1/12 Procedimiento Nº PS/00181/2015 RESOLUCIÓN: R/01378/2015 En el procedimiento sancionador PS/00181/2015, instruido por la Agencia Española de Protección de Datos a la entidad PRINT LASER SPAIN, S.L., vista la denuncia presentada por Dª. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 1 de abril de 2014, escrito presentado por Dª B.B.B. (en adelante la denunciante), en el que denuncia a las compañías Grupo Medisalud TV, S.L.U. (experiencias MEDISALUD) y Print Laser Spain, S.L. manifestando que ha recibido publicidad por correo postal, figurando datos personales que en ningún momento ha facilitado a las mencionadas empresas. Que ha intentado ponerse en contacto con Grupo Medisalud TV, S.L.U. a través de su página web pero da fallo de conexión. En el envío publicitario se invita a la denunciante, Dª. B.B.B., a participar en un acto que se celebrará, el día 12 de abril de 2014, excursión crucero romántico por la Sevilla monumental, que incluye una demostración patrocinada por el Grupo Medisalud. En el pie de página consta la siguiente leyenda: "La información utilizada para este envío publicitario procede de ficheros de Print Laser Spain, S.L. Apartado de Correos nº ** – ***LOCALIDAD.1 (Madrid) donde Usted podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición". También figura: "Organiza y patrocina Experiencias MEDISALUD. Toda la información en: www.experienciasmedisalud.com". Por otra parte, se adjunta impresión de pantalla del Formulario de Contacto cumplimentado con los datos de la denunciante, de la página web del Grupo Medisalud, en el que consta el texto: "Falló el envío del mensaje. Por favor inténtelo más tarde o contacte con el administrador por otro medio”. También, en dicho sitio web consta la dirección postal y el teléfono de la compañía". SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se ha verificado por parte de la Inspección de Datos de esta Agencia que el nombre y apellidos de la denunciante no constan en la guía de servicios de telecomunicaciones, en la página web denominada <blancas.paginasamarillas.es>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Dichas circunstancias constan en la Diligencia de fecha 19 de enero de 2015. 2. En el Registro General de Protección de Datos figura inscrito el fichero denominado “COMERCIAL Y MARKETING”, siendo responsable la compañía Print Laser Spain, S.L., cuya finalidad es “publicidad y prospección comercial” y como origen de los datos se detalla “el propio interesado o su representante legal, registros públicos, fuentes accesibles al público, otras personas físicas, entidad privada”. Dichas circunstancias constan en la Diligencia de fecha 19 de enero de 2015. 3. La Inspección de Datos ha verificado que en la página web <www.experienciasmedisalud.com> figura un “formulario de contacto”, en el que es necesario facilitar la siguiente información: nombre, dirección de correo electrónico, asunto y su mensaje a continuación se visualiza el texto “su mensaje se ha enviado con éxito”. Dichas circunstancias constan en la Diligencia de fecha 19 de enero de 2015. 4. La compañía Print Laser Spain, S.L. ha comunicado a la Inspección de Datos, con fecha de 10 de febrero de 2015, lo siguiente: El origen de los datos personales de la denunciante utilizados en la campaña publicitaria fueron sus propios ficheros y la información ha sido tratada exclusivamente por la compañía y no ha sido comunicada al cliente. Los tratamientos que fueron contratados por MEDISALUD, en los que se utilizaron los datos personales, consistieron en el diseño y ejecución de una campaña de publicidad y, en concreto, los servicios fueron determinación de los destinatarios de la campaña, selección de los datos en sus ficheros, extracción, impresión de las cartas y su envío a los destinatarios. Por tanto, los parámetros identificativos de los destinatarios de la publicidad fueron determinados exclusivamente por Print Laser Spain, S.L. y consistieron en una selección por código postal de residencia. En el contrato suscrito por las partes, el día 15 de mayo de 2013, y que se aporta con su escrito, se detallan, entre otros, los siguientes aspectos: Objeto del contrato: Constituye el objeto del presente Contrato la prestación por parte de PROVEEDOR (Print Laser Spain, S.L.) de los siguientes servicios: 1. La recopilación y segmentación de los datos de carácter personal en los ficheros titularidad de PROVEEDOR para su posterior utilización con el fin de ejecutar la campaña de marketing encargada por el CLIENTE (MEDISALUD). Las campañas de marketing serán diseñadas por el PROVEEDOR. Los criterios de segmentación de destinatarios serán fijados exclusivamente por PROVEEDOR. Garantías:
- a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3
- j)de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
- b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
- c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD. Sin embargo en su escrito, Print Laser Spain, S.L. no acredita el origen de los datos personales de la denunciante. 5. La compañía Grupo Medisalud TV, S.L.U. ha comunicado a la Inspección de Datos, con fecha de 10 de febrero de 2015, en relación con la publicidad recibida por la denunciante lo siguiente: No constan en sus ficheros datos de la denunciante por lo que no disponen de documentación que acredite el procedimiento de obtención de información asociada a la misma. Para la realización de la campaña publicitaria objeto de la denuncia, MEDISALUD tiene suscrito con la mercantil Print Laser Spain, S.L. un “Contrato de selección de datos carácter personal y personalización de documentos publicitarios”, de fecha 15 de mayo de 2013. Según resulta de los términos de dicho contrato, la sociedad Print Laser Spain tiene la condición de “responsable del fichero”, se encarga de la recopilación y segmentación de los datos de carácter personal que constan en sus ficheros y que son posteriormente utilizados por ella misma para ejecutar la campaña de marketing encargada por MEDISALUD. Por lo tanto, en ningún caso los datos personales de la denunciante constan en los ficheros de MEDISALUD ni han sido recabados ni tratados nunca por la empresa. De hecho, en la medida en que la campaña se diseñó y ejecutó por la mercantil Print Laser Spain, S.L. ni siquiera accedió a los datos utilizados en ella. Respecto al funcionamiento de “Contacto” de la página web, éste ha sido revisado y es correcto. Tampoco, les consta la existencia de ninguna incidencia al respecto en los términos señalados por la denunciante. En cuanto al procedimiento que tiene implantado MEDISALUD para el ejercicio de los derechos ARCO, las solicitudes presentadas en este sentido son respondidas con el envío de los formularios —y sus correspondientes hojas instruccionesque adjuntan. TERCERO: Con fecha 25 de marzo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad PRINT LASER SPAIN, S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad PRINT LASER SPAIN, S.L. mediante escrito de fecha 16 de abril de 2015formuló alegaciones, significando, que: “Una vez realizada la correspondiente investigación interna, hemos comprobado que, aunque los datos de D. B.B.B. efectivamente figuran en nuestro fichero, no podemos precisar su origen, ni la razón por la que se encuentran en nuestra base de datos, en la medida en que no nos consta que aparezcan en fuentes accesibles al público ni que la interesada haya otorgado su consentimiento. Tal situación hace que debamos reconocer los hechos que nos son imputados en el Acuerdo de Inicio de Procedimiento Sancionador, en la medida en que, aunque desconozcamos la causa por la cual los datos de la denunciante se encontraban en nuestro fichero, la entidad que represento ha tratado dichos datos sin su consentimiento para el envío de la publicidad que ha dado origen a este procedimiento. Somos una empresa joven y, aunque intentamos cumplir estrictamente la normativa sobre protección de datos personales (así como cualquier otra), su complejidad no nos lo pone sencillo. Además, pese a nuestro esfuerzo en cumplir la legalidad, la posibilidad de cometer errores siempre es un hecho insoslayable para cualquier empresa que trata datos de carácter personal. En cualquier caso, hemos procedido a corregir diligentemente la situación y hemos cancelado de modo definitivo los datos de la denunciante, para evitar que en el futuro puedan ser tratados de cualquier otro modo. (…) PRIMERO.- Que se dicte por esa Agencia Resolución en la que, tras declarar la comisión de la infracción imputada, acuerde sustituir la correspondiente sanción económica por un apercibimiento, en aplicación del artículo 45.6 de la LOPD, por concurrir todas las circunstancias exigidas en el mismo para dictar dicho acuerdo; a saber:
- a)La entidad que represento nunca ha sido sancionada o apercibida con anterioridad por infringir la LOPD.
- b)La infracción cometida no tiene la calificación legal de muy grave. Además, como se ha justificado en el cuerpo de este escrito, concurren significativamente en este caso las siguientes circunstancias del artículo 45.5 de la LOPD:
- a)Mi representada ha reconocido espontáneamente su responsabilidad en los hechos.
- b)Se ha regularizado la situación infractora de forma diligente, procediendo a la cancelación definitiva de los datos de la denunciante en nuestros ficheros.
- c)Concurren, además, las siguientes circunstancias atenuantes del apartado 4 del artículo 45 de la LOPD: i. No ha existido ninguna intencionalidad en la comisión de la infracción. ii. El beneficio obtenido por mi representada como consecuencia de la infracción es mínimo. iii. Mi representada nunca ha sido sancionada con anterioridad por infringir la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 iv. El perjuicio causado a la interesada ha sido irrelevante, consistente sólo en la recepción de una comunicación comercial por correo postal, sin denostar, no obstante, la inquietud que le haya podido causar el conocimiento de que sus datos estaban siendo tratados sin consentimiento. v. A lo largo de la vida de esta entidad, no se ha incoado ningún otro procedimiento sancionador por los hechos imputados, lo que acredita que nuestros procedimientos de control de legalidad de los datos de nuestros ficheros funcionan adecuadamente, habiéndose debido el hecho a una disfunción excepcional. Todo lo anterior justifica que, en aplicación del artículo 45.6 de la LOPD, se dicte por esa Agencia Resolución en la que se acuerde sustituir la correspondiente sanción económica por un apercibimiento. SEGUNDO.- Subsidiariamente a lo anterior, que, por las mismas razones expuestas en el solicitando PRIMERO, se dicte Resolución en la que, tras declarar la existencia de la infracción, en aplicación del artículo 45.5 de la LOPD y teniendo en cuenta todas las circunstancias atenuantes justificadas en dicho apartado, se acuerde establecer la sanción en la cuantía correspondiente a las infracciones leves, imponiéndola en su grado mínimo y fijándola en un importe de 900 €”. QUINTO: Con fecha 8 de abril de 2015 tiene entrada en esta Agencia un escrito de la denunciante en el que comunica que comparece en el procedimiento y que solicita que se le tenga por personada como parte interesada. SEXTO: Al haberse reconocido la responsabilidad por la entidad imputada, procede la aplicación de lo dispuesto en el artículo 8.1 de Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva al Director de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: Se ha comunicado a esta Agencia la recepción de un envío publicitario con el nombre y domicilio de la denunciante en el que se la participar en un acto que se celebrará, el día 12 de abril de 2014, excursión crucero romántico por la Sevilla monumental, que incluye una demostración patrocinada por el Grupo Medisalud. En el pie de página consta la siguiente leyenda: "La información utilizada para este envío publicitario procede de ficheros de Print Laser Spain, S.L. Apartado de Correos nº 12 – ***LOCALIDAD.1 (Madrid) donde Usted podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición". También figura: "Organiza y patrocina Experiencias MEDISALUD. Toda la información en: www.experienciasmedisalud.com". SEGUNDO: Se ha verificado por la Inspección de Datos de esta Agencia que el nombre y apellidos de la denunciante no constan en la guía de servicios de telecomunicaciones, en la página web denominada <blancas.paginasamarillas.es>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Se constata que en el Registro General de Protección de Datos figura inscrito el fichero denominado “COMERCIAL Y MARKETING”, siendo responsable la compañía Print Laser Spain, S.L., cuya finalidad es “publicidad y prospección comercial” y como origen de los datos se detalla “el propio interesado o su representante legal, registros públicos, fuentes accesibles al público, otras personas físicas, entidad privada”. TERCERO: La compañía Print Laser Spain, S.L. ha comunicado a la Inspección de Datos, que el origen de los datos personales de la denunciante utilizados en la campaña publicitaria fueron sus propios ficheros y la información ha sido tratada exclusivamente por la compañía y no ha sido comunicada al cliente. Que los tratamientos que fueron contratados por MEDISALUD, en los que se utilizaron los datos personales, consistieron en el diseño y ejecución de una campaña de publicidad y, en concreto, los servicios fueron determinación de los destinatarios de la campaña, selección de los datos en sus ficheros, extracción, impresión de las cartas y su envío a los destinatarios. Por tanto, los parámetros identificativos de los destinatarios de la publicidad fueron determinados exclusivamente por Print Laser Spain, S.L. y consistieron en una selección por código postal de residencia. Print Laser Spain, S.L. no acredita el origen de los datos personales de la denunciante. CUARTO: La compañía Grupo Medisalud TV, S.L.U. ha comunicado a la Inspección de Datos, que no constan en sus ficheros datos de la denunciante por lo que no disponen de documentación que acredite el procedimiento de obtención de información asociada a la misma. Para la realización de la campaña publicitaria objeto de la denuncia, MEDISALUD tiene suscrito con la mercantil Print Laser Spain, S.L. un “Contrato de selección de datos carácter personal y personalización de documentos publicitarios”, de fecha 15 de mayo de 2013. Según resulta de los términos de dicho contrato, la sociedad Print Laser Spain tiene la condición de “responsable del fichero”, se encarga de la recopilación y segmentación de los datos de carácter personal que constan en sus ficheros y que son posteriormente utilizados por ella misma para ejecutar la campaña de marketing encargada por MEDISALUD. Por lo tanto, en ningún caso los datos personales de la denunciante constan en los ficheros de MEDISALUD ni han sido recabados ni tratados nunca por la empresa. De hecho, en la medida en que la campaña se diseñó y ejecutó por la mercantil Print Laser Spain, S.L. ni siquiera accedió a los datos utilizados en ella. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 II Se imputa a la entidad PRINT LASER SPAIN, S.L. el tratamiento de los datos de la denunciante sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de la denunciante realizado por la entidad PRINT LASER SPAIN, S.L. resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que la denunciante hubiera prestado el consentimiento para el tratamiento de sus datos, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
- c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
- b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que la denunciante recibió una comunicación publicitaria por correo postal a su nombre y domicilio sin que se conozca el origen de los datos personales de la denunciante. La entidad denunciada ha manifestado en las alegaciones al acuerdo de inicio del procedimiento sancionador que “hemos comprobado que, aunque los datos de D. B.B.B. efectivamente figuran en nuestro fichero, no podemos precisar su origen, ni la razón por la que se encuentran en nuestra base de datos, en la medida en que no nos consta que aparezcan en fuentes accesibles al público ni que la interesada haya otorgado su consentimiento. Tal situación hace que debamos reconocer los hechos que nos son imputados en el Acuerdo de Inicio de Procedimiento Sancionador, en la medida en que, aunque desconozcamos la causa por la cual los datos de la denunciante se encontraban en nuestro fichero, la entidad que represento ha tratado dichos datos sin su consentimiento para el envío de la publicidad que ha dado origen a este procedimiento”. Y continúa exponiendo que “En cualquier caso, hemos procedido a corregir diligentemente la situación y hemos cancelado de modo definitivo los datos de la denunciante, para evitar que en el futuro puedan ser tratados de cualquier otro modo.” Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 los datos personales de la denunciante a quien se envió un correo publicitario, sin que se haya acreditado por la entidad denunciada, que contaba con su consentimiento para dicho tratamiento, ni cuál es el origen de sus datos de carácter personal, infringiendo así el artículo 6.1 de la LOPD. IV El artículo 44.3.
- b)de la LOPD, dispone que es infracción grave: “
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma sin ser aplicables las excepciones previstas. V Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. C/ Jorge Juan, 6 28001 – Madrid La acreditación de que con anterioridad a los hechos constitutivos de www.agpd.es sedeagpd.gob.es 10/12 infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En primer lugar debemos valorar la aplicación de lo solicitado respecto de la aplicación del apartado 6 del artículo 45 de la LOPD que permite no acordar la apertura de procedimiento sancionador y en su lugar apercibir al sujeto responsable. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, en concreto en relación con los apartados
- c)y
- e)del precepto, en el sentido de que la creación y explotación de bases de datos que contienen datos de carácter personal, es un elemento fundamental de la base de su negocio, hace a la entidad PRINT LASER SPAIN, S.L. plenamente conocedora de las obligaciones que derivan de la LOPD y su incumplimiento pone de manifiesto la falta de diligencia prestada y el elemento culpabilístico resulta acreditado dotando a la conducta de la citada mercantil de un mayor grado de antijuridicidad. En este sentido conviene recordar lo recogido por la Sentencia de la Audiencia Nacional Recurso 104/2006 señala que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”, en el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que ”pues la naturaleza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentales- art. 18.4 CE”. De manera que concurren en el caso analizado las siguientes circunstancias: la vinculación de la actividad del infractor con el tratamiento de datos personales, que no es accidental o excepcional sino que constituye el principal objeto de su negocio; el beneficio obtenido como consecuencia de la comisión de la infracción, por idénticas razones que el anterior motivo, explota económicamente la base de datos de carácter personal; por la intencionalidad en cuanto a elemento subjetivo del tipo infractor, recuérdese que la diligencia prestada ha de ser exquisita atendiendo a las obligaciones que impone a la LOPD a un operador en el “mercado de datos” de la que se deriva especial vinculación. Por todo ello no es posible aceptar lo alegado respecto de la aplicación de lo previsto en el apartado 6 del artículo 45 de la LOPD. Respecto de la aplicación del artículo 45.5 se considera la concurrencia significativa de varios de los criterios enunciados en este apartado como son el b y el d porque la entidad infractora ha regularizado la situación irregular de forma diligente cancelando los datos de la denunciante de su base de datos, y por otra parte la entidad imputada ha reconocido espontáneamente su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad y procede imponer una sanción correspondiente a una infracción leve. Por otro lado respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, y teniendo en cuenta que durante la tramitación del presente procedimiento se ha procedido a la regularización de la situación irregular y se ha reconocido la culpabilidad, permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 1.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PRINT LASER SPAIN, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45.1, .2, .4 y .5 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 SEGUNDO: NOTIFICAR la presente resolución a la entidad PRINT LASER SPAIN, S.L. y a Dª. B.B.B. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es