.347 registros con información en el campo RDO, si bien la mayoría tiene el texto S-N (sin número). 4. GAES y AGME Direct suscribieron un contrato de prestación de servicios, de fecha 09/01/2009, en virtud del cual AGME Direct se encarga de la realización de campañas publicitarias de productos y servicios de GAES mediante envíos postales. En dicho contrato se estipula lo siguiente: <<EXPONEN 1.- Que EL PROVEEDOR es una empresa que se dedica a la recopilación de direcciones, prospección comercial, publicidad directa y la gestión y contratación de medios publicitarios directos por cuenta de terceros. (…) III.- Que EL CLIENTE está interesado en que EL PROVEEDOR le facilite el servicio de realización de campañas publicitarias tanto en relación de los ficheros de los que dispone de autorización por parte de los titulares como de LOS FICHEROS de titularidad propia, gestionando y contratando por sí mismo los medios publicitarios necesarios y asumiendo la elaboración de los criterios de segmentación aplicables en cada campaña para la mejor efectividad de las mismas. (…) CLÁUSULAS Primera: EL PROVEEDOR elaborará listados de destinatarios para la realización de campañas publicitarias, tal y como se detalla en el anexo al presente contrato. Los datos personales que se incluirán en el referido listado contendrán la siguiente información: nombre, apellidos, domicilio y, en su caso, número de teléfono. Segunda: EL PROVEEDOR declara que el origen de los datos personales que serán utilizados para la elaboración de los listados de destinatarios de las campañas será: ficheros de datos personales, recogidos directamente de fuentes accesibles al público o facilitados por los propios afectados u obtenidos con su consentimiento, ficheros cuya titularidad corresponde a terceras personas o entidades de las cuales se ha obtenido manifestación expresa de dichas terceras personas o entidades de que tales ficheros cumplen con todos los requisitos exigidos en la normativa legal sobre protección y tratamiento de datos personales en orden a su eventual utilización con fines de publicidad o prospección comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/37 (…) SEXTA.- El PROVEEDOR garantiza que cuando los datos personales utilizados para la elaboración del listado de direcciones procedan de ficheros titularidad de terceras, estas empresas los han recabado del propio interesado y cuentan con el consentimiento para su tratamiento con los fines previstos en este contrato según la legislación vigente en materia de protección de datos personales. EL PROVEEDOR verifica en los mencionados ficheros la inclusión en sus documentos o formularios de captación de los datos personales de la frase tendente a obtener el consentimiento debido y si esta se ajusta a la mencionada legislación. El PROVEEDOR exonera, en consecuencia, de cualquier responsabilidad al CLIENTE respecto de dicha utilización, siempre y cuando éste, por su parte, dé cumplimiento a cuantas obligaciones se derivan para el mismo de lo dispuesto en el presente contrato En todo caso, EL CLIENTE deberá incluir en cualquier envío o comunicación que pudiere dirigir a los destinatarios la información de que el responsable del tratamiento es Godirect, S.L., y la información necesaria para que el interesado conozca el origen de los datos tratados (empresa titular de los mismos) y los medios para ejercer sus derechos de acceso, rectificación y cancelación. En este sentido, EL PROVEEDOR indicará en el anexo correspondiente a cada campaña la información que deberá incluir EL CLIENTE en cada envío publicitario que pudiere dirigir a los destinatarios. Igual información será facilitada, en su caso, a los destinatarios de cualquier clase de campaña publicitaria. En concreto, cuando se trate de una campaña de marketing telefónico, EL CLIENTE se compromete a poner a disposición de los teleoperadores el correspondiente argumentarlo que recoja la información precedente, a fin de que puedan ser informados los consumidores que así lo reclamen>>. 5. Los Servicios de la AEPD verificaron el planning de campañas publicitarias realizadas en el marco del contrato reseñado en el Hecho Probado Cuarto. Según los datos verificados, AGME Direct recibió de GAES el encargo de emisión de la campaña publicitaria denominada PRIMAVERA 2017, la cual dio origen a la comunicación comercial recibido por la denunciante. Las características específicas de esta campaña se detallan en la Hoja de instrucciones y Anexo al contrato suscrito con fecha 9 de enero de 2009 entre GAES y AGME. Campaña Primavera 2017, de fecha 3 y 10 de marzo de 2017. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad (“GODIRTEL” -1.239.814 personas físicas- y “ASTRO” -1.700.913 personas físicas) y de GAES (el fichero “CAMPAÑAS” -144.820 destinatarios), con un total de 3.085.547 destinatarios, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. 6. Con fecha 20/07/2017, por la Inspección de Datos se comprobó que los datos personales del denunciante 1 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 7. El denunciante 1 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, la cual contiene una oferta publicitaria de los servicios y productos de GAES. En la misma se informa al denunciante 1 sobre una reserva de cita para “un estudio auditivo gratuito” del 18/04 al 20/05/2017, correspondiente al Centro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/37 GAES de O.O.O. cuya dirección se detalla en el escrito. En la parte superior izquierda figura “GAES Centro Auditivo” y en la parte inferior la siguiente leyenda informativa: “El listado de direcciones utilizado para la realización de esta campaña publicitaria ha sido elaborado por la empresa AGME Direct, S.L. responsable del fichero ante la cual usted podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición, dirigiéndose bien por escrito al Apartado de Correos 113 08390 de Montgat, al teléfono gratuito 900197685 o a info@agmedirect.es. Asimismo le informamos de que sus datos han sido obtenidos de fuentes accesibles al público, de guías de abonados a servicios telefónicos, (…)”. 8. La Inspección de Datos ha verificado que en el fichero denominado “ASTRO” consta información asociada al denunciante 1 con domicilio en “ J.J.J.” piso y puerta, fecha de nacimiento “ P.P.P.” y en el fichero denominado “GODIRTEL” con domicilio en “ N.N.N.”. 9. Mediante correo electrónico dirigido a la dirección <info@agmedirect.es>, de 25/04/2017, el denunciante ejercitó el derecho de acceso a sus datos personales ante la entidad AGME Direct, que respondió en fecha 26 de abril indicándole que disponen de su nombre, apellidos domicilio y teléfono, y que estos datos proceden de los directorios de abonados de servicios telefónicos disponibles de forma telemática, correspondientes a la actualización de enero de 2017. 10. En el marco del contrato reseñado en el Hecho Probado Cuarto, en junio de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada Campaña de OGAU 2017 + Ampliación Centro, que se realizó en el mes de septiembre de 2017 mediante envíos personalizados, la cual dio origen a la comunicación comercial recibida por el denunciante 2. Las características específicas de esta campaña se detallan en la Hoja de instrucciones y Anexo al contrato suscrito con fecha 9 de enero de 2009 entre GAES y AGME. Campaña OGAU 2017 ampliación Centro, de fecha 12 y 16 de junio de 2017. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad (“GODIRTEL” -(1.509.643 personas físicas)- y “ASTRO” -3.196.731 personas físicas) y de GAES (el fichero “CAMPAÑAS” -609.361 personas físicas), con un total de 5.315.735 destinatarios), según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. 11. Con fecha 02/11/2017, por la Inspección de Datos se comprobó que los datos personales del denunciante 2 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 12. El denunciante 2 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, la cual contiene una oferta publicitaria de los servicios y productos de GAES. Se trata de una carta publicitaria personalizada de la entidad GAES, en la que le reservan cita para revisión del día 04 al 26/09, constando en la misma la siguiente leyenda: "Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/37 Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME según convenga al teléfono gratuito 900197685 al Apartado de Correos 113, 08390 de Montgat o a info@agmedirect.es”. Con el escrito de denuncia se aporta copia de la carta publicitaria remitida por GAES dirigida al denunciante, con detalle de su nombre, apellidos y domicilio postal; en la que se indica “Campaña de detección precoz de la pérdida auditiva 2017. Dirección General de la OGAU”… “Estudio Auditivo Gratuito: Sr… (nombre y apellidos del denunciante 2). Fechas reservadas para su revisión del 4 al 26 de septiembre. Centro Colaborador: E.E.E.”, así como la dirección postal y el teléfono del centro GAES al que debe dirigirse. Como firma aparece la indicación “Director de Prevención Salud Auditiva. GAES Centros Colaboradores”. Y en el pie de página consta el texto reproducido anteriormente. 13. Por parte de la Inspección de Datos se verificó que en el fichero denominado “ASTRO” consta información asociada al denunciante 2 con domicilio en “ E.E.E.” y no consta información en el fichero denominado “GODIRTEL”. 14. Con fecha 22/03/2018, por la Inspección de Datos se comprobó que los datos personales de la denunciante 3 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 15. La denunciante 3 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, con indicación de piso y puerta, la cual contiene una oferta publicitaria de los servicios y productos de GAES. Se trata de una carta publicitaria personalizada de la entidad GAES, correspondiente a la “Campaña GAES de subvención de ayudas auditivas 2018 del 8 de enero al 24 de marzo”. 16. La denunciante 5 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, con indicación de piso y puerta, la cual contiene una oferta publicitaria de los servicios y productos de GAES. Se trata de una carta publicitaria personalizada de la entidad GAES, correspondiente a la “Campaña GAES de subvención de ayudas auditivas 2018. Del 8 de enero al 24 de marzo”. En esta carta le informan sobre una reserva de cita para “un estudio auditivo gratuito” del 01/03 al 24/03/2017, correspondiente al Centro GAES de A.A.A. cuya dirección se detalla en el escrito. En la parte inferior la siguiente leyenda informativa: “Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME según convenga al teléfono gratuito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/37 900197685 al Apartado de Correos 113, 08390 de Montgat o a info@agmedirect.es”. 17. BLAMBOS y AGME Direct suscribieron un contrato de prestación de servicios, de fecha 15/05/2009, en virtud del cual AGME Direct se encarga de la realización de campañas publicitarias de productos y servicios de aquella entidad mediante envíos postales. En dicho contrato se detalla, entre otras, las siguientes cláusulas: Primera: “En virtud del presente contrato, el Proveedor elaborará listados de destinatarios para la realización de campañas publicitarias (…). Los datos personales que se incluirán en el referido listado contendrán la siguiente información: nombre, apellidos, domicilio y, en su caso, número de teléfono. Segunda: El Proveedor declara que el origen de los datos personales que serán utilizados para la elaboración de los listados de destinatarios de las campañas o acciones de publicidad directa objeto del presente contrato será, en todo caso, el siguiente: Ficheros de datos personales, recogidos directamente de fuentes accesibles al público o facilitados por los propios afectados u obtenidos con su consentimiento, ficheros cuya titularidad corresponde a terceras personas o entidades de las cuales el Proveedor ha obtenido manifestación expresa de dichas terceras personas o entidades de que tales ficheros cumplen con todos los requisitos exigidos en la normativa legal sobre protección y tratamiento de datos personales en orden a su eventual utilización con fines de publicidad o prospección comercial”. Quinta: El Proveedor exonera, en consecuencia, de cualquier responsabilidad al Cliente (…)”. 18. En el marco del contrato reseñado en el Hecho Probado Decimoséptimo, AGME Direct recibió de BLAMBOS el encargo de emisión de la campaña publicitaria denominada “Mailing OI2 Nadal”. En el documento correspondiente a este encargo, aportado a las actuaciones por AGME Direct, figura dicha campaña con 69.495 registros extraídos del fichero ASTRO y 62.215 del fichero GODIRTEL. 19. Con fecha 14/05/2018, por la Inspección de Datos se comprobó que los datos personales de la denunciante 4 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 20. La denunciante 4 recibió de la entidad BLAMBOS una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, con indicación de piso y puerta, la cual contiene una oferta publicitaria de los servicios y productos de “OI2 Centros Auditivos”. En la parte inferior figura la siguiente leyenda informativa: “El listado de direcciones utilizado para la realización de esta campaña publicitaria ha sido elaborado por la empresa AGME Direct, S.L. y se ha incorporado a su fichero por la cesión de la empresa Comunicación Personal BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento con la finalidad de remitirle publicidad y ofertas de empresas de los sectores de ocio, formación, telecomunicaciones, financieros, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial ONG’s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación, cancelación y oposición en todo momento, dirigiéndose a AGME según convenga, al teléfono gratuito 900197685, al Apartado de Correos 113 08390 de Montgat, o a info@agmedirect.es”. En este escrito no figura la fecha de remisión pero consta: “Promoción válida hasta el 15 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/37 enero de 2018”. 21. BLAMBOS manifestó que solicitó a AGME Direct información sobre el origen de los datos de la denunciante 4 y que dicha entidad le confirmó que para la elaboración de la mencionada campaña se utilizó el fichero ASTRO. Asimismo, manifestó que la denunciante 4 fue destinataria de la campaña denominada “Mailing OI2 Nadal” contratada a AGME Direct. 22. Por los Servicios de Inspección se comprobó que en el fichero ASTRO figuran los datos personales de la denunciante 4 siguientes: G.G.G. con domicilio en “ L.L.L.”; en el campo denominado RDO (Resto domicilio) contiene “IZ 3 A”. Asimismo, se comprobó que en el fichero GODIRTEL no constan datos personales relativos a esta denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento se circunscribe a determinar si los destinatarios de los envíos publicitarios consintieron el tratamiento de sus datos personales con ocasión de las acciones publicitarias de productos de GAES y BLAMBOS realizadas por AGME Direct. La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
9. q)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
10. g)de la LOPD, define la figura del encargado del tratamiento como “…la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
11. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/37 Paralelamente, la LOPD concreta en su artículo 2 que su ámbito objetivo de aplicación se circunscribe a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. De acuerdo con esta delimitación, la LOPD establece la definición del fichero y diferencia las figuras de responsable del fichero y de responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
12. d)y
13. g)de ese artículo 3 de la LOPD anteriormente transcritos. Ello es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro ordenamiento jurídico, y conforme a ella, en el caso de los datos personales susceptibles de tratamiento automatizado, se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
14. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
15. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsables del tratamiento.
16. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso, se ha producido un tratamiento de los datos personales de los destinatarios para enviarles un folleto de publicidad, en el que figuraban su nombre, apellidos y domicilio postal. Esta acción se realizó por encargo de GAES y BLAMBOS, que eran las empresas cuyos productos se promocionaban en los envíos postales remitidos, para cuya remisión se utilizaron los datos personales de los afectados registrados en ficheros titularidad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/37 mercantil AGME Direct, empresa a la que GAES y BLAMBOS encargaron la realización de las campañas publicitarias de sus productos y la selección del público objetivo o destinario de la mismas mediante la fijación de parámetros. Conforme a las normas expuestas y las reseñadas en los Fundamentos de Derecho siguientes, las entidades GAES y BLAMBOS intervienen como responsables de los tratamientos de los datos personales realizados en el marco de las campañas encargadas por dichas entidades, pues el tratamiento acontecido se enmarca en actividades de prospección comercial cuya beneficiaria son las citadas empresas. Aunque éstas no hayan realizado materialmente el envío de las comunicaciones postales promocionales denunciadas, decidieron sobre la finalidad, el contenido y uso del tratamiento de los datos personales utilizados para la realización de la misma, por lo que son responsables del tratamiento efectuado con los datos personales en las acción de marketing reseñadas en los Hechos Probados, ya que determinaron realizar dichas campañas encargándoselas a su distribuidor AGME Direct, intervinieron en la delimitación del colectivo de personas a las que debían dirigirse y la forma en que debían tratarse los datos. AGME Direct actúa, en relación con los envíos, como responsable de los ficheros utilizados para las campañas, conforme a las definiciones reseñadas y en virtud de los contratos suscritos con GAES y BLAMBOS, en los que se estipula que las acciones publicitarias de éstas serán efectuadas sobre ficheros de datos de carácter personal de la exclusiva responsabilidad de AGME Direct. Y actúa, asimismo, como responsable del tratamiento, de conformidad con la definición del artículo 3.
17. d)de la LOPD y 5.1.
18. q)y 46 del RDLOPD, considerando lo estipulado en los respectivos contratos de prestación de servicios suscritos y en los Anexos por los que se formalizaban los encargos concretos para la realización de las cuatro campañas que constan reseñadas en los Hechos Probados. En estos Anexos se establecen los criterios para determinar los destinatarios de la misma. Se fijan variables como la edad y áreas geográficas, y de acuerdo con ello AGME Direct extrae de sus ficheros y del resto de ficheros que se indican los destinatarios de la campaña de que se trate. La indicación de determinados “valores” es lo que el artículo 46.4 del RLOPD denomina parámetros identificativos de los destinatarios, considerando como tal las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En definitiva, de acuerdo con el artículo 43 de la LOPD, AGME Direct ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de dicha norma. De la exposición precedente, se evidencia que el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros, así como a los responsables de los ficheros utilizados e, incluso, a los meros encargados que incumplan las instrucciones fijadas en el contrato o destinen los datos a otra finalidad o los comuniquen a terceros (ex. artículo 12.4 de la LOPD). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/37 III Uno de los principios básicos de la normativa reguladora del tratamiento de datos personales, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El derecho fundamental a la protección de datos, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/37 De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento de su titular, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho”. En el presente caso, se analiza la utilización de los datos personales de los denunciantes para la realización de acciones publicitarias a favor de GAES y BLAMBOS, y se imputa una infracción de lo dispuesto en el artículo 6 de la LOPD citado. En relación con los tratamientos para actividades de publicidad y prospección comercial, también resulta de aplicación en este caso lo dispuesto en el artículo 30 de la misma Ley Orgánica y el artículo 45 de su Reglamento de desarrollo (además del ya citado artículo 46 de este Reglamento), al haber realizado dicho tratamiento de datos sin haber obtenido previamente el consentimiento de los afectados y sin que exista causa que lo dispense. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/37 accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
19. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
20. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
21. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Así pues, tanto la LOPD como, más en concreto, su RLOPD, establecen que el tratamiento de datos personales con fines comerciales sólo es posible cuando exista consentimiento del afectado para ese tipo específico de tratamiento, y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad o, en su caso, sean datos personales procedentes de fuentes accesibles al público. IV En definitiva, el tratamiento de datos con fines publicitarios requiere el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público y los afectados no hayan manifestado su oposición a dicho tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/37 En el presente caso ha resultado acreditado que GAES y BLAMBOS realizaron campañas publicitarias cuyos destinatarios eran las personas que constaban, entre otros, en ficheros de AGME Direct, los denunciantes entre ellos. Asimismo, consta acreditado que AGME Direct realizó los envíos postales dirigidos a los domicilios de los destinatarios de las campañas para la promoción de los productos y servicios de GAES y BLAMBOS, sin que aquella entidad haya aportado justificación alguna para acreditar que disponía del consentimiento de las personas registradas en sus ficheros “GORDITEL” y “ASTRO”. Por tanto, los datos personales fueron utilizados con fines publicitarios sin que AGME Direct contase con su consentimiento. Y tampoco ha acreditado que concurra alguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización de los datos personales relativos al nombre, apellidos y dirección postal para la realización de envíos promocionales. Así las cosas, los titulares de los datos observan cómo éstos son tratados sin su consentimiento, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas, los datos personales de los denunciantes debieron ser excluidos de las acciones publicitarias realizadas por AGME Direct en nombre de GAES y BLAMBOS. De acuerdo con los preceptos transcritos en el anterior Fundamento de Derecho, incumbe al responsable del tratamiento de los datos estar en disposición de probar que cuenta con el consentimiento inequívoco de su titular, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD, o, al menos, probar que adoptó las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD en su artículo 6.1. En esta línea, se trae a colación la Sentencia de la Audiencia Nacional, de fecha 1 de febrero de 2006, que en cuanto a la prueba de la existencia de un consentimiento inequívoco, señalaba lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. En este mismo sentido se pronunciaba la Audiencia Nacional en su Sentencia de fecha 4 de marzo de 2009, señalando que el consentimiento “tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3.
22. h)y 6.1 de la LOPD”. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/37 considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. Acreditado por esta Agencia el uso por parte de la inculpada de los datos personales de los denunciantes con fines de marketing directo, corresponde a AGME Direct estar en condiciones de probar que había obtenido el consentimiento inequívoco de los mismos para el tratamiento de sus datos personales con fines de publicidad, pues, salvo que se encuentre legalmente amparado o se produzca alguna de las excepciones establecidas en el artículo 6.2 de la LOPD, únicamente el consentimiento inequívoco justifica y legitimaría el tratamiento del que se la inculpa. Sin embargo, en las actuaciones efectuadas en el procedimiento no consta que la inculpada haya probado contar con el consentimiento inequívoco de los destinatarios para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por el propio afectado o por haberse obtenido con su consentimiento para tal finalidad. Tampoco ha justificado la inculpada que concurriera alguno de los supuestos que dispensarían de tal consentimiento, recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento. Consecuentemente, los datos personales de los afectados fueron utilizados con fines publicitarios por la entidad citada, sin que ésta contase con su consentimiento inequívoco para ello, por lo que se considera infringido el artículo 6.1 de la LOPD por parte de AGME Direct, entidad que resulta responsable de la comisión de dicha infracción. V Según ha quedado expuesto, la entidad AGME Direct tiene como objeto social, entre otras actividades, la prestación servicios auxiliares de marketing. Desarrolla dicha actividad con carácter profesional para la promoción de productos y servicios de terceras empresas, para las que realiza campañas publicitarias masivas mediante envíos postales dirigidos a los domicilios de millones de destinatarios. Requiere, por tanto, un elevado volumen de tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/37 Para la realización de tales campañas publicitarias, AGME Direct se ocupa de fijar los parámetros identificativos que permiten la selección del público objetivo o destinatario de las mismas. En el presente caso, se realizan perfiles fijando variables como la edad y áreas geográficas, y de acuerdo con ello AGME Direct extrae de sus propios ficheros los destinatarios de las acciones publicitarias encargadas por GAES. Uno de los ficheros utilizados por AGME Direct para la selección de los destinatarios es el denominado “ASTRO”. Según las comprobaciones realizadas por los Servicios de Inspección de la AEPD, este fichero contiene un total de 8.021.729 registros, correspondientes todos ellos a personas físicas, con las siguientes categorías de datos personales: Código de cliente, apellidos y nombre, enlace apellidos (para apellidos compuestos), sexo, provincia, municipio, código de entidad colectiva, código de entidad singular, núcleo, población, código postal, tipo de vía, nombre de la vía, código de la calle, número de la calle, resto domicilio RDO (otros datos asociados a la dirección postal: piso, puerta, derecha, izquierda, etc.), fecha de nacimiento y teléfono. Del total de registros contenido en el fichero, 4.000.829 de registros incluyen la información relativa a la fecha de nacimiento de la persona y 5.401.477 de registros disponen de la dirección postal con indicación del piso y/o puerta (campo RDO). Considerando esta información, es obvio que los datos registrados en el fichero “ASTRO” no proceden de fuente accesible al público. AGME Direct no ha acreditado el procedimiento concreto de obtención de los datos personales registrados en el fichero citado ni la prestación del consentimiento por parte de las personas titulares de tales datos para que los mismos puedan ser utilizados con fines publicitarios. A este respecto, AGME Direct pretenden excluir su responsabilidad señalando que adquirió la base de datos de la entidad Comunicación Personal B.P.G., S.L., con la que suscribió un contrato de fecha 30/07/2013, en virtud del cual adquirió mediante contraprestación todos los activos relativos a la línea de negocio de marketing directo de la citada compañía, añadiendo que en dicho contrato se expone que dicho fichero cumple los requisitos necesarios para su utilización en la realización de campañas de marketing por cuanto los datos fueron recabados de los propios interesados para remitirles información de los productos de Comunicación Personal B.P.G., S.L. o de terceras empresas. Esta Agencia considera que, a los efectos de la diligencia que resulta exigible a AGME Direct, no basta con dar por ciertas las declaraciones realizadas por Comunicación Personal B.P.G., S.L. en dicho contrato, en el que ésta aseguraba que la información obrante en el fichero se había obtenido de conformidad con lo previsto en la normativa de protección de datos, procediendo, según Comunicación Personal B.P.G., S.L., de los propios interesados medando su consentimiento para su uso con fines comerciales. Para analizar esta cuestión es necesario considerar, además, que AGME Direct no adoptó ninguna cautela para asegurarse de que el fichero adquirido cumplía las exigencias previstas para su utilización posterior con la finalidad expresada, no resultando bastantes a estos efectos, como se ha dicho, las meras manifestaciones de la entidad Comunicación Personal B.P.G. recogidas en el contrato según las cuales los datos incluidos en dicho fichero se recabaron con el consentimiento de los afectados. Sería tanto como admitir que estas manifestaciones son suficientes para obviar el cumplimiento de la normativa aplicable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/37 En relación con esta exigencia de diligencia, AGME Direct no ha probado haber realizado con anterioridad a la firma del mencionado contrato algún tipo de comprobación para verificar el origen de los datos del fichero y que su obtención se había producido con arreglo a lo dispuesto en los artículos 6 y 30.1 de la LOPD y 45.1 del RLOPD respeto al principio del consentimiento. Esta omisión de la inculpada demuestra su absoluta falta de diligencia en el cumplimiento de la normativa de protección de datos. AGME Direct, como responsable del tratamiento, debió adoptar las cautelas necesarias para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos personales de los denunciantes, con independencia de las indicaciones señaladas en el contrato sobre la regularidad del fichero. La culpabilidad de dicha entidad ha quedado acreditada en atención al tratamiento de datos de los denunciantes sin su consentimiento, pues no consta en el procedimiento actuación alguna tendente a valorar si contaban con su legitimación, habida cuenta de que ni son clientes de las entidades GAES y BLAMBOS, ni constan los datos en fuentes accesibles al público. Tampoco ha aportado ningún indicio del que pueda inferirse que los titulares de los datos personales registrados en su fichero prestaron el consentimiento para su tratamiento con fines publicitarios en los términos recogidos en el artículo 45.1.
23. b)del RLOPD Conviene recordar que, desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada por el sujeto. En el supuesto analizado, se considera que AGME Direct mostró una evidente falta de diligencia ante la falta de adopción de medidas tendentes a asegurarse de la regularidad del tratamiento de los datos personales de los destinatarios de la campaña publicitaria. De acuerdo con lo dispuesto en el artículo 6 de la LOPD, AGME Direct no ha acreditado que tuviese el consentimiento para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Según lo resuelto por esta Agencia en los precedentes tramitados en el año 2017, en los que se sancionó a AGME Direct por la infracción del artículo 6 de la LOPD, dicha entidad conoce que el fichero “ASTRO” no reúne los requisitos necesarios para entender que las personas que figuran registradas en el mismo hubiesen consentido la utilización de sus datos con fines publicitarios. A pesar de ello, AGME Direct ha continuado utilizando dichos datos para la realización de campañas publicitarias masivas. Por tanto, AGME DIRECT, S.L. es responsable del tratamiento de datos de carácter personal relativos a millones de personas físicas identificadas, que afecta a los derechos fundamentales de las mismas. VI En el presente caso, ha quedado acreditado que AGME Direct resulta responsable del tratamiento de los datos personales con fines de publicidad y prospección comercial, vulnerando de este modo lo dispuesto en el artículo 6.1 de la LOPD, ya que el uso de los datos de los afectados por dicha empresa se produjo sin mediar el consentimiento de los mismos ni existir habilitación legal para ello, no siendo tampoco aplicables a este supuesto las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/37 excepciones previstas en el artículo 6.2 de la LOPD al no producirse ninguna de las circunstancias recogidas en el mismo. Dicha conducta se encuentra tipificada como infracción grave en el citado artículo 44.3.
24. b)de dicha norma, que establece como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de AGME Direct, y la exigibilidad del consentimiento viene dada en la norma aplicable. La citada entidad, al tratar los datos sin consentimiento de sus titulares, ha cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable a AGME Direct en su condición de responsable del tratamiento y como responsable del fichero utilizado en la campaña de publicidad. AGME Direct creo un fichero de datos personales de destinatarios de las campañas publicitarias sobre otros de los que es titular, y por cuenta de GAES y BLAMBOS los sometió a tratamiento utilizando los datos para la realización de una comunicación postal publicitaria, no habiéndose acreditado ninguna circunstancia que legitime dicho tratamiento de datos. En el presente caso, respecto del tratamiento de datos realizado por cuenta de GAES y BLAMBOS, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales para el que era exigible el consentimiento de los afectados, no siendo aplicable ninguna de las excepciones previstas al caso concreto, de modo que los datos personales de los denunciantes no podían utilizarse para acciones de marketing. Por tanto, AGME Direct ha vulnerado el principio del consentimiento regulado en el artículo 6.1 de la LOPD, en relación con lo dispuesto en el artículo 30.1 de la misma norma y con lo previsto en el artículo 45 del RLOPD, conducta que encuentra su tipificación en este artículo 44.3.
25. b)de la citada Ley Orgánica. VII AGME Direct, en su escrito de alegaciones a la apertura del procedimiento sancionador, señala que el tratamiento de los datos realizado, que resulta de la utilización de tales datos para realizar un envío publicitario personalizado, es lícito en el caso de varios denunciantes y, de acuerdo con este planteamiento, solicita el archivo parcial del procedimiento. A este respecto, debe advertirse, en primer término, que las presentes actuaciones estuvieron motivadas por las denuncias reseñadas en los antecedentes, pero el objeto de las mismas está constituido por las campañas publicitarias realizadas, valoradas en su conjunto de conformidad con los detalles expresados en los Fundamentos de Derecho que preceden. Por esta razón, no cabe estimar aquella alegación declarando que en algún caso concreto el tratamiento se realizó de conformidad con la normativa, cuando los defectos apreciados afectan a millones de destinatarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/37 Además, tampoco esta Agencia comparte las razones que argumenta AGME Direct para justificar la regularidad de los tratamientos de datos que cita en su escrito de alegaciones. Es el caso del denunciante 1, al que se refiere la citada entidad manifestando que los datos se obtuvieron de fuente accesible al público, pero sin acreditar esta circunstancia en modo alguno. Por el contrario, los Servicios de Inspección de la Agencia si comprobaron que los datos personales de los denunciantes 1 a 4 no figuraban en repertorios de abonados a servicios telefónicos. Por otra parte, para justificar que dispone del consentimiento de algunos de los afectados para la utilización de sus datos (aquellos a los que remitió alguna comunicación comercial en campañas anteriores), AGME Direct alega que obtuvo dicho consentimiento mediante la información ofrecida en las leyendas que incluían la publicidad remitida en ocasiones anteriores, conforme al procedimiento previsto en el artículo 14.2. del RLOPD, en el que se establece que “El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal”. Se refiere AGME Direct a la información que facilita en los envíos publicitarios que realiza, en los que incluye una leyenda informativa que facilita el detalle sobre el origen (adquisición del activo de la sociedad Comunicación Personal B.P.G., S.L., incluida la base de datos), titularidad y finalidad el fichero ASTRO y ofrecía la posibilidad del ejercicio de los derechos de los afectados. Con esta cláusula informativa incluida en los envíos publicitarios, entiende AGME Direct cumplido el deber de información y obtención del consentimiento de conformidad con el artículo 14.2 del RLOPD, considerando que la recepción de esos envíos y la no oposición por parte de los receptores conllevó el consentimiento para el tratamiento de los datos. La cláusula informativa a la que se refiere AGME Direct indica lo siguiente: "Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME según convenga al teléfono gratuito 900197685 al Apartado de Correos 113, 08390 de Montgat o a info@agmedirect.es”. No obstante, tales manifestaciones no pueden prosperar pues corresponde al responsable del fichero acreditar que obtuvo los datos de los propios afectados con su consentimiento o que proceden de fuentes accesibles al público, y esto no consta acreditado en este caso. Esta situación no se solventa con la información facilitada en los envíos publicitarios, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/37 cual no permite considerar válidamente prestado el consentimiento. Debe señalarse que el artículo 14 del Reglamento de desarrollo de la LOPD no tiene el alcance pretendido por AGME Direct. El mismo se refiere a la “Forma de recabar el consentimiento” en los términos siguientes: “1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. 4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. 5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud”. Este artículo establece un mecanismo para recabar un consentimiento tácito del titular de los datos válido para determinados supuestos y tratamientos. Pero el empleo de este mecanismo no puede entenderse como una posibilidad con virtualidad suficiente para salvar los principios y normas establecidos en los preceptos citados en los Fundamentos de Derecho que preceden, sobre los que se estima oportuno insistir a continuación para una mayor claridad expositiva. La LOPD proclama en el artículo 6 el principio del consentimiento en el tratamiento de los datos personales y dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. (…) 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos”. Por lo que respecta al tratamiento de datos personales con fines de publicidad, el artículo 30.1 de la LOPD indica: “Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/37 actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. Este último precepto añade en el apartado 4, que “los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. En el mismo sentido, el artículo 45 del RLOPD señala que “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
26. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
27. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
28. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” El tratamiento de datos con fines publicitarios constituye una finalidad que no se encuentra relacionada directamente con el vínculo contractual y que requiere por ello un consentimiento específico. Una vez otorgado el consentimiento para tratar los datos con fines publicitarios éste permanece en tanto no sea revocado en los términos previstos en el artículo 6.3 o no se ejercite el derecho de oposición conforme al artículo 30.4 ambos de la LOPD. En relación con todo lo expuesto, es preciso tener presente que el propio registro y almacenamiento de los datos en un fichero ya constituye en sí un tratamiento de datos, al igual que la utilización de los mismos para la realización de envíos publicitarios. Se trata de dos tratamientos de datos autónomos e independientes para los que se requiere el consentimiento previo de los afectados. Por tanto, en ningún caso, la información que se facilite en el envío promocional puede considerarse como una obtención válida de dicho consentimiento a los efectos pretendidos por AGME Direct en su escrito de alegaciones, salvo que los datos hubiesen sido obtenidos con el consentimiento de su titular, prestado de forma inequívoca e informada, y que las finalidades para las que se hubiera prestado dicho consentimiento en origen incluyeran la utilización de los datos con finalidad publicitaria. VIII Para los casos citados, es decir, los relativos a los denunciantes que hayan venido aceptando publicidad en campañas anteriores, sin que los mismos hubiesen ejercitado su derecho de cancelación, entiende AGME Direct que el interés legítimo constituye una base alternativa que legitima el tratamiento de los datos, conforme a lo establecido en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/37 7,
29. f)de la Directiva 95/46/CE y 6.1.
30. f)del RGPD, el cual contempla “el tratamiento de datos personales con fines de mercadotecnia directa” como uno de los supuestos en los que puede apreciarse dicho interés legítimo (Considerando 47). A este respecto, cita el Informe 195/2017 del Gabinete Jurídico de la Agencia, según el cual, en el caso de comunicaciones comerciales que realice una entidad sobre sus productos y/o servicios que los clientes hayan venido aceptando habitualmente, la publicidad se convierte en una expectativa razonable derivada del propio tratamiento, concluyendo que ese tratamiento podría ampararse en el artículo 6.1.
31. f)del RGPD cuando las acciones se lleven a cabo por medios no electrónicos y los productos o servicios ofertados puedan considerarse similares a los contratados por el cliente. El citado Considerando 47 del RGPD señala lo siguiente: “El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. Del contenido de este Considerando interesa destacar, especialmente, que el interés legítimo constituye una base jurídica para el tratamiento teniendo en cuenta las expectativas razonables del interesado, según la relación que el mismo mantenga con el responsable y siempre que el tratamiento de que se trate pudiera preverse en el momento de la recogida de los datos, también de “forma razonable”, de modo que si no concurrieron circunstancias que permitieran al interesado esperar que se realice un tratamiento ulterior, prevalecerán sus intereses y derechos fundamentales. En modo alguno puede estimarse que la utilización de los datos personales con fines de mercadotecnia puede realizarse sin ninguna limitación y sin establecer garantías para el afectado. Aquellas previsiones no concurren en el presente supuesto, en el que los afectados no tienen relación alguna con AGME Direct, ni ésta recabó los datos directamente de los mismos. Ni siquiera en el presente este caso se conoce el origen de los datos utilizados para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/37 realización de las campañas publicitarias. Siendo así, los destinatarios de la publicidad no esperan que AGME Direct trate sus datos personales con fines publicitarios ni concurre ninguna circunstancia que les permitiera tener alguna expectativa al respecto. Según el análisis realizado sobre esta cuestión, el Gabinete Jurídico de la AEPD, en su Informe número 0195/2017, entiende que la causa legitimadora contenida en el artículo 6.1
32. f)del Reglamento UE 2016/679, en casos de tratamientos de datos para fines de mercadotecnia no realizados a través de medios electrónicos, a los que no es de aplicación la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la información y comercio electrónico (LSSI), puede ser apreciada cuando se traten datos personales de clientes de la entidad responsable y se publiciten productos y servicios similares a los que inicialmente fueron adquiridos o contratados por el mismo, teniendo en cuenta siempre, en el juicio de ponderación que procede realizar para determinar qué ha de considerarse “producto o servicio similar”, la expectativa razonable del cliente. Y añade que la ponderación “no operaría cuando se tratase de publicidad u oferta de productos o servicios que no guardan relación con la actividad de la entidad, sino que la acción publicitaria deriva de la existencia de un determinado acuerdo con el anunciante al que se refiriese la publicidad”. Por otra parte, señala el Informe reseñado que “la ponderación que acaba de realizarse sería aplicable a los supuestos en que el interesado mantuviera una relación con la entidad, sin afectar a aquéllos en que el cliente hubiese cesado en esa relación”. Y concluye que, “siempre partiendo de que las entidades darían pleno cumplimiento a sus obligaciones de transparencia, conforme a los artículos 13 y 14 del Reglamento general de protección de datos, estableciendo además un procedimiento sencillo para el ejercicio del derecho de oposición, cabría considerar que el tratamiento podría ampararse en el artículo 6.1
33. f)del citado Reglamento cuando las acciones se llevasen a cabo por medios no electrónicos, el afectado siguiese siendo cliente de la entidad y los productos o servicios ofertados puedan considerarse “similares” a los contratados por el cliente”. Por tanto, no puede estimarse la alegación efectuada por AGME Direct según la cual el tratamiento de datos realizado por la misma se encuentra legitimado por la concurrencia de un interés legítimo perseguido por el responsable del tratamiento. Por otra parte, en cuanto a la solicitud que la citada entidad realiza en su escrito de alegaciones a la apertura del procedimiento para que se acuerde la supresión parcial de los datos personales registrados en el fichero “ASTRO”, cabe señalar que esta cuestión fue objeto de la resolución dictada por esta Agencia en fecha 20/06/2018, en la que se valoró la procedencia de aplicar las previsiones reguladas en el artículo 49 de la LOPD, la cual fue debidamente notificada a AGME Direct el pasado 26/06/2018. IX El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/37 “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
34. a)El carácter continuado de la infracción.
35. b)El volumen de los tratamientos efectuados.
36. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
37. d)El volumen de negocio o actividad del infractor.
38. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
39. f)El grado de intencionalidad.
40. g)La reincidencia por comisión de infracciones de la misma naturaleza.
41. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
42. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
43. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
44. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
45. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
46. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
47. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
48. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La entidad imputada solicita la aplicación del artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de la prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Asimismo, conviene recordar que, desde el punto de vista material, la culpabilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/37 consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
49. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “...el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se considera, de conformidad con el art. 45.5 LOPD, que no procede aplicar la escala de sanciones prevista para las infracciones leves considerando que los hechos denunciados se refieren a envíos postales realizados en el marco de cuatro campañas publicitarias distintas con millones de destinatarios obtenidos de los ficheros “GORDITEL” y “ASTRO”. Para la graduación de la multa correspondiente a este procedimiento, tras las evidencias obtenidas, conforme a lo dispuesto en el artículo 45.4 de la LOPD, se tiene en cuenta, en concreto, la vinculación de la actividad de AGME Direct con el tratamiento de datos de carácter personal (criterio c); su actividad de prestación de servicios de marketing (criterio d); los beneficios obtenidos como consecuencia de la comisión de la infracción (criterio e); el volumen de tratamientos de datos que conllevan las campañas realizadas por el gran número de destinatarios de la misma (criterio b); y el carácter continuado de la infracción (criterio a). Asimismo, se considera que AGME Direct ha mostrado una falta de diligencia en la adopción de medidas adecuadas para gestionar el seguimiento del tratamiento de los datos personales de los destinatarios de sus campañas publicitarias, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cu