PS-00196-2015

1/36 Procedimiento Nº PS/00196/2015 RESOLUCIÓN: R/02458/2015 En el procedimiento sancionador PS/00196/2015, instruido por la Agencia Española de Protección de Datos a las entidades HOME XXI HOGAR Y DESCANSO S.L. y MEGA DATA INTEGRAL SERVICES, S.L., vista la denuncia presentada por Dña. F.F.F. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5 de mayo de 2014 tiene entrada en esta Agencia un escrito de Dña. F.F.F., en lo sucesivo la denunciante, en el que declara lo siguiente: Que recibió en su domicilio un escrito en el que HOME XXI HOGAR Y DESCANSO, S.L., en lo sucesivo HOME XXI, le invita a asistir a una reunión promocional de productos. Que al acudir a la reunión le solicitan que facilite sus datos de nombre y apellidos, D.N.I., teléfono etc… y que firme el formulario, indicándole que si no proporciona dicha información no puede asistir a la reunión, aunque ya disponen de sus datos en sus ficheros. Ante lo cual, la denunciante exige la anulación de sus datos de los ficheros de la empresa al no haber dado su autorización para el tratamiento de los mismos. J unto a la denuncia se aporta: Copia del envío publicitario recibido por la denunciante en su domicilio en el que junto con el número de la calle aparece el número de la casa. El envío contiene una leyenda en la que figura que: “La información utilizada para este envío publicitario procede de ficheros propiedad de MEGA DATA SERVICE S.L. De conformidad con lo dispuesto en la Ley 15/1999, de 13 de Diciembre de Protección de Datos de Carácter Personal, los arriba firmantes dan su consentimiento para que sus datos facilitados sean incorporados a un fichero del que es responsable la Entidad HOME XXI HOGAR Y DESCANSO S.L. con la finalidad de realizar acciones de prospección comercial y remitirle información sobre nuestros productos y servicios, incluso por vía electrónica. Asimismo, autoriza expresamente a HOME XXI HOGAR Y DESCANSO S.L. a ceder sus datos a ENDOBU CORPORATION, S.L. y otras entidades del Grupo Empresarial y/o participadas por esta sociedad, con la finalidad de realizar acciones de prospección comercial y remitirle información sobre sus productos y servicios, incluso por vía electrónica. Podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición establecidos en dicha Ley, adjuntando fotocopia de su DNI/Pasaporte y dirigiéndose al Departamento de Atención al Cliente de HOME XXI HOGAR Y DESCANSO S.L. (LOPD), calle (…)”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/36 hechos: - Se ha realizado una búsqueda de los datos de la denunciante en el repertorio de Páginas Blancas disponible en internet, no obteniendo constancia de la existencia de los mismos. - Con fecha 17 de febrero de 2015, HOME XXI ha remitido a esta Agencia la siguiente información: 1. No disponen en sus ficheros de ningún dato relativo a la denunciante. 2. El fichero con los datos utilizados para realizar la campaña es de la compañía MEGA DATA INTEGRAL SERVICES, S.L., en adelante MEGA DATA, con quien habían suscrito un contrato al efecto en fecha 2 de junio de 2013, del que aportan copia. 3. Respecto a este contrato, manifiestan que sustituyo a uno de fecha anterior, que fue cancelado, debido a que en el mes de mayo de 2013, fueron sancionados por la Agencia, como consecuencia de una campaña que les había realizado MEGADATA. 4. No obstante, como MEGADATA siguió defendiendo la legalidad de los datos de que disponía y que utilizaba para las campañas publicitarias y acreditó que había recurrido la sanción de la Agencia, tomaron la decisión de seguir trabajando con MEGADATA como proveedor aunque exigiendo garantías adicionales a través de un nuevo contrato. 5. No disponen de la factura de la campaña publicitaria a la que corresponde el envío publicitario recibido por la denunciante, ya que dicha factura fue devuelta a MEGADATA, cuando en mayo de 2014, tuvieron conocimiento del inicio de dos nuevos procedimientos sancionadores en la Agencia a MEGA DATA, este hecho provocó la resolución del contrato vigente con MEGA DATA y la decisión de no pagar las facturas pendientes hasta esa fecha. 6. Aportan copia del escrito remitido a MEGA DATA, con fecha 30 de mayo de 2014 en el que les comunican la resolución definitiva del contrato suscrito con fecha 2 de junio de 2013, ya que las garantías que expresamente asumió MEGA DATA respecto a los datos utilizados en la campaña no se han cumplido, por lo que les devuelven las facturas pendientes que corresponden a las campañas del mes de marzo y abril. - Con fecha 30 de enero de 2015, se remite un requerimiento de información a MEGA DATA, a la dirección que consta en el contrato suscrito con HOME XXI. El escrito ha sido devuelto por el servicio de Correos con el literal “Se ausentó 11:45 sin dejar ninguna dirección”. - Con fecha 12 de febrero de 2015, se remite de nuevo el requerimiento de información al apartado de correos que consta en el envío publicitario recibido por la denunciante como dirección de MEGADATA para el ejercicio de los derechos ARCO. El escrito ha sido devuelto por el servicio de Correos con el literal “Ausente en reparto” TERCERO: Con fecha 17 de abril de 2015, se acordó iniciar procedimiento sancionador a la mercantil HOME XXI HOGAR Y DESCANSO S.L. por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), en su relación con lo previsto en el artículo 46 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/36 Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RDLOPD ), así como a la mercantil MEGA DATA INTEGRAL SERVICES, S.L., por presunta infracción del artículo 6.1 de la LOPD, tipificadas ambas como infracción grave en el artículo 44.3.

1. b)de la citada Ley Orgánica, pudiendo ser sancionada cada una de las citadas sociedades con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley Orgánica. CUARTO: Notificado el acuerdo de inicio a HOME XXI con fecha de 23 de abril de 2015, según consta en el acuse de recibo del Servicio de Correos, el Administrador Único de dicha entidad solicitó copia del expediente mediante escrito de fecha 29 de abril de 2015, la cual fue entregada a la persona autorizada por dicho Administrador Único con fecha 4 de mayo de 2015, según figura en el Recibí obrante en el procedimiento. QUINTO: Con fecha 23 de abril de 2015 se intentó la notificación del citado Acuerdo de Inicio en el domicilio social de MEGA DATA que consta en el Registro Mercantil Central, resultando infructuosa su práctica por “ Desconocido/a” en c/ A.A.A., BILBAO. Conforme a lo dispuesto en los artículos 59.5, 60.2 y 61 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, (en adelante LRJ-PAC) - Con fecha de 30 de mayo de 2015 la notificación el Acuerdo de Inicio se publicó en el B.O.E núm. 129; Sec. V-B Pág. 24410. - Asimismo, con fecha 18 de junio de 2015 tuvo entrada en esta Agencia una diligencia del Ayuntamiento de Bilbao en la que se hace constar que el citado Acuerdo de Inicio estuvo expuesto en el Tablón de Edictos desde el día 13/05/2015 al 29/05/2015. Notificado el Acuerdo de Inicio en la forma descrita, no consta que dicha mercantil haya ejercido su derecho a formular alegaciones a dicho acto en el plazo concedido al efecto. SEXTO: Con fecha de 11 de mayo de 2015 tiene entrada en esta Agencia un escrito del Administrador Único de MEGA DATA, en el que, sin hacer referencia a ningún procedimiento sancionador concreto, realiza una petición genérica para que las notificaciones dirigidas a la entidad desde el día 1 de enero al 27 de abril de 2015 se remitan al B.B.B. Bilbao, al no haber podido ser recibidas las mismas por dificultades operativas. (Folio 155 ) En contestación a dicha solicitud se envió, desde la Unidad correspondiente, copia del Acuerdo de Inicio del Procedimiento Sancionador PS/00196/2015 a la dirección indicada por el representante de la citada mercantil, el cual fue devuelto a esta Agencia por “Caducado en Lista” al no retirar el envío en el plazo establecido con posterioridad a los intentos de entrega efectuados el 12 y 15 de junio de 2015. (Folios157 al 165) Posteriormente, con fecha 28 de julio de 2015, se remite al mencionado Apartado de Correos de Bilbao escrito a MEGA DATA adjuntando la documentación correspondiente al presente procedimiento que constaba como no entregada en su momento, si bien dicho escrito fue devuelto a esta Agencia tras “Caducado en Lista” después de haberse intentado su entrega los días 4 y 7 de agosto de 2015, resultando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/36 en ambas fechas “Ausente en Reparto”. (Folios 170 al 172) SEPTIMO: Con fecha 13 de mayo de 2015 se registra de entrada en esta Agencia escrito de alegaciones en el que la representación de HOME XXI solicita el archivo del procedimiento con fundamento, según indica, en todas o en algunas de las siguientes razones que ponen de manifiesto su falta de culpabilidad en la comisión de la infracción imputada conforme a lo previsto en el artículo 46 del RDLOPD y la falta de sujeción de su conducta a lo previsto en el artículo 43 de la LOPD, habida cuenta que empleó, según aduce, toda la diligencia que le era exigible al contratar los servicios de marketing publicitario a desarrollar por MEGA DATA, mercantil titular del fichero empleado para desarrollar y ejecutar la campaña publicitaria contratada, y que se encargó, en exclusiva, de fijar los parámetros identificativos de la misma sin intervención alguna de HOME XXI y bajo las garantías contenidas en la cláusula 2 del contrato de fecha 2 de junio de 2013 relativas a la adecuación del origen de los datos personales a utilizar a lo previsto en la normativa de protección de datos : “a. No poder considerarse a mi representada responsable del fichero o del tratamiento de los datos en la campaña de marketing denunciada. b. No ser imputable a mi representada la infracción cometida, por ausencia de culpabilidad, puesto que: i. No te era exigible otra conducta, al haber adoptado todas las cautelas a su alcance para garantizar que la infracción no se produjese, sin que quepa pensar que obrando de otra forma hubiera podido evitar la misma. ii. Mi representada actuó al amparo del principio de confianza legítima, basándose en las actuaciones previas de la propia AEPD, puesto que: 1. La AEPD ha contratado en ocasiones servicios con entidades que antes han sido sancionadas por infracción de la LOPD. 2. La AEPD ha tramitad procedimientos en supuestos análogos al que nos ocupa y en los que no se consideró responsable de la infracción al beneficiario de la publicidad.” Asimismo, HOME XXI solicita la práctica de una prueba testifical con la finalidad de que el administrador de MEGA DATA confirme los extremos alegados respecto de la actuación de HOME XXI en relación con la campaña de marketing objeto de denuncia, confirmación de la resolución del contrato de fecha 2 de junio de 2013 mercantil e indicación de si con posterioridad HOME XXI ha realizado alguna campaña de marketing con empresas que comparten administrador con MEGA DATA. También solicita la práctica de la prueba consistente en incorporar al procedimiento copia de una serie de documentos pertenecientes al expediente PS/00052/2012. OCTAVO: Con fecha 28 de mayo de 2015 se inició el periodo de practica de pruebas, dando por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección en relación con HOME XXI y MEGA DATA , el Informe de actuaciones previas de Inspección que forman parte del expediente E/04781/2014, las alegaciones al acuerdo de inicio PS/00196/2015 presentadas por HOME XXI y copia anonimizada de la resolución acordada por la Agencia Española de Protección de Datos en el PS/00052/2012 con fecha 14 de junio de 2012. Asimismo, con esa misma fecha se acordó solicitar a HOME XXI “aportación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/36 la Addenda a la que se refiere la Cláusula 3 del contrato de prestación de servicios suscrito por esa empresa con MEGA DATA INTEGRAL SERVICES, S.L., en adelante MEGADATA, con fecha 2 de junio de 2013, así como de cualquier Anexo del mismo.” En cuanto a las pruebas cuya práctica fue solicitada por HOME XXI se acordó lo siguiente: “4. De acuerdo con lo establecido en el art. 17.3 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, y conforme a lo previsto en los artículos 80.3 y 137.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, (en adelante LRJ-PAC), se desestima por improcedente la práctica de la prueba testifical propuesta consistente en requerir al representante legal MEGA DATA para que conteste a los siguientes extremos: “ * Si, previamente a la firma del contrato de 2 de junio de 2013, Mega Data Integral Services justificó ante mi representada que la única sanción que la AEPD le había impuesto con anterioridad había sido recurrida ante los tribunales, por no pertenecer los datos de los denunciantes a sus ficheros, sino a los de otra empresa de su Grupo. * En relación con la campaña de marketing objeto de denuncia en el presente procedimiento: i. Si dicha campaña se desarrolló bajo el amparo del contrato de 2 de junio de 2013. ii. Si en dicha campaña los datos de la denunciante procedían o no de los ficheros de Mega Data Integral Services iii. Si en dicha campaña el diseño y ejecución, incluida la determinación de los criterios de segmentación de destinatarios, fueron realizados, exclusivamente por Mega Data Integral Services o no. iv. Si Home XXI tuvo en dicha campaña alguna participación distinta de su mera contratación. v. Si Home XXI trató de algún modo en dicha campaña los datos de los destinatarios (incluidos los de la denunciante) o adoptó sobre su tratamiento alguna decisión. * Si Home XXI remitió a Mega Data Integral Services la carta que figura en el folio 24 deI expediente administrativo, resolviendo definitivamente el contrato una vez que tuvo conocimiento de la apertura de nuevos procedimientos sancionadores contra ella, devolviendo sin pagar las facturas. * Si alguna vez, con posterioridad a dicha carta, Home XXI ha realizado alguna campaña de marketing con empresas que compartan administrador con Mega Data Integral Services.” A este respecto hay que indicar que el testimonio pretendido se asocia a actuaciones llevadas a cabo por esa empresa en relación con la formalización, desarrollo y rescisión del contrato suscrito por esa empresa con MEGA DATA , por lo que HOME XXI en tanto que parte del citado contrato debe estar en disposición de demostrar las alegaciones expuestas en relación con la conducta que indica haber mantenido en el desarrollo de la mencionada relación contractual, máxime cuando la información que se pretende obtener pertenece a su propio ámbito de responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/36 A mayor abundamiento, el testimonio propuesto es un documento que puede ser aportado en cualquier fase del procedimiento anterior al trámite de audiencia, conforme lo dispuesto en los artículos 35.
2. e)y 79.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. (en adelante LRJ-PAC)) 5. Asimismo, a los efectos pretendidos por HOME XXI, se considera innecesaria, conforme a los preceptos anteriormente reseñados, la práctica de la prueba propuesta consistente en la incorporación al procedimiento de copia de los documentos que a continuación se indican del procedimiento sancionador PS 52/2012, resuelto por esta Agencia el 14 de junio de 2012 en virtud de Resolución R/01230/2012: “* Contrato suscrito entre Todo Data Integral Services y el beneficiario de la publicidad, a efectos de verificar las cautelas adoptadas en él y contrastarlas con las adoptadas en el presente caso. * Acuerdo de Inicio del procedimiento Sancionador, a los efectos de verificar que en este no se incoó procedimiento contra la empresa beneficiaria de la publicidad por infracción del artículo 6.1 LOPD en relación con el artículo 46 del RDLOPD. * Resolución recaída en dicho procedimiento, a los efectos de verificar que no se sancionó a la empresa beneficiaria de la publicidad por infracción de dichas normas.” Se entiende que la incorporación de dicha documentación por los motivos reseñados por HOME XXI no alteraría la determinación de los hechos ni las posibles responsabilidades de las que ésta pueda resultar responsable en relación con los hechos concretos objeto de imputación en el presente procedimiento sancionador. Así, la resolución invocada ya señala claramente no sólo la persona jurídica a la que se instruyó el procedimiento sancionador, sino que también contiene a través de los Hechos probados y Fundamentos de Derecho los elementos fácticos y jurídicos en los que se sustenta la sanción acordada, entre los que se encuentran los referidos a la relación contractual citada por HOME XXI, motivo por el que únicamente a los efectos de probar estas circunstancias se acuerda incorporar al procedimiento copia anonimizada de la resolución acordada por esta Agencia en el PS/0052/2012. Por otro lado, se observa que el presente procedimiento sancionador se ha iniciado de oficio por el Director de la AEPD al apreciar, a la vista del resultado de las actuaciones previas practicadas en el expediente E/04871/2014, la existencia de indicios susceptibles de motivar la imputación de una infracción al artículo 6.1 de la LOPD en relación con el artículo 46 del RDLOPD tanto a esa empresa como a MEGA DATA, todo ello conforme lo dispuesto en los artículos 122 y 126 del RDLOPD.” También con fecha 28 de mayo de 2015 se acordó solicitar a MEGADATA remisión de copia de la siguiente documentación e información: “- Acreditación del origen exacto de los datos personales de Dña. F.F.F. y de la obtención del consentimiento inequívoco de la misma para el tratamiento de sus datos personales con fines publicitarios. Se acompaña copia del envío publicitario recibido por el denunciante. - Copia impresa de los datos asociados a dicha persona que figuren en sus ficheros. En todo caso se facilitará el domicilio completo de la misma. - C/ Jorge Juan, 6 28001 – Madrid Copia de toda la documentación que obre en su poder (contratos, facturas correspondientes a la campaña del envío, ordenes, etc.) que acrediten la www.agpd.es sedeagpd.gob.es 7/36 naturaleza de la relación establecida entre esa empresa y HOME XXI HOGAR Y DESCANSO S.L., en particular los relativos a la fijación y participación de la anunciante en el diseño y parámetros de la campaña publicitaria contratada en la que se encuadra el envío publicitario remitido a la denunciante.” El escrito de notificación de inicio de apertura de período de práctica de pruebas y de requerimiento de práctica de pruebas a realizar, de fecha 28 de mayo de 2015, dirigido al domicilio social de MEGADATA que figura en el Registro Mercantil fue devuelto por el Servicio de Correos con la indicación “Se ausentó”. El escrito de notificación de inicio de apertura de período de práctica de pruebas y de requerimiento de práctica de pruebas a realizar, de fecha 28 de mayo de 2015, dirigido al Apartado de Correos B.B.B. Bilbao consta como notificado a MEGADATA el día 10 de junio de 2015, motivo por el que en el escrito de fecha 28 de julio de 2015 en el que se remitía la documentación interesada a MEGADATA se reiteraba contestación al mismo. . Igualmente, con fecha 28 de mayo de 2015 se acordó solicitar a la Asociación Española de la Economía Digital, (en adelante ADIGITAL), envío de la siguiente documentación y/o información: “- Certificación de si la empresa MEGA DATA INTEGRAL SERVICES, S.L., con CIF H.H.H., está adherida a esa Asociación con indicación de la fecha de adhesión y vigencia de la misma. - - Certificación de si la empresa HOME XXI HOGAR Y DESCANSO S.L. con CIF I.I.I., está adherida a esa Asociación con indicación de la fecha de adhesión y vigencia de la misma. Certificación de si Dña. F.F.F. , con DNI J.J.J. está dada de alta en el Servicio de Lista Robinson para no recibir publicidad vía postal, en cuyo caso se solicita indicación de los domicilios registrados a tales efectos, la fecha de su registro y si continúa dada de alta en la actualidad. “ NOVENO: Con fecha 15 de junio de 2015 se registra de entrada en esta Agencia contestación de ADIGITAL indicando que en el Servicio de Lista Robinson no figuran los datos de la denunciante y que las empresas HOME XXI y MEGA DATA no están adheridas a la Asociación. DÉCIMO: Con fecha 15 de junio de 2015 se registra de entrada escrito del Administrador Único de HOME XXI reiterando la solicitud de práctica de todas las pruebas instadas en el escrito de alegaciones con sustento en los siguientes argumentos: Primero, su disconformidad con la denegación por improcedente de la prueba testifical del proveedor solicitada al no tener en cuenta que permitiría ratificar la certeza de las alegaciones formuladas respecto de documentación que no puede ser aportada, acreditando la certeza y exactitud de los documentos invocados y probando, a su vez, aspectos que resultan relevantes para fijar de forma indubitada hechos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/36 repercuten en la responsabilidad imputada al afectar a la diligencia mostrada en su actuación. Su inadmisión vulnera el derecho de defensa reconocido en el artículo 135 de la LRJ-PAC. Segundo: La incorporación al procedimiento, como prueba, de los documentos que integran el expediente PS/0052/2012 resulta relevante a los efectos de determinar su grado de culpabilidad. La Resolución dictada en ese expediente, en el que sólo se sancionó a la empresa proveedora de la base de datos ilegal, es un precedente que muestra que HOME XXI ha actuado bajo el principio de confianza legítima en las actuaciones precedentes de la Administración, ya que ha confiado en que desarrollando las mismas cautelas que las adoptadas entonces por la empresa beneficiaria de la publicidad, que no fue sancionada, estaba cumpliendo la LOPD. Por último, señala que no se ha podido localizar la Addenda al contrato solicitada, aunque sólo revelaría información sobre el precio convenido entre las partes por los servicios que carece de relevancia a los efectos de determinar las responsabilidades derivadas del procedimiento. UNDECIMO: Con fecha 19 de agosto de 2015 se accede al Registro General de Protección de Datos de esta Agencia obteniéndose impresión del detalle correspondiente al fichero “MARKETING” inscrito por por MEGA DATA con fecha 16/02/2011. DUODECIMO: Con fecha 25 de agosto de 2015 la Instructora del Procedimiento formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a MEGA DATA con multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3
3. b)de dicha norma, y a HOME XXI con multa de 20.000 € (Veinte mil euros) por la infracción del artículo 6.1 de la LOPD en relación con el artículo 46.3 del RDLOPD, tipificada como grave en el artículo 44.3
4. b)de dicha Ley Orgánica. Con fecha 25 de agosto de 2015 se remite copia de la documentación que integra el expediente al domicilio indicado por el Administrador Único de MEGA DATA a efectos de notificaciones en su escrito de fecha 27 de abril de 2015 (folio 155). Tanto la propuesta de resolución como dicha documentación resultan devueltas por el Servicio de Correos por “Caducado” al no ser retiradas por su destinatario. (folios 238 al 241) Con fecha 25 de agosto de 2015 se notifica la propuesta de resolución a HOME XXI, procediéndose con fecha 26 de agosto de 2015 a enviar a dicha empresa copia de la documentación que integra el procedimiento que no había sido remitida con anterioridad, cuya entrega consta producida el 31 de agosto de 2015. DECIMOTERCERO: Con fecha 15 de septiembre de 2015, se registra de entrada escrito de alegaciones de la representación de HOME XXI, en el que solicita el archivo del procedimiento reiterándose en los argumentos expuestos con anterioridad y haciendo hincapié en los siguientes extremos en relación con la propuesta de resolución recibida: Primera: Con arreglo a las garantías fijadas en el contrato de 2 de junio de 2013, en el que aparece que la fijación de los criterios de selección de la campaña se realizó exclusivamente por el proveedor de las direcciones, y no obrando en el expediente prueba documental o evidencia de lo contrario, HOME XXI no resulta responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/36 tratamiento de los datos de la denunciante en la campaña de marketing llevada a cabo por MEGA DATA al no haber tomado decisiones en relación con los datos tratados, quedando, por tanto, fuera de la esfera sancionadora de la LOPD con arreglo a lo dispuesto en el artículo 43.1 de la LOPD y 46.2 y 3 del RDLOPD. Las conclusiones alcanzadas por la Agencia contravienen dichos preceptos por los siguientes motivos: 1) la contratación de un tercero para la realización de una campaña de marketing en su nombre no constituye un criterio de selección de los destinatarios, sino el supuesto de hecho en el que se basa el artículo 46.2 del RDLOPD para determinar cuando el contratante de la campaña debe ser considerado, o no, responsable del tratamiento a efectos legales.2) La interpretación del concepto de “parámetros identificativos de los destinatarios” realizada por la AEPD no responde al concepto legalmente definido en el artículo 46.4 del RDLOPD, en virtud del cual lo esencial es la elección de los criterios que permitirán segmentar a los destinatarios de una determinada campaña (selección de datos), no la elección de un proveedor concreto. 3) La fijación por MEGA DATA de los criterios de segmentación del modo que mejor satisficiese los intereses comerciales del cliente es la consecuencia lógica de la contratación del tercero para realizar la campaña de marketing en cuestión, sin suponer fijar criterios por parte del cliente. Tal interpretación es contraria al artículo 46.2 del RDLOPD porque determina que el cliente que contrata a un tercero siempre es responsable del tratamiento al haber tomado decisiones sobre el mismo. Se indica que a fin de acreditar el modo en que se diseñó y desarrolló la campaña se aporta testimonio suscrito por quien afirman es el representante legal de MEGA DATA, sin adjuntar la copia del DNI del mismo que se indica se presenta. - Segundo: El caso actual no es equiparable al estudiado en la Sentencia de la Audiencia Nacional de 30 de abril de 2015 citado en la propuesta de resolución, en el que los criterios de selección de los destinatarios de la campaña se fijaron por HOME XXI, por lo que conforme el artículo 46.2 la Audiencia Nacional estimó que debió adoptar garantías adicionales para asegurarse de la legalidad de los datos de cuyo tratamiento era responsable. Sin embargo, en esta campaña la responsabilidad del incumplimiento de la LOPD únicamente alcanza al proveedor de direcciones por ser el único que, según el contrato, ha fijado los mencionados criterios. Aduce que en supuestos semejantes al presente, la Audiencia Nacional siempre ha estimado que la existencia de un contrato entre las partes, en el que el suministrador de la base de datos personales garantiza que éstos proceden directamente de fuentes accesibles al público, es suficiente para concluir la falta de responsabilidad del beneficiario de la publicidad. - Tercero: Subsidiariamente, solicita se fije la multa en la cuantía mínima de las previstas para las sanciones leves al considerar que la AEPD no ha valorado correctamente las circunstancias agravantes señaladas en el propuesta de resolución por las siguientes razones:
5. a)que en el contrato suscrito con el proveedor de direcciones se adoptaron numerosas cautelas destinadas a garantizar la legalidad de los tratamientos de los datos, que además se hicieron efectivas como confirma la declaración del representante legal de MEGA DATA. No puede valorarse simultáneamente la supuesta falta de diligencia tanto para establecer la existencia de culpa como para entender que es una circunstancia agravante de la responsabilidad;
6. b)En el procedimiento no figura ninguna prueba acreditativa del volumen de negocio o actividad de la empresa asociado al tratamiento de datos personales;
7. c)No se ha probado la “alta vinculación” de la empresa con el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/36 personales, el cual constituye una actividad instrumental para llevar a cabo las ventas realizada por terceros con carácter puntual. Por último, se aduce que a la vista de la Sentencia de la Audiencia Nacional de 5 de mayo de 2015, que ha anulado la sanción impuesta a MEGA DATA en el PS 621/2012 al no haber quedado probado que ésta suministrara a HOME XXI los datos personales de los destinatarios de las campañas estudiadas, debe valorarse la responsabilidad de la conducta mostrada al contratar la campaña de marketing objeto de denuncia con una empresa cuyos ficheros, en ese momento, eran legales. DECIMOCUARTO: Con fecha 22 de septiembre de 2015, a la vista de que el testimonio aportado por HOME XXI en sus alegaciones a la propuesta de resolución era una fotocopia, y a los efectos de poder determinar la autoría de dicho documento, se requiere a HOME XXI para que remita el original del mencionado testimonio conteniendo la firma o rúbrica original del representante legal de MEGA DATA, el cual deberá acompañarse de copia de su DNI vigente al no haber sido adjuntada al testimonio, todo ello sin perjuicio de la solicitud que, se indica, se realice al propio declarante. Dicho escrito de solicitud de subsanación se notificó a HOME XXI con fecha 23 de septiembre de 2015. (folios 284 al 287) Con fecha 22 de septiembre de 2015, y a fin de valorar la autenticidad y autoría de la mencionada declaración testifical , se remite al Apartado de Correos determinado por el representante legal de MEGA DATA a efectos de notificaciones copia de dicho documento para que, a la vista del mismo, comunique a esta Agencia si lo ha suscrito, o no y si reconoce como propias la totalidad de las manifestaciones incluidas en el mismo. Se solicita aporte copia de su DNI vigente. (folios 288 y 289) DECIMOQUINTO: En contestación a la subsanación solicitada, con fecha 30 de septiembre de 2015, se registra de entrada en esta Agencia escrito de HOME XXI adjuntando, según se indica en el mismo, ”los documentos firmados de nuevo por el representante de Mega Data Integral Services, junto a una certificación en la que él declara estar pendiente de la renovación de su DNI y justifica la validez del aportado en su momento. “ (folios 290 al 295) HECHOS PROBADOS PRIMERO: MEGA DATA es responsable del fichero denominado “MARKETING”, cuya finalidad es la publicidad y prospección comercial. Dicho fichero figura inscrito en el Registro General de Protección de Datos desde el 16 de febrero de 2011 (folios 167 y 168). SEGUNDO: Con fecha 2 de junio de 2013 HOME XXI y MEGA DATA suscribieron un “Contrato de diseño y ejecución de campañas de marketing directo”, en virtud del cual EL PROVEEDOR, en este caso MEGA DATA, como titular de una base de datos que contiene datos personales (nombre y apellidos, domicilio postal y teléfono fijo), fue contratado por HOME XXI para el diseño y ejecución de campañas promocionales con arreglo a los siguientes acuerdos, cuyo literal se transcribe: (folios 21 al 23) “1. Que, por virtud de este contrato, PROVEEDOR prestará a HOME XXI los siguientes servicios: a. Diseñar las campañas de marketing para la promoción de los productos y servicios de HOME XXI, utilizando a tal fin la base de datos de PROVEEDOR mencionada en los expositivos de este contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/36 b. Determinar los criterios de segmentación de los destinatarios de dicha campaña, en función los criterios que PROVEEDOR estime más adecuados, conforme a lo que mejor satisfaga los intereses comerciales del cliente. c. Seleccionar las direcciones de los destinatarios e imprimirlas en las piezas publicitarias de HOME XXI. d. Previamente a la selección de los datos en el fichero del PROVEEDOR, este los confrontará con la Lista Robinson de ADIGITAL (Asociación Española de la Economía Digital) y/o las Listas Robinson sectoriales de aplicación, con el fin de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. PROVEEDOR será el responsable de garantizar el cumplimiento de la legalidad vigente en la prestación de los servicios descritos, exonerando a HOME XXI de cualquier responsabilidad al respecto. 2. En el cumplimiento de los servicios descritos, el PROVEEDOR se compromete a: a. Utilizar los datos personales, exclusivamente, conforme a las condiciones establecidas en este contrato. b. Cumplir con las prescripciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal —LOPD. y su normativa de desarrollo. En este sentido, PROVEEDOR manifiesta, expresamente y bajo su exclusiva responsabilidad, que: a. Los datos de carácter personal que serán utilizados en las campañas de marketing de HOME XXI se encuentran almacenados en un fichero debidamente inscrito en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos. b. La totalidad de los datos personales que serán utilizados en las campañas de HOME XXI proceden de las fuentes accesibles al público establecidas en la letra
8. j)del artículo 3 de la Ley Orgánica 15/1 999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y, en concreto, de repertorios telefónicos, encontrándose dichas fuentes vigentes y estando los datos actualizados. c. La totalidad de los datos personales que serán utilizados en las campañas de HOME XXI cumplen las exigencias del principio de calidad de los datos establecido en el art. 4 LOPD, no conteniendo datos de personas que hayan ejercido su derecho de oposición al tratamiento de datos con fines promocionales. Las manifestaciones del PROVEEDOR contenidas en esta cláusula 2 constituyen la base de la firma de este contrato, de modo que el consentimiento de HOME XXI se funda en la existencia de estas declaraciones y en la creencia de que son ciertas y exactas, lo cual ha sido tenido en cuenta a Jos efectos de cumplir las medidas necesarias para garantizar que los datos utilizados en las campañas de marketing cumplen con exactitud la LOPD y su normativa de desarrollo, de conformidad con lo previsto en el artículo 46.3 del Reglamento aprobado por RD 1720/2007. Asimismo, con ánimo de reforzar dichas garantías, las partes reconocen que HOME XXI ha realizado un muestreo de un total de 100 registros, obtenidos aleatoriamente de los ficheros del PROVEEDOR, habiendo verificado que todos esos datos figuran tal cual en los repertorios telefónicos y que los interesados no constan inscritos en Listas Robinson. Las partes reconocen que, una vez realizada esta comprobación, los datos han sido devueltos a PROVEEDOR, sin que HOME XXI conserve copia de ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/36 AL margen de dicha comprobación, todos los tratamientos de datos que se utilicen en las campañas de marketing de HOME XXI serán realizados por el PROVEEDOR, de modo que aquel no necesitará acceder o tratar en ningún momento los datos. No obstante lo anterior, HOME XXI se reserva el derecho de poder realizar periódicamente comprobaciones análogas a la indicada el párrafo anterior, solicitando un muestreo aleatorio de los ficheros del PROVEEDOR. 3. El precio por los servicios descritos en este contrato es el que se determina en Addenda, por los diferentes conceptos. La facturación y pago se realizará mensualmente, mediante transferencia bancaria a la cuenta que indique PROVEEDOR. Las facturas serán pagaderas a los 30 días desde su fecha. 4. PROVEEDOR será el único responsable ante cualquier reclamación que se presentara por incumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal o de su normativa de desarrollo, en la obtención o en el tratamiento de los datos de carácter personal utilizados con fines promocionales en las campañas de HOME XXI. Cualquier sanción de la Agencia Española de Protección de Datos que sea resultado de que el PROVEEDOR incurra en dolo, culpa, aún leve, en el cumplimiento de las previsiones de este contrato y, en especial, por no ser ciertas las garantías ofrecidas en el mismo, deberá dar lugar a la indemnización por PROVEEDOR de todos los daños y perjuicios que pudieran ocasionarse. Dicha indemnización incluirá la restitución de la imagen de HOME XXI en el mercado. 5. El contrato se resolverá, sin necesidad de declaración expresa de las partes, en caso de que PROVEEDOR no cumpliese cualquier premisa de las contenidas en la Cláusula 2 del mismo o no resultasen ciertas, total o parcialmente, las declaraciones contenidas en ella. La resolución del contrato por dicha causa eximirá a HOME XXI al pago de las facturas pendientes por servicios ya realizados, a modo de penalización. 6. Cualquier cuestión relativa a la interpretación o aplicación del presente contrato, se resolverá, con renuncia de las partes a su propio fuero, a la jurisdicción de los Juzgados y Tribunales de la ciudad de Valencia.” TERCERO: La denunciante recibió por correo postal carta promocional de HOME XXI, en la que se le invitaba a la presentación en exclusiva de productos de dicha entidad que iba a realizarse en el Hotel “Hesperia Toledo” el día 11 de abril de 2014. Dicha carta estaba dirigida a la denunciante, figurando en el encabezado de la misma sus siguientes datos personales: nombre y apellidos ( F.F.F. ) y domicilio que incluía junto al número de la calle el número de la casa ( “ G.G.G., Toledo”) En la parte inferior de la mencionada carta se indica que: “La información utilizada para este envío publicitario procede de ficheros propiedad de MEGA DATA SERVICE S.L.” (folios 3 y 4) CUARTO: HOME XXI ha reconocido que el envío publicitario objeto de denuia se realizó dentro de una campaña publicitaria enmarcada en el “Contrato de diseño y ejecución de campañas de marketing directo” suscrito por dicha entidad con MEGA DATA el 2 de junio de 2013, el cual se encontraba vigente en la fecha del envío promocional recibido por la denunciante (folios 3, 4 y 19 ) QUINTO: HOME XXI ha presentado una comunicación de fecha 30 de mayo de 2014 dirigida a MEGA DATA indicándole que, en cumplimiento de las previsiones del contrato suscrito en fecha 2 de junio de 2013 con esa entidad, daban por “resuelto definitivamente” dicho contrato tras haber tenido noticia de que, con fechas 25 y 29 de abril de 2014, se habían abierto dos procedimientos sancionadores a esa compañía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/36 con motivo de dos denuncias presentadas contra esa sociedad ante la AEPD “por tener un origen ilegal los datos suministrados por ustedes en las Campañas de Marketing que organizan para sus clientes”. En el escrito aportado se afirmaba que dicha situación ponía de manifiesto “un incumplimiento de las garantías” que se asumieron en el citado contrato por MEGA DATA, entidad a la que, además, indicaban que se oponían “al pago de las facturas pendientes, que se corresponden con las campañas efectuadas para esta Sociedad durante los pasados meses de Marzo y Abril. “ y que se reservaban el derecho de ejercer las acciones legales pertinentes “en el supuesto de que los incumplimientos antes referidos causen un perjuicio de cualquier naturaleza. (folio 24) SEXTO: En la denuncia presentada ante la AEPD por Dña. domicilio de la misma D.D.D., Toledo. (folio 1) F.F.F. figura como SÉPTIMO: La denunciante niega haber otorgado su consentimiento a HOME XXI para el tratamiento de sus datos. (folio 1) OCTAVO: Con fecha 22 de julio de 2014 se constata que los datos personales de la denunciante no figuran registrados en el repertorio telefónico “Páginas Blancas.es” disponible en Internet (folios 6 y 7) NOVENO: ADIGITAL ha informado que los datos personales de la denunciante no figuran en el Servicio de Lista Robinson y ha confirmado que las mercantiles MEGA DATA y HOME XXI no están adheridas a dicha Asociación. (folio 151) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
9. g)en relación con el artículo 36 de la LOPD. II El artículo 43.1 de la vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, al disponer que: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. “. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
10. d)de la LOPD, el “Responsable del fichero o tratamiento” es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
11. q)del RDLOPD se considera como “Responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” A su vez, C/ Jorge Juan, 6 28001 – Madrid los apartados b), c), y
12. e)del mencionado artículo 3 de la LOPD www.agpd.es sedeagpd.gob.es 14/36 definen los siguientes conceptos: “
13. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
14. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias” “
15. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
16. c)del presente artículo.” Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
17. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
18. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
19. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso, de acuerdo con los preceptos de la normativa de protección de datos transcritos y los elementos de juicio reseñados en los Fundamentos de Derecho siguientes, MEGA DATA , empresa especializada en la realización de campañas publicitarias y de prospección comercial para terceros utilizando sus propios ficheros de datos de carácter personal, debe considerarse responsable de la base de datos utilizada para la realización de la campaña de marketing en la que se trataron los datos de carácter personal de la denunciante a fin invitarla a una presentación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/36 productos de HOME XXI, siendo, además, responsable del tratamiento de dichos datos personales puesto que decidió el diseño de la campaña en cuestión y determinó, sin perjuicio de las observaciones que más adelante se realizarán respecto de la condición de responsable del tratamiento de HOME XXI, los criterios de segmentación de los destinatarios conforme a los intereses comerciales de su cliente, cuyas direcciones también seleccionó. Todo ello según se desprende de los apartados a),
20. b)y
21. c)de la cláusula primera del “Contrato de Diseño y Ejecución de Campañas de Marketing Directo” suscrito el 2 de junio de 2013 con HOME XXI. A su vez, HOME XXI interviene como responsable del tratamiento efectuado con los datos personales incluidos en el fichero titularidad de MEGA DATA, sobre cuya finalidad y uso decidió al contratar la realización de la campaña publicitaria en la que se enmarca el envío publicitario nominativo dirigido a la dirección postal de la denunciante, a la par que también decidió sobre el contenido del tratamiento al determinar que el tratamiento de los datos se realizase sobre los contenidos en un determinado fichero. Dicho tratamiento de datos personales responde a actividades de marketing directo dispuestas por HOME XXI en su condición de beneficiaria directa de la publicidad, motivo por el que no puede obviarse que la propia contratación del diseño y realización de la campaña publicitaria, aunque no haya intervenido materialmente en el tratamiento asociado al envío postal publicitario objeto de análisis o no tenga registrados los datos de la denunciante en sus ficheros, conlleva decidir sobre la finalidad, contenido y uso de los datos personales obrantes en la base de datos titularidad de MEGA DATA, fichero del que se extraen los destinatarios individuales de la publicidad con arreglo a los intereses comerciales de HOME XXI y conforme a los acuerdos y condiciones adoptados en el contrato suscrito entre ambas entidades. En conclusión, de acuerdo con el artículo 43 de la LOPD y lo previsto en el artículo 46.2.
22. c)del RDLOPD, tanto HOME XXI como MEGA DATA ostentan la posición jurídica de responsables del tratamiento susceptible de generar responsabilidad por el incumplimiento de la citada norma. III La hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (en lo sucesivo LORTAD), delimitaba su ámbito de aplicación en torno al concepto de fichero automatizado (artículo 2), que figuraba definido como “todo conjunto organizado de datos de carácter personal que sean objeto de tratamiento automatizado (...)”. Congruentemente con dicha configuración legal, la LORTAD se limitaba a definir la figura del responsable del fichero (artículo 3.
23. b)y d)). Por el contrario, la vigente LOPD ha modificado el ámbito de aplicación objetivo de la norma circunscribiéndola a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero y diferencia las figuras del responsable del fichero y del responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
24. b)y
25. d)del artículo 3.
26. b)y
27. d)de la LOPD anteriormente transcritos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/36 Esta modificación es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro derecho, conforme a la cual, en el caso de los datos personales susceptibles de tratamiento automatizado, la Ley se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables conforme a lo previsto en el artículo 12.4 de dicha norma. Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su Sentencia de 26/01/2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
28. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/36 aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
29. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
30. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Dentro de la doctrina expuesta, ha quedado acreditado que el tratamiento de los datos personales de la denunciante para la realización de un envío de publicidad postal, en el que figuraba su nombre, apellidos y dirección postal con número de calle y casa, se realizó por MEGA DATA a instancias y por cuenta de HOME XXI, que era la empresa cuyos productos y servicios se promocionaban en el envío recibido por la denunciante, cuyos datos personales, a su vez, figuraban registrados en el fichero titularidad de MEGA DATA utilizado para seleccionar el público objetivo o destinario de la campaña en función de los intereses comerciales de la beneficiaria de la publicidad. En consecuencia, ambas mercantiles se consideran responsables de este específico tratamiento de datos personales, al margen de otros tratamientos que deriven de los servicios que fueron objeto del contrato formalizado por ambas entidades con fecha 2 de junio de 2013. IV HOME XXI aduce que de acuerdo con el artículo 43 de la LOPD y 46.2 del RDLOPD no puede ser considerada responsable del fichero o del tratamiento de los datos de la denunciante, toda vez que no intervino en el diseño y ejecución de la campaña publicitaria objeto de valoración al no ser responsable del fichero utilizado para su desarrollo, ni haber tratado los datos contenidos en el fichero titularidad de MEGA DATA , no habiendo participado en la fijación de los criterios de selección de los destinatarios de la publicidad , tal y como se desprende de las cláusulas 1 y 2 del contrato de 2 de junio de 2013 aportado durante las actuaciones previas de instrucción, negando incluso haber definido los objetivos comerciales destinados a incrementar las ventas o el medio utilizado para la realización de los envíos, ya que se limitó a trasmitir al proveedor cuáles eran los productos que vendía. Frente a estos argumentos, esta Agencia se remite a las consideraciones efectuadas en los anteriores Fundamentos de Derecho que justifican la condición de HOME XXI de responsable del tratamiento de los datos de la denunciante, respecto de las cuales se insiste que la determinación de los datos a utilizar al contratar los servicios de MEGA DATA para desarrollar acciones de marketing directo de sus productos supone la fijación, por parte de HOME XXI, de un parámetro identificativo de los potenciales destinatarios de las campañas publicitarias contratadas, ello C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/36 conforme la definición legal contenida en el artículo 46.4 del RDLOPD. Procede añadir que la segmentación ha tenido que realizarse atendiendo al lugar de residencia de los destinatarios para que cada uno de ellos recibiera el escrito publicitario que informaba de la realización del evento próximo a su domicilio, lo que, además, se confirma con el examen del de las circunstancias analizadas en el procedimiento sancionador PS/00621/2012 en el que el diseño, planificación, segmentación y desarrollo de las campañas publicitarias que motivaron la apertura del citado procedimiento respondía a la misma estructura que tiene la campaña aquí analizada, a pesar de que las aludidas campañas no fueron contratadas con MEGA DATA, según se desprende de la Sentencia de la Audiencia Nacional de fecha 5 de mayo de 2015, Rec. 246/2013, lo que cuestiona las cláusulas contractuales. Precisamente, en relación con esta última cuestión, y a pesar de la genérica redacción del apartado
31. b)de la cláusula primera del reseñado contrato referente a la determinación de los criterios de segmentación por parte de MEGA DATA a fin de fijar las “ variables utilizadas para identificar el público objetivo o destinatario” de la campaña, debe puntualizarse que en dicha cláusula aparece claramente señalado que tal determinación se llevará a cabo por el PROVEEDOR en función de los criterios que éste estime más adecuados “conforme a lo que mejor satisfaga a los intereses comerciales del cliente”, que no es otro que HOME XXI como beneficiaria de la publicidad remitida. Partiendo de esta premisa contractual, en este caso concreto, y al margen de que el objetivo final de este tipo de campañas es incrementar las ventas del beneficiario de la publicidad, la prestación de este servicio requería el conocimiento de tales intereses por parte de MEGA DATA y, necesariamente, su comunicación previa al proveedor de servicios por parte de HOME XXI para que tanto el desarrollo de la campaña como la selección de los destinatarios individuales de la misma respondiese a los intereses comerciales objeto de la publicidad contratada. Abundando sobre este punto, conviene traer a colación que ninguna de las dos entidades imputadas ha concretado a esta Agencia los criterios de segmentación utilizados para acotar los datos personales de los destinatarios individuales de la campaña publicitaria que dio lugar al envío postal denunciado, debiendo estar ambas empresas en condición de detallar y justificar la naturaleza específica de esas variables mediante cualquier medio de prueba válido en derecho. A tenor de todo lo cual, ha quedado enervado que la fijación de los parámetros identificativos de los destinatarios de la campaña en la que se enmarca el tratamiento de los datos personales de la denunciante fuera determinada en exclusiva por MEGA DATA. Asimismo, las meras manifestaciones contenidas en el testimonio del representante de esa empresa aportado por HOME XXI en su escrito de alegaciones tampoco prueban, por si mismas, la veracidad de los extremos declarados sobre el modo en que se desarrolló la campaña por los motivos que a continuación se señalan. En primer lugar, aunque la declaración testifical aportada por HOME XXI con fecha 30 de septiembre de 2015 (folios 291 al 293), está encabezada y suscrita por quien se identifica como Don C.C.C., sin embargo este documento no va acompañado por el DNI vigente del mismo, tal y como se requirió a HOME XXI en el escrito de solicitud de subsanación remitido , o, en su defecto, por otro documento identificativo válido que hubiera permitido determinar la autenticidad y autoría de dicho documento por parte de quien se identifica como administrador de MEGA DATA. En segundo lugar, la certificación de fecha 24 de septiembre de 2015 que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/36 también aparece como suscrita por el Administrador único de MEGA DATA, y que HOME XXI ha aportado (folio 294) sin acompañar de documento identificativo válido alguno, no acredita la identidad del firmante ni la veracidad de los extremos certificados sobre la solicitud de renovación de su DNI caducado ante el equipo de la Policía Nacional de Salamanca, de igual modo que no prueba que dicha persona sea quien haya obtenido cita. A su vez, la impresión de pantalla aportada como justificante de trámite de cita previa para la renovación del DNI que acompaña a dicha certificación (folio 295), de fecha 21 de septiembre de 2015, no contiene ningún dato o información que la vincule con persona concreta alguna. En tercer lugar, las manifestaciones contenidas en el reseñado testimonio sobre el modo en que se contrató y desarrolló la campaña tampoco gozan de certeza al no haber quedado acreditada la identidad del firmante. Además, no puede obviarse que las afirmaciones contenidas en el citado documento no van acompañadas por ningún medio de prueba válido en derecho que apoye tanto la veracidad de las mismas como, en su caso, la efectiva realización por MEGA DATA de las medidas y acciones que se indican adoptadas en relación con el uso de los datos personales tratados en el marco de dicha relación contractual. De esta forma, no constan las fechas de las verificaciones supuestamente efectuadas en relación con el origen lícito y vigencia de los datos contenidos en el fichero, el resultado de las mismas, criterios de segmentación concretos utilizados, documentación relativa al plan de marketing elaborado y objetivos comerciales a cumplir, copia ordenes de trabajo y facturas de la campaña publicitaria en la que se trataron los datos de la afectada, incluyendo las correspondientes al evento organizado el 11/04/2014 en el Hotel Hesperia Toledo al que se convocó a la denunciante, así como cualquier otra documentación de la que se desprenda la intervención del cliente y proveedor en la ejecución de los diferentes aspectos de la campaña citados en dicho testimonio. V Sentado que el tratamiento efectuado por las dos entidades imputadas con los datos personales de la denunciante se desarrolló en su condición de responsables del tratamiento, debe dilucidarse si el mismo respondía al principio del consentimiento inequívoco recogido en el artículo 6.1 de la LOPD. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/36 precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Por ello, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, conforme a lo previsto en el artículo 6.1 de la LOPD , excepción hecha de la existencia de legitimación legal para ello como contempla dicho apartado o se produzca alguna de las circunstancias previstas en el apartado 2 del mismo artículo 6 de dicha norma, definiéndose en el apartado
32. h)del artículo 3 de la LOPD como “ Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/36 En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” Amén de lo cual, dada la naturaleza publicitaria del tratamiento de datos personales analizado, en este caso resulta de aplicación lo previsto en los artículos 30.1 de la LOPD y 45.1 del RDLOPD. El artículo 30.1 de la LOPD, relativo a los “ Tratamientos con fines de publicidad y de prospección comercial” establece que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento” Por su parte, el artículo 45.1 del RDLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, completa el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
33. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
34. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
35. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ Así, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el artículo 6.1 de la LOPD en su relación con lo previsto en el artículo 30.1 de esa misma norma, el consentimiento inequívoco de los afectados o que sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/36 procedan de fuentes de acceso público. VI En el supuesto examinado, de las actuaciones practicadas se desprende que el tratamiento publicitario de los datos personales de la afectada que ha resultado acreditado , y del que son responsables las dos entidades imputadas con arreglo a lo previsto en apartados 2 y 4 del mencionado artículo 46 de la LOPD por haber participado ambas en la fijación de los parámetros identificativos de los destinatarios de la campaña publicitaria en la que enmarca el envío estudiado, se desarrolló sin estar amparado en alguno los supuestos previstos en los artículos 6.1 y 30.1 de la LOPD citados. En las actuaciones efectuadas en el procedimiento no consta que ninguna de las empresas imputadas haya probado contar con el consentimiento inequívoco de la afectada para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por la propia afectada o por haberse obtenido con su consentimiento para tal finalidad, circunstancias, además, negadas por la denunciante a la vista de los términos de la denuncia. Tampoco HOME XXI ni MEGA DATA han justificado que concurriera alguno de los supuestos que dispensarían de tal consentimiento recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento, y que para este caso requeriría justificar que los datos personales de la afectada utilizados para remitir el envío postal publicitario denunciado procedían de fuentes accesibles al público establecidas en el artículo 3.
36. j)de la LOPD, en concreto, de repertorios telefónicos de uso vigente, como se señala en la cláusula 2 del contrato de fecha 2 de junio de 2013. El artículo 3
37. j)de la LOPD define como fuentes accesibles al público “ aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. En el presente caso, resulta que MEGA DATA y HOME XXI no han acreditado que los datos personales de la denunciante se obtuvieran de repertorios telefónicos, al igual que no han probado que fueran datos vigentes en el momento de su posible obtención y uso publicitario al no facilitar, tampoco, la fecha de acceso de dichos datos, tratándose de una información que resulta relevante a los efectos del cómputo del plazo de vigencia durante el cual se considerará mantienen la naturaleza de fuentes de acceso público, ello conforme a lo previsto en el artículo 28.3 de la LOPD que al regular los “Datos incluidos en las fuentes de acceso público”, establece: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/36 contado desde el momento de su obtención.” Además, a la vista de los datos personales tratados dicho origen únicamente podría asignarse a los datos del nombre, apellidos, calle y número del domicilio postal de la afectada, población y provincia, pero no al dato de la casa que también figura reseñado en el envío publicitario recibido por la denunciante que al equiparse a los datos de piso y puerta no podría proceder de repertorios telefónicos al no incluirse dicha información en los mismos. A mayor abundamiento, en las actuaciones previas de inspección se constató que los datos personales de la afectada no figuraban en el repertorio telefónico de Páginas Blancas disponible en Internet con fecha 22 de julio de 2014. Se observa que las entidades imputadas en su calidad de responsables del tratamiento publicitario analizado deben estar en condiciones de acreditar que cuentan con el consentimiento inequívoco de los afectados o cobertura legal para realizar el repetido tratamiento, estableciéndose a este respecto en los apartados 1 y 3 del artículo 12 del RDLOPD que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ En este sentido, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” Sin embargo ninguna de estas sociedades ha aportado ningún medio de prueba que permita acreditar que el tratamiento efectuado se realizó con las garantías establecidas en los artículos 6.1 y 30.1 de la LOPD, motivo por el que cabe concluir que ambas sociedades han vulnerado lo dispuesto en el artículo 6.1 de la LOPD al no haber acreditado que mediaba el consentimiento inequívoco de la afectada para usar sus datos personales con fines publicitarios y de prospección comercial o justificar, en su caso, que el supuesto examinado concurría alguna de las excepciones al principio general del consentimiento consagrado en dicho precepto. Consecuentemente, los datos personales de la afectada fueron utilizados con fines publicitarios por las dos entidades citadas, sin que éstas contasen con su consentimiento inequívoco para ello VII Acreditada la comisión de la infracción por parte de las entidades denunciadas procede abordar las alegaciones efectuadas por HOME XXI al alegar, en su descargo, que no concurre en su actuación el elemento subjetivo de la culpa o negligencia, en la medida en que ha quedado probado a través de los términos y cláusulas del contrato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/36 firmado el 2 de junio de 2013 que desplegó, en cumplimiento de lo dispuesto en el artículo 46.3 de la LOPD, toda la diligencia necesaria para asegurar, razonablemente, la legalidad de los datos personales que serían utilizados en las campañas de marketing contratadas al proveedor de direcciones, en este caso MEGA DATA. Así, HOME XXI incide en que las garantías que constan en la cláusula 2 sobre la licitud de los datos personales obrantes en el fichero titularidad de MEGA DATA constituyeron la condición bajo la que se firmó el mencionado contrato, añadiendo que las manifestaciones realizadas por MEGA DATA en el momento de contratar, relativas a que los datos ilegales utilizados en las campañas a raíz de la cuales la AEPD impuso a MEGA DATA, con fecha 8 de mayo de 2013, una sanción de 50.000 € por vulneración del principio del consentimiento en el PS/00621/2012, procedían de otra empresa, se han visto confirmadas al estimarse por la Audiencia Nacional, Sentencia de fecha 5 de mayo de 2015, Rec. 246/2013, el recurso contencioso administrativo interpuesto por esa empresa contra la reseñada resolución. Mantiene HOME XXI que Todo lo cual reveló una apariencia de legalidad que hizo contratar con MEGA DATA, si bien adoptando las cautelas adicionales a su alcance descritas que han sido reforzadas con las medidas contenidas en las cláusulas 4 y 5 del contrato en caso de incumplimiento de las premisas contenidas en la cláusula 2 o no resultar, total o parcialmente, ciertas las declaraciones contenidas en la misma, y que se ejecutaron con fecha 30 de mayo de 2014 cuando se resolvió el contrato y se devolvieron sin abonar las facturas pendientes de pago. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/36 otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
38. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” VIII HOME XXI alega falta de culpa en la comisión de la infracción por entender no le era exigible una conducta distinta a la mostrada, ya que al contratar con el suministrador de la base de datos adoptó todas las cautelas y garantías que, desde la perspectiva de la normativa de protección de datos, le eran exigibles para asegurar la legalidad de los datos personales que iban a tratarse en la campaña publicitaria. En el presente caso, si bien no puede acreditarse una conducta dolosa por parte de las entidades imputadas, si puede imputarse la responsabilidad en la comisión de la infracción imputada del artículo 6.1 de la LOPD a título de culpa a ambas entidades. Así, se entiende que resulta de aplicación el mismo criterio que el seguido por la Audiencia Nacional en la Sentencia de fecha 30 de abril de 2015, recaída en el Recurso Contencioso-Administrativo 242/2013 en el que HOME XXI actuó como demandante, y que sobre este particular indicaba que: “Pues bien, lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos). Defiende HOME XXI que conforme a lo previsto en el artículo 46.2 la reseñada Sentencia no resulta de aplicación al caso actual. Esta Agencia entiende, por el contrario, que HOME XXI ostenta la condición de responsable del tratamiento al haber participado en la determinación de los parámetros identificativos de los destinatarios de la campaña en la forma indicada en los Fundamentos de Derecho II al IV de esta resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/36 Teniendo en cuenta la genérica plasmación contractual de los acuerdos que aparecen recogidos en el expositivo y clausulado del contrato suscrito el 2 de junio de 2013, no cabe duda que HOME XXI, en este supuesto, podría haber actuado con la diligencia que le resulta exigible para acreditar que había dado cumplimiento a lo establecido en el artículo 46.3 del RDLOPD, ya que ni tan siquiera ha probado que se hayan efectuado los muestreos cautelares que constan reseñados en el propio contrato a fin de verificar que los datos procedían de repertorios telefónicos actualizados que, a su vez, no habían sido alimentados con información procedente de fuentes que no estén consideradas como accesibles al público y sin mediar oposición al tratamiento de sus titulares por estar inscritos en Listas Robinson. Tampoco el testimonio aportado por HOME XXI adjuntaba pruebas justificativas de la veracidad de las manifestaciones vertidas en el mismo por quien lo suscribía como administrador de MEGA DATA. Ante lo cual, no puede servir de eximente la supuesta devolución de los resultados obtenidos durante el primer muestreo al proveedor, puesto que dicha actuación respondería a una decisión adoptada en el marco de su órbita de responsabilidad que, por tanto, podía ser resuelta durante la tramitación del procedimiento a fin de justificar la veracidad de los extremos contenidos en el contrato y lo alegado en su defensa. En concordancia con lo cual, la inadmisión de las prueba testifical propuesta por HOME XXI, consistente en requerir al representante legal de MEGA DATA contestación de una serie de extremos, se fundamentó en lo dispuesto en el artículo 17.3 del Real Decreto 1398/1993, al tratarse de documentos que HOME XXI podía aportar en cualquier fase del mismo anterior al trámite de audiencia conforme a lo dispuesto en los artículos 35.
39. e)y 79.1 de la LRJ-PAC, por lo que su denegación se justificó expresando los motivos que amparaban tal acuerdo (Antecedente Octavo de esta resolución). En un caso similar estudiado en la Sentencia de la Audiencia Nacional de fecha 9 de octubre de 2014, Rec. nº 284/2013, se señala en relación con esta cuestión lo siguiente: “En definitiva, la denegación de las pruebas está motivada suficiente y adecuadamente, sin que su denegación haya causado indefensión material a la entidad recurrente teniendo en cuenta especialmente y por lo que respecta a la acreditación de las relaciones entre la Mutualidad de Seguros de la XXXX e YYY, que la recurrente pudo aportar los documentos que acreditaran dicha relación en cualquier momento del procedimiento.” Esta situación podría haber sido subsanada por HOME XXI cuando contactó, después de recibir la notificación de la propuesta de resolución, con el administrador de MEGA DATA para requerirle la declaración testimonial aportada y la subsanación de la misma, ocasiones en las que pudo solicitarle no sólo los resultados de los diferentes controles que se citan como realizados en el testimonio, sino también documentación relativa las diferentes actuaciones que en el testimonio aparecen como desarrolladas en exclusiva por MEGA DATA en relación con el tratamiento de datos personales de los destinatarios de la publicidad contratada. No basta, por tanto, que HOME XXI haya establecido contractualmente la realización de medidas de control tendentes a asegurar, con anterioridad a la celebración del contrato y durante la vigencia del mismo, la adecuación de los datos recabados por la entidad contratada a las exigencias de la LOPD, sino que se precisa acreditación de su efectiva realización material, circunstancia que no ha acreditado la entidad contratante de la publicidad. Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/36 grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Lo contrario, podría suponer utilizar el esquema diseñado por el artículo 46 del RDLOPD en aras a evitar la responsabilidad que pudiera recaer a HOME XXI en su condición de responsable del tratamiento que contrata campañas de publicidad de sus productos o servicios a terceros participando, como se ha razonado, junto con el prestador de servicios, en la fijación de los parámetros identificativos de los destinatarios de las campañas. Esta falta de justificación de materialización de los citados controles, a su vez, ha de ponerse en relación con la amplitud y generalidad de las potestades otorgadas por HOME XXI a MEGA DATA para realizar los servicios publicitarios contratados por la primera, los cuales debían prestarse, según figura en la cláusula 1.
40. b)del contrato, en función de los criterios que mejor pudieran satisfacer los intereses comerciales de HOME XXI, si bien en el mencionado contrato no se indican cuáles son esos intereses, omisión que se produce a pesar de la relevancia que, con arreglo a esa cláusula, supone su conocimiento a los efectos de la determinación de los criterios de segmentación de los destinatarios de la campaña que debieron fijarse por MEGA DATA conforme a esos objetivos comerciales señalados por la entidad beneficiaria de la publicidad. En todo caso, la falta de responsabilidad de los recurrentes en la comisión de las infracciones imputadas acordada en las Sentencias de fechas 21/05/2009, Rec. 260/2008, y 22/09/2011, Rec. 135/2010, no deriva, como señala HOME XXI, de que “la Audiencia Nacional ha estimado la existencia de un contrato entre las partes, en el que el suministrador de la base de datos garantiza que los datos personales son recogidos directamente de fuentes accesibles al público, es suficiente para concluir la falta de responsabilidad del beneficiario de la publicidad”, ni de que ”los elementos de segmentación de destinatarios los ha fijado, según el contrato, el proveedor de direcciones (como sucede ahora)”, sino de que en ambos supuestos se consideró que no les era exigible otra conducta diferente de la observada al haber adoptado, al momento de suscribir el contrato, todas las precauciones que, razonablemente, la Audiencia Nacional consideró permitían acomodar su conducta a los requerimientos de la LOPD. En esta línea de argumentación se resalta que en la SAN de fecha 30/04/2015, posterior a las dos invocadas por HOME XXI, la Audiencia Nacional no consideró suficientes las cláusulas contractuales introducidas por HOME XXI, como responsable del tratamiento, para cumplir las previsiones contenidas en el artículo 46 del RDLOPD. Por otra parte, en el Hecho Probado Quinto de la SAN de fecha 21/05/2008, se indicaba que “Dichos propietarios enviarán la selección de direcciones ordenada por Bankinter directamente a la empresa que se encarga de hacer el proceso de datos y serán destruidos una vez utilizados”, lo que prueba que el beneficiario de la publicidad fijó los criterios de selección. A tenor de todo lo cual, en el presente caso no consta que HOME XXI haya implantado medidas suficientes para verificar, en forma fehaciente, la licitud del tratamiento efectuado por MEGA DATA con datos personales utilizados para desarrollar en beneficio de aquélla campañas de marketing directo, lo que lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/36 HOME XXI en el ilícito administrativo imputado, existente también en el caso de MEGA DATA. IX También en relación con el elemento subjetivo de culpabilidad HOME XXI manifiesta la vulneración del principio de confianza legítima, ya que aduce que en la resolución recaída en el Procedimiento Sancionador PS/52/2012 la AEPD estimó, al contrario que en el caso ahora analizado, que las cautelas contractuales adoptadas por el beneficiario de la publicidad eran suficientes para eximirle de culpa, a pesar de ser ilegales los datos procedentes del fichero del proveedor de servicios contratado por éste, lo que dio lugar a que sólo se sancionase a la empresa TODO DATA INTEGRAL SERVICIES, S.L. por una campaña de publicidad realizada para un tercero. En la Sentencia de la Audiencia Nacional de fecha 30 de abril de 2015 anteriormente citada también se abordaba el análisis de la modulación de criterios de las Administraciones Públicas en el ejercicio de la potestad sancionadora en relación con un supuesto similar al ahora analizado, para concluir que de los hechos probados se desprende la comisión de la infracción por parte del beneficiario de la publicidad con independencia del criterio mantenido con anterioridad por la AEPD. En concreto se señala “Por otro lado, se alude por la parte actora a la conculcación del principio de confianza legítima al existir precedentes administrativos, en concreto, en el procedimiento sancionador PS 52/2012, incoado por la Agencia contra Todo Data Integral Services, S.L., en que no se han sancionado conductas idénticas a la de la parte actora. En relación con la doctrina de los actos propios resultan de interés lo declarado en las Sentencias del Tribunal Supremo de 28 de diciembre 2012 -recurso nº. 273/2009y 3 julio 2013 -recurso nº. 2.511/2011-, entre otras, que tratan sobre la infracción del principio de vinculación por actos propios, doctrina, surgida originariamente en el ámbito del derecho privado, que significa la vinculación del autor de una declaración de voluntad al sentido objetivo de la misma y la imposibilidad de adoptar después un comportamiento contradictorio, estando la misma doctrina estrechamente ligada al principio de buena fe y de protección de la confianza legítima, positivizados en el artículo 3.1 de la Ley 30/1992, de 216 de noviembre, y que ha sido acogida igualmente por la jurisprudencia del Tribunal Supremo (SS.TS. de 1 de febrero de 1990; 13 de febrero y 4 de junio de 1992; 28 de julio de 1997). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/36 En consecuencia, tal doctrina, indican las citadas Sentencias, supone que la actuación de las Administraciones Públicas no puede ser alterada arbitrariamente, y añaden: <<En concreto, en la STS de esta Sala de 26 de febrero de 2001, RC 5453/1995 dijimos que "Tanto la doctrina del Tribunal Constitucional como la Jurisprudencia de este Alto Tribunal (STS de 1 de febrero de 1999) considera que el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que dicho principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos, constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contra factum propium". Ahora bien, este principio no puede invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de amparar una conducta discrecional por la Administración que suponga el reconocimiento de unos derechos y/u obligaciones que dimanen de actos propios de la misma. O, dicho en otros términos, la doctrina invocada de los "actos propios" sin la limitación que acaba de exponerse podría introducir en el ámbito de las relaciones de Derecho público el principio de la autonomía de la voluntad como método ordenador de materias reguladas por normas de naturaleza imperativa, en las que prevalece el interés público salvaguardado por el principio de legalidad; principio que resultaría conculcado si se diera validez a una actuación de la Administración contraria al ordenamiento jurídico por el solo hecho de que así se ha decidido por la Administración o porque responde a un precedente de ésta>>. Con la alegación de la parte actora, de la existencia de precedentes administrativos, lo que se pretende es extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, pues, en el caso que nos ocupa, como hemos analizado, cabe apreciar en la conducta de la parte actora la infracción del art. 6.1 de la LOPD en relación con el art. 46 del RDLOPD, siendo indiferente al respecto que en otros supuestos, la Agencia Española de Protección de Datos, no haya sancionado a la entidad que contrataba la campaña de publicidad. (El subrayado es de la Agencia Española de Protección de Datos) No cabe duda que dicho criterio es extrapolable al caso que ahora nos ocupa, debiendo añadirse que HOME XXI olvida citar que con posterioridad al 14 de junio de 2012, fecha en que se acordó la resolución del PS/00052/20012 citado por esa entidad en base a los elementos fácticos obrantes en dicho procedimiento, la AEPD ha instruido numerosos procedimientos sancionadores en los que se ha imputado y sancionado por vulneración a la normativa de protección de datos tanto a la entidad contratante de la publicidad como a la entidad contratada para su ejecución. Por lo que se estima no ha existido ningún cambio de criterio respecto de resoluciones más recientes que la invocada y cuya argumentación ha sido enervada por la propia Audiencia Nacional en los términos anteriormente transcritos al resolver el contencioso administrativo interpuesto por HOME XXI contra la resolución acordada en el PS/00621/2012 con fecha 8 de mayo de 2013, en virtud de la cual se impuso a HOME XXI una sanción de 20.000 euros por una infracción del artículo 6.1 de la LOP en relación con el artículo 46 del RDLOPD, al igual que también se impusieron en ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/36 mismo procedimiento sancionador sendas sanciones a las mercantiles MEGA DATA, TODO DATA INTEGRAL SERVICES, S.L. y DATALASER, S.L. por conculcación del artículo 6 de la LOPD. También cabe citar, entre otras, la resolución acordada con fecha 22 de octubre de 2014 en el PS/00218/2014, en virtud de la cual se sancionó tanto a SISTEMAS MEDICOS PROFESIONALES S.L., que era la entidad beneficiaria de la publicidad, como a MEGA DATA, que era la responsable del fichero utilizado para remitir el envío postal comercial denunciado. Además, de acuerdo con lo establecido en el artículo 54 de la LRJ-PAC las administraciones pueden cambiar el criterio de sus actuaciones siempre y cuando se haga de forma motivada. X El artículo 44.3.
41. b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales de la denunciante por parte de HOME XXI y MEGA DATA, y la exigibilidad del consentimiento viene dada en la LOPD sin ser aplicables las excepciones previstas en la misma. En consecuencia, las citadas entidades, al tratar los datos de la denunciante sin su consentimiento inequívoco, han cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable, en todo caso, a las entidades HOME XXI y MEGA DATA en su condición de responsables del tratamiento, respondiendo también MEGA DATA de su actuación como responsable del fichero utilizado en la campaña de publicidad. XI El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
42. a)El carácter continuado de la infracción.
43. b)El volumen de los tratamientos efectuados.
44. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
45. d)El volumen de negocio o actividad del infractor.
46. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
47. f)El grado de intencionalidad.
48. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/36
49. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
50. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
51. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
52. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
53. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
54. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
55. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
56. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La aplicación del artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción, permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. XII En relación con la infracción cometida por MEGA DATA, no existen elementos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/36 que permitan aplicar lo dispuesto en el artículo 45.5 de la LOPD en tanto que concurren los apartados c), d),
57. e)y
58. f)del artículo 45.4 de la LOPD que operan como agravantes a los efectos de la antijuridicidad de los hechos y la culpabilidad de la imputada, habida cuenta que la creación, mantenimiento y explotación del fichero de su titularidad con datos de carácter personal constituye un elemento fundamental en el desarrollo de su actividad negocial y, consecuentemente, en la generación de beneficios económicos debido al volumen de negocio que se genera al poner a disposición de terceros el uso de dichos datos personales con fines de marketing publicitario. La vinculación de la actividad del infractor con el tratamiento de datos personales y el volumen de negocio generado a raíz de dichos tratamientos obliga a dicha entidad no sólo a ser especialmente conocedora de las obligaciones que derivan de la LOPD, sino también al escrupuloso cumplimiento de las mismas, motivo por el que el tratamiento inconsentido de los datos personales de la afectada con fines publicitarios pone de manifiesto la falta de diligencia observada en su actuación, y que aunque no pueda ser apreciada como dolosa o intencionada, si pone de manifiesto el elemento culpabilístico que dota a la conducta de la citada mercantil de un mayor grado de antijuricidad. En este sentido conviene traer a colación lo recogido en la Sentencia de la Audiencia Nacional, Recurso 104/2006, al señalar que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”, en el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que ”pues la naturaleza de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentales- art. 18.4 CE”. Finalmente se valora la concurrencia de la circunstancia prevista en el apartado
59. g)del artículo 45.4 de la LOPD, en razón de que MEGA DATA ha sido sancionada mediante Resolución R/1826/2014, de fecha 20 de octubre de 2014, (PS/00217/2014) por hechos similares a los que nos ocupan, lo que le hace acreedora de la circunstancia de reincidencia en la comisión de la infracción imputada en el sentido establecido en el artículo 131.3.
60. c)de la LRJ-PAC, precepto que establece que existe reincidencia por la comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme, y que señala como parámetro para graduar el importe de la sanción en relación con el principio de proporcionalidad, el grado de intencionalidad o reiteración. En cuanto a la firmeza de las resoluciones que requiere el citado artículo 131.3
61. c)LRJPAC, la jurisprudencia del Tribunal Supremo, en Sentencia de 24 de octubre de 2000 (RJ 2000,9375) y de 11 de marzo de 2003 ( RJ 2003,2656) ha señalado que “ Por ello parece preferible la interpretación de que, para que pueda aplicarse la circunstancia de reincidencia para una calificación mas grave de la conducta sancionable o para la agravación de la sanción prevista en la norma sancionadora, solo será necesaria la firmeza en vía jurisdiccional del acto sancionador previo cuando explícitamente sea exigida por la norma, pero no cuando se exige genéricamente la firmeza de la resolución administrativa, como ocurre en el supuesto del art. 131.3
62. c)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/36 Administrativo Común, y en el que corresponde al caso enjuiciado en este proceso. En estos supuesto bastara, por ende, la firmeza en vía administrativa de la resolución sancionadora, determinante de la ejecutividad del acto decisorio”. (El subrayado es de la Agencia Española de Protección de Datos) En el presente caso, la Resolución recaída en el procedimiento citado es firme en vía administrativa, por lo que de tal circunstancia se deriva la reincidencia en la comisión de infracciones de la misma naturaleza por parte de MEGA DATA. Por su parte, en la STSJ de Baleares de 11 de junio de 1999 (RJA 1999,1621), entre otras, se ha reconocido: En efecto, en el marco del Derecho administrativo sancionador, la reiteración se distingue de la reincidencia, únicamente en que aquella comprende a infracciones cometidas con una diferencia temporal superior a un año y es también independiente de que dichas infracciones participen o no de la naturaleza de la considerada, en la que se quieren hacer valer los efectos agravatorios”. En consecuencia, de acuerdo con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD antes citados, y considerando que también operan como atenuantes los criterios
63. b)y
64. h)del artículo 45.4 al no estar acreditado que la infracción imputada haya afectado a otros destinatarios distintos de la denunciante o su comisión haya causado perjuicios a la afectada, se considera adecuado a la gravedad de los hechos cuya comisión se imputa a MEGA DATA imponer una sanción en la cuantía mínima de 40.001 € establecida en la LOPD para las infracciones graves. En relación con la infracción cometida por HOME XXI, se considera que en el presente caso se produce la circunstancia prevista en el artículo 45.5.
65. b)de la LOPD, de tal modo que es posible aplicar la escala inferior en gravedad para establecer dentro de ese intervalo la sanción, toda vez que HOME XXI ha aportado copia de una comunicación dirigida a MEGA DATA (folio 24) resolviendo el contrato de prestación de servicios suscrito con fecha 2 de junio de 2013 con esa entidad tan pronto como conoció la apertura por la AEPD de dos procedimientos sancionadores a dicha compañía por posible vulneración del principio del consentimiento en el marco de campañas de marketing organizadas por esa empresa, puesto que se mostraba que las garantías asumidas por MEGA DATA respecto del origen de los datos eran falsas, oponiéndose también HOME XXI al pago de las facturas pendientes por las campañas efectuadas durante los meses de marzo y abril. Dicha medida pretende regularizar la situación evitando la comisión, en el futuro, de nuevas irregularidades derivadas de la prestación de los servicios inicialmente contratados. En cuanto a la graduación de la sanción a imponer, se tienen en cuenta como agravantes las siguientes circunstancias c),
66. f)
67. j)del artículo 45.4 de la LOPD. Por un lado, consta la vinculación de HOME XXI con la realización de tratamientos de datos de carácter personal a partir de la incorporación a un fichero de su titularidad de los datos personales facilitados por los destinatarios de los envíos postales publicitarios que acuden a los eventos promocionales de HOME XXI , y que según figura en el ejemplar aportado por la denunciante se utilizan para realizar acciones de prospección comercial y remitir información a dichas personas sobre sus productos y servicios de esa empresa (folio 4 ). Por otro lado, HOME XXI no ha acreditado, a pesar de estar habituada a contratar con terceros este tipo de servicios publicitarios, haber adoptado las cautelas necesarias para evitar un tratamiento inconsentido de datos personales en el desarrollo de la acción publicitaria de cuyo tratamiento era responsable. Téngase en cuenta que, tal y como se ha razonado en anteriores Fundamentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/36 de Derecho, no consta aportado al procedimiento ningún tipo de prueba que acredite fehacientemente que dichas garantías se hicieron efectivas. Téngase en cuenta que no consta aportado al procedimiento ningún tipo de prueba que acredite fehacientemente que dichas garantías se hicieron efectivas, ya que no se han presentado ningún resultado de los controles supuestamente realizados tanto antes como después de la firma del contrato respecto del origen y vigencia de los datos, ni se ha acreditado la existencia de acuerdos privados de colaboración suscritos con otras empresas para consultar las Listas Robinson a las que hace mención en la declaración testifical aportada, cuya autoría por el administrador de MEGA DATA no ha sido probada al no haberse adjuntado documento identificativos alguno del supuesto firmante. En la misma línea, no consta en el procedimiento ningún elemento fáctico diferente del propio del clausulado del contrato que justifique que el desarrollo de todos los aspectos de la campaña, y particularmente, la segmentación de los destinatarios, únicamente se llevaran a cabo por el proveedor del fichero. Debe añadirse que la Sentencia de la Audiencia Nacional de 5 de mayo de 2015, Rec. 246/2013, en la que se estima el recurso contenciosos impuesto por MEGA DATA no modifica las consideraciones anteriores en relación con la falta de rigor mostrada por HOME XXI, máxime si se considera el especial deber de diligencia que le resulta exigible como entidad que encargó la realización de la campaña publicitaria en virtud de dispuesto en el artículo 46.3 del RDLOPD, debiendo significarse, además, que en este caso no existe duda sobre la entidad titular del fichero del que se extrajeron los datos de la denunciante. Esta falta de diligencia a la hora de acreditar que los datos tratados con fines publicitarios se adecuaban a las exigencias de la LOPD constituye, por la habitualidad con que HOME XXI contrata con terceros este tipo de campañas que precisan del tratamiento de datos personales, un criterio agravante para fijar la cuantía de la sanción a imponer, cuya aplicación resulta compatible con la valoración que de dicha circunstancia se ha realizado a los efectos de establecer la responsabilidad de HOME XXI, a título de culpa, en la infracción imputada. No debe confundirse dicha valoración con la vulneración del principio “non bis in ídem” por no ajustarse al supuesto contemplado en el artículo 7.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, relativo a las vinculaciones del procedimiento sancionador con el orden jurisdiccional penal, que en este caso no se ha probado existan al igual que HOME XXI no especifica la faceta de dicho principio supuestamente vulnerada. Asimismo, la ausencia de procedimientos de gestión adecuados para impedir la comisión de infracciones de similar naturaleza, como refleja la reiteración en la conducta de realización de tratamientos de datos con fines publicitarios sin el consentimiento del afectado (PS/00621/2012). Con arreglo a todo lo cual, y valorando también como criterios atenuantes los supuestos
68. b)y
69. h)del artículo 45.4 de la LOPD, se estima adecuado a la gravedad de los hechos analizados imponer una sanción a HOME XXI por importe de 10.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad HOME XXI HOGAR Y DESCANSO S.L. por una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/36 infracción del artículo 6.1 de la LOPD en relación con el artículo 46.3 del RDLOPD, tipificada como grave en el artículo 44.3.
70. b)de la LOPD, una multa de 10.000 € (Diez mil euros), de conformidad con lo establecido en los apartados 1, 2, 4 y 5 del artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad MEGA DATA INTEGRAL SERVICES, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
71. b)de la LOPD, una multa de 40.001 € (Cuarenta mil un euros), de conformidad con lo establecido en los apartados 2, 4 y 5 del artículo 45 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a HOME XXI HOGAR Y DESCANSO S.L., MEGA DATA INTEGRAL SERVICES, S.L. y a Dña. F.F.F. . CUARTO: Advertir a los sancionados que la sanción impuesta deberán hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar d