← España

PS-00218-2014

1/14 Procedimiento Nº PS/00218/2014 RESOLUCIÓN: R/02402/2014 En el procedimiento sancionador PS/00218/2014, instruido por la Agencia Española de Protección de Datos a la entidad MEGA DATA INTEGRAL SERVICES, S.L., SISTEMAS MEDICOS PROFESIONALES S.L., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28 de mayo de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: En fecha 18 de Marzo de 2013, recibió en su domicilio una invitación para asistir a un acto publicitario, enviada por SISTEMAS MEDICOS PROFESIONALES S.L., al pie de la cual figuraba que el origen de los datos para este envío publicitario procede de ficheros de MEGADATA, entidad ante la que puede ejercitar sus derechos. En fecha 19 de marzo de 2013, envió un escrito MEGADATA, en el cual le comunicaba que no le constaba haberle facilitado sus datos personales, ni haber autorizado su tratamiento ni su cesión a terceros. Igualmente solicitaba la cancelación de sus datos personales y el resarcimiento de los gastos postales. En fecha 15 de Mayo de 2013, recibió un escrito de MEGADATA, en el que se le comunica que los datos que figuran en sus ficheros se limitan a su nombre y dirección postal completos. Con respecto a los cesionarios, la empresa no aporta información aclaratoria alguna. En relación con la solicitud del denunciante respecto del origen del que fueron obtenidos sus datos personales, MEGADATA aporta una explicación genérica respecto a que la empresa obtiene los datos de listados accesibles al público (guías telefónicas, los nombramientos oficiales, diarios oficiales, etc.), también de los buzones particulares e información proporcionada por los interesados en acciones promocionales, como descuentos especiales, participaciones en concursos y premios, etc. Manifiesta el denunciante que sus datos no aparecen en las guías telefónicas, en los diarios oficiales en que figura su nombre no consta su dirección particular, no le consta haber facilitado sus datos personales en ninguna acción promocional, como descuentos especiales, participación en concursos y premios, etc. Tampoco MEGADATA ha cumplido con el deber de dar respuesta en el plazo de diez días desde la recepción de la solicitud de cancelación de los datos personales, pues la solicitud enviada por el afectado fue retirada de Correos en fecha 8 de abril, según consta en el acuse de recibo, y el afectado ha recibido el escrito en que se comunica la cancelación de los datos, en fecha 15 de mayo de 2013, transcurridos un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 mes y una semana desde la recogida de la solicitud en Correos, plazo que superan con creces los diez días preceptivos. Por último, la empresa no da ninguna respuesta a la solicitud del afectado de que le sea reembolsado el importe de 3,68 euros, correspondiente a los gastos de envío certificado con acuse de recibo, que se vio obligado a abonar con el fin de poder tener constancia fehaciente de la recepción de la solicitud, incumpliendo la obligación que tenía la empresa de conceder al interesado un medio sencillo y gratuito para el ejercicio del derecho de cancelación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias frente a la entidad MEGA DATA INTEGRAL SERVICES, S.L., SISTEMAS MEDICOS PROFESIONALES S.L., teniendo conocimiento de que: Mediante diligencia de fecha 26/2/2014 se hace constar accede a los ficheros recabados durante la inspección de referencia E/00549/2010/I-01 realizada a MEGA DATA INTEGRAL SERVICES S.L. realizándose la búsqueda de los datos asociados a D. A.A.A. en el fichero ******, encontrándose un registro, del que se recaba impresión que se incorpora a las presentes actuaciones de investigación, y cuyos datos corresponden exactamente con los que figuran en la carta recibida por el denunciante. Enviada solicitud de información a MEGADATA, a la sede social que consta en el Registro Mercantil Central, la carta han resultado devuelta tras dos intentos de entrega por el Servicio de Correos y no ser retiradas de la oficina de Correos. TERCERO: Con fecha 29 de abril de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MEGA DATA INTEGRAL SERVICES S.L con arreglo a lo dispuesto en el artículo 127 del RDLOPD en por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica y a SERVICIOS MEDICOS PROFESIONALES S.L con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 6 de la LOPD en relación con el artículo 46 del RDLOPD, tipificada como grave en el artículo 44.3
  2. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MEGA DATA INTEGRAL SERVICES, S.L., mediante escrito de fecha 26/06/2014 formuló alegaciones, significando, que con base a la línea jurisprudencial de la STS de 8/02/2012 puede tratar los datos del denunciante para remitirse comunicaciones de tipo postal aun sin su consentimiento y sin que sus datos aparezcan en fuentes accesibles al público. QUINTO: Notificado el acuerdo de inicio, SISTEMAS MEDICOS PROFESIONALES S.L. mediante escrito de fecha 06/06/2014 formuló alegaciones, significando, que la imputación realizada no ha lugar puesto que de acuerdo con los art.s 6 LOPD y 46 RDLOPD, a pesar de que en la campaña se publicitan productos suyos, no ha participado en el diseño de la misma, ni en su ejecución, asimismo tan solo fijó parámetros identificativos de los destinatarios de la campaña, sino que dichas acciones las realizo MEGA DATA. Se firmo un contrato con ésta entidad donde se dice que el SUMINISTRADOR se encarga de la selección y segmentación de datos personales. Señala la factura donde puede verificarse este extremo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 MEGA DATA ofrecía garantías de legalidad, y que adoptaron todas las medidas para cumplir la ley actuando con total buena fe. De acuerdo con lo expuesto y con el principio de culpabilidad, no procede la imposición de la sanción. En el procedimiento sancionador 52/2012 se sanciono a la empresa TODO DATA INTEGRAL SERVICES, S.L., con la contrató ésta, y finalmente no se inicio procedimiento sancionador por considerar que su conducta estaba subsumida en el art. 46 RDLOPD. Basándose en ese precedente se decidió contratar la campaña de marketing con MEGA DATA que nos aseguró por contrato que nos iba a suministrar datos legales. Confiando en dicha declaración se contrató. La Agencia ha cambiado de criterio y en esta ocasión se nos quiere sancionar a pesar de que en aquel caso no fue asi y hemos actuado en la creencia de que aquel criterio se mantendría. Se solicita que se complete el expediente con aquellas informaciones que se hicieron respecto de SMP en las actuaciones E/4858/2013. SEXTO: En fecha de 23/09/2014 el Instructor del Procedimiento emitió Propuesta de Resolución solicitando que por el Director de la Agencia Española de Protección de Datos se sancionara a las entidades denunciadas por infracción del art. 6 de la LOPD. SEPTIMO: En fecha de 26/09/2014 se notificó la Propuesta de Resolución en el domicilio de SISTEMAS MEDICOS PROFESIONALES S.L. presentando alegaciones en fecha de 16/10/2014 en las que se reiteraba en lo manifestado anteriormente y solicitaba el archivo de las actuaciones respecto de su actuación, manifestando que la circunstancia del envío de un contrato con fecha de 1/04/2013 y su correspondiente factura fue debido a un error de interpretación y aportan un contrato de fecha 1/04/2012 OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 18/03/2013 el denunciante recibe en su domicilio una carta en la que se publicita un evento que tendrá lugar en fecha de 26/03/2013 en el que constan los datos personales de éste consistentes en nombre y apellidos, el domicilio con piso y puerta. ( folio 8) DOS.- En la leyenda del envío comercial consta lo siguiente: “La información utilizada para este envío publicitario procede de ficheros propiedad de MEGA DATA INTEGRAL SERVICES S.L. – Apartado de Correos **** – BILBAO, donde usted podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición” ( folio 8) TRES.- En fecha de 19/03/2013 el denunciante ejerce su derecho de acceso y cancelación frente a MEGA DATA INTEGRAL SERVICES, S.L., siendo recibido dicho escrito en fecha de 08/04/2013 ( Folios 12 a 14) CUATRO.- Mediante escritos fechados en abril de 2013 y recibidos por el denunciante en fecha de 15/05/2013 (folios 17 a 19 y 23) MEGA DATA INTEGRAL SERVICES, S.L contesta al denunciante informando que ha procedido a la cancelación de sus datos personales y que (…)en ningún caso, nuestra empresa es responsable de las campañas que realicen nuestros clientes(…) y respecto del origen de los datos manifiesta que “se obtienen de listados accesibles al público: páginas blancas, páginas amarillas, QDQ, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 repertorios de servicios de telecomunicaciones ( 11811, 11850, 11888, etc.), revistas u otros medios de comunicaciones, nombramientos oficiales, diarios oficiales, etc.- los cuales han sido sujetos a un proceso de normalización, a fin de unificar criterios y nomenclaturas de nombre propios, apellidos, nombres de vías, direcciones y poblaciones.(…)… CINCO.- En el envío publicitario se promociona un evento y consta en la parte superior izquierda de dicha carta: SISTEMAS MEDICOS PROFESIONALES, S.L. y figura como remitentes de dicho envío SISTEMAS MEDICOS PROFESIONALES, S.L. SEXTO: Los datos personales del denunciante no constan en el repertorio de abonados a servicios telefónicos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado III Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas: Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos. Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento. Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. IV En el presente caso, SMP alega en su descargo que no intervino en la campaña publicitaria objeto de valoración para lo que aporta un contrato en sus alegaciones formuladas al Acuerdo de Inicio, en el que se determina que el proceso de selección de destinatarios es realizado por MEGA DATA. Sin embargo difícilmente puede tener los efectos pretendidos pues estamos ante un envío publicitario de fecha de 18/03/2013 para un evento de fecha 26/03/2013 y la fecha del contrato aportado es de 1/04/2013 (Folios 116 y 117) e idénticas consideraciones merece la factura de fecha 31/05/2013. Es decir, el contrato despliega sus efectos hacia adelante en el tiempo y nunca hacia atrás. A este respecto SMP en sus alegaciones formuladas a la Propuesta de Resolución, manifiesta que es un error el hecho de enviar dicho contrato y que realmente la relación con MEGA DATA se sustenta en el contrato de fecha 1/04/2012. Sin embargo no puede estimarse por esta Agencia la teoría del error en la aportación de documentos pues ya en el en el Acuerdo de Inicio enviado a SMP consta en el hecho primero que estamos ante un envío de 18/03/2013, y se señala expresamente los datos del denunciante, A.A.A. lo que le hace plenamente conocedora de tal circunstancia. Pues de otro modo, es decir, sin atender a la petición que se hace desde la Agencia, en concreto el tratamiento de los datos personales del denunciante, cabría concluirse que SMP contesta a las solicitudes de información de modo genérico sin verificación alguna. El hecho de que se aporte en esta fase del procedimiento y tras la fijación de hechos probados, un contrato de fecha 1/04/2012 amparado en un “error” cuando los hechos aparecían claros en el Acuerdo de Inicio, resulta irrelevante a los efectos pretendidos por SMP, siendo de aplicación el principio de libre valoración de la prueba. Es decir, la valoración de las pruebas se hace con el conjunto de elementos (materiales y temporales) aportados al procedimiento y la integridad y posibilidad de creación ad hoc de los documentos aportados, hay que ponerlo en conexión con la circunstancia que se ha señalado anteriormente: ya en el Acuerdo de Inicio se fijaban los hechos relativos al envío de 18/03/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 De lo expuesto, SMP se sitúa como responsable del tratamiento en la medida en que decide sobre el uso y finalidad del mismo, y con la simple lectura del envío publicitario se observa que es el beneficiario del tratamiento realizado, es decir, se instituye en beneficiario de la publicidad enviada. V Por otra parte, SMP alega en su descargo que actuaba con la creencia de estar encargando la campaña publicitaria a un tercero que le daba garantías de legalidad. Asimismo sostiene que la Agencia Española de Protección de Datos ha cambiado su criterio respecto del procedimiento sancionador PS/52/2010 donde se iniciaron actuaciones previas de inspección y finalmente no se imputo infracción alguna. Pues bien, en primer lugar es la propia SMP quien alega que en dicho procedimiento se vio involucrada en unos hechos similares y que también se le garantizaba “por contrato” la legalidad de la base de datos a utilizar por otra empresa del mismo administrador. Precisamente esa circunstancia no puede obviarse, dicho órgano de representación societario ( el administrador único) es sobre el que recaen la decisiones principales de la gestión de los negocios que le atañen, es decir, decide a cerca del objeto de la actividad ( explotación de bases de datos), es conocedor de la legalidad o ilegalidad de sus bases de datos entendiendo al origen de los mismos y al criterio del organismo regulador sectorial ( la Agencia Española de Protección de Datos) manifestado a través de las resoluciones sancionadoras que se han emitido, por lo que SMP no puede obviar tales elementos ya que la “legalidad” y adecuación a la LOPD que garantiza aquel administrador societario ofrece dudas más que razonables, atendiendo a las circunstancias expuestas. A mayor abundamiento, en aquel procedimiento constaba una leyenda informativa idéntica a la utilizada para promocionar el evento de 26/03/2014. En dicho procedimiento podía estar actuando en la creencia de la legalidad de la base de datos, pero en el presente caso, la cautela que afirma que tomó y la circunstancia de que actuaba en la creencia de legalidad de la misma, no puede ser tomada en consideración en el presente expediente, pues no aporta elemento alguno que satisfaga el art. 46.3 del RDLOPD atendiendo a los elementos señalados anteriormente. En segundo lugar, esta Agencia no ha cambiado de criterio tal como afirma en sus alegaciones, ya que en el procedimiento sancionador PS/52/2010, se aportó un contrato en el que el “proveedor de bases de datos” era quien segmentaba los perfiles de los usuarios, razón por la cual se archivó el mismo al beneficiario de la publicidad. Sin embargo en el presente caso, no solo no existe contrato sino que es la propia MEGA DATA INTEGRAL SERVICES, S.L. quien reconoce en dos cartas enviadas al denunciante que “en ningún caso, nuestra empresa es responsable de las campañas que realicen nuestros clientes”. Por lo expuesto se ha de considerar como responsable del tratamiento realizado a SMP y responsable del fichero, tal como consta en la leyenda informativa, a MEGA DATA INTEGRAL SERVICES, S.L. y situarse bajo el régimen de responsabilidad que determina el art. 43 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Finalmente hay que señalar, respecto de lo manifestado por SMP en cuanto al contenido del expediente que lo entiende insuficiente, que ya tuvo acceso al contenido del mismo ( folios 141 a 143), y que la referencia a las actuaciones E/4858/2013 que cita en su escrito, son de otro procedimiento distinto del presente. VI Respecto de la actuación de MEGA DATA, hay que señalar que el propio art. 12 del RDLOPD señala “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” Y que en el presente caso nada ha aportado la mencionada entidad. Por otro lado, sostiene MEGA DATA que no es necesario el consentimiento del denunciante de acuerdo con la doctrina jurisprudencial derivada de la Sentencia del Tribunal Supremo de 8/02/2012. Frente a lo cual cabe señalar que: en base a la jurisprudencia del TSJCE en relación con el art 7f) de la Directiva 95/49 y en relación con la Sentencia del Tribunal Supremo de 8/02/2012, debiendo señalar lo siguiente: La sentencia del Tribunal de Justicia de la Unión Europea proclama que el artículo 7f) tiene efecto directo. Al mismo tiempo, el TJUE precisa el alcance normativo del precepto, señalando que no admite que las normativas nacionales, en ausencia del consentimiento del interesado, exijan para permitir el tratamiento de datos personales “necesario para la satisfacción de un interés legitimo”, además del respeto de los derechos y libertades fundamentales del interesado, que los datos se encuentren siempre en fuentes accesibles al público, “excluyendo así de forma categórica y generalizada todo tipo de tratamiento de datos que no figuren en tales fuentes”. Ello no significa, sin embargo, que la mera invocación de un interés legítimo deba considerarse suficiente para legitimar el tratamiento de datos personales sin el consentimiento del afectado. En los fundamentos de la Sentencia, el propio Tribunal precisa la interpretación que debe darse a dicho artículo, subrayando la necesidad de realizar en cada caso concreto una ponderación entre el interés legítimo de quien va a tratar los datos y los derechos fundamentales de los ciudadanos afectados, con el fin de determinar cuál prevalece atendiendo a las circunstancias concurrentes. En este sentido, recuerda que el artículo 7
  4. f)de la Directiva “establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado.” Acto seguido, el Tribunal advierte que “el segundo de esos requisitos exige una ponderación de los derechos e intereses en conflicto que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate”. Y deja claro que en este marco “la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado”, permitiendo que a la hora de adaptar su ordenamiento jurídico a la Directiva 95/46, “los Estados miembros establezcan los principios que deben regir dicha ponderación”. Entre dichos criterios de ponderación, la Sentencia se refiere, en particular, al hecho de que los datos no se encuentren en fuentes accesibles al público, recordando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 que “a diferencia de los tratamientos de datos que figuran en fuentes accesibles al público, los tratamientos de datos que figuran en fuentes no accesibles al público implican necesariamente que el responsable del tratamiento y, en su caso, el tercero o terceros a quienes se comuniquen los datos dispondrán en lo sucesivo de ciertas informaciones sobre la vida privada del interesado. Esta lesión, más grave, de los derechos del interesado consagrados en los artículos 7 y 8 de la Carta debe ser apreciada en su justo valor, contrapesándola con el interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos.” A la vista de todo ello, cabe recordar que en la interpretación y la aplicación que hasta el momento se ha venido realizando en España, tanto por esta Agencia como los órganos judiciales, ya se estaba llevando a cabo una ponderación en la línea de lo exigido por el artículo 7
  5. f)de la Directiva, atendiendo a criterios diversos, tales como la finalidad del tratamiento de los datos, el marco legal aplicable, -p. ej. la existencia de una ley que ampare intereses legítimos- o circunstancias concurrentes en el caso como, entre otras, la existencia de una relación jurídica, o que los datos figuren o no en fuentes accesibles al público. En consecuencia, de la Sentencia del TJUE no parece derivarse una alteración sustancial del marco vigente de protección de los datos personales en España ni que el fallo comporte una merma en el grado de protección de los derechos de los ciudadanos. El artículo 10.2 del RD 1720/2007 alude a la necesidad de concurrencia de un interés legítimo para que la realización de un tratamiento de datos inconsentido por parte de un tercero no resulte contrario a la normativa en materia de protección de datos, pero el punto b de dicho artículo lo vincula a que, además, los datos del titular del mismo figuren en una fuente de acceso público. Las fuentes de acceso público se encuentran tasadas en el artículo 3.j LOPD en una enumeración cerrada (censo promocional, medios de comunicación, boletines…). Sin embargo, en sentencia de 8 de febrero de 2012, del Tribunal Supremo (rec. 25/2008) se ha anulado dicho punto b del artículo 10.2, eliminándose, por tanto la exigencia de una acumulación de dos requisitos: la existencia de un interés legítimo sobre el dato y que éste figure en una fuente de acceso público, al tratarse esta última de una circunstancia que no se encuentra prevista en la Directiva 95/46/CE del Parlamento Europeo que establece el marco normativo europeo a aplicar en materia de protección de datos en los distintos estados de la UE. A partir de lo considerado en dicha sentencia, no es necesario que los datos figuren en una fuente de acceso público para que, en caso en que concurra un interés legítimo para el tratamiento de datos, bastando con que concurra dicho interés y prevalezca sobre los derechos y libertades del interesado, circunstancia que debe analizarse en el presente supuesto. Debe partirse de la premisa de que ningún derecho es absoluto y que puede ceder ante intereses constitucionalmente relevantes. Pero también es cierto que para la valoración de la lesión se ha de efectuar un juicio de proporcionalidad sobre la idoneidad y la inexistencia de otra medida más moderada a la adoptada, para conseguir el mismo fin. La ponderación y equilibrio de la misma son razonamientos que se deben realizar. Para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si tal medida es susceptible de conseguir el objetivo propuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 (juicio de idoneidad); si es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto). Pues bien, de los hechos se desprende que, en el caso que nos ocupa, la medida, concretada en la creación de ficheros de datos personales y su explotación económica, es idónea y necesaria para cumplir con la actividad comercial de la entidad, siempre claro está que el origen de los datos personales sea lícito. A sensu contrario, no es idóneo y necesario vulnerar la norma para una actividad lícita. A mayor abundamiento, la citada Sentencia no ha modificado el artículo 30.1 de la LOPD, que exige que para que puedan ser sometidos a tratamiento datos personales para finalidades de publicidad, tienen que figurar en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. Asimismo la citada Sentencia modifica el contenido del art. 10.2
  6. b)del RDLOPD, pero en ningún caso el Capitulo II Del Título IV del RDLOPD, referido expresamente a tratamientos de datos personales como el acontecido en el presente caso, es decir, de publicidad y prospección comercial. En virtud del principio de especialidad y jerarquía normativa, la regulación específica de la Ley Orgánica (expresamente valora el tratamiento de datos para publicidad) prevalece frente a la de una norma reglamentaria, concretamente un precepto que regula con carácter general el consentimiento del interesado. Por lo que cabe concluir que no puede entenderse que existe interés legitimo del responsable del fichero para el envío de publicidad y a su vez conculcar lo dispuesto en el citado precepto, ya que no es conforme ni a la propia LOPD ni al juicio de proporcionalidad en sentido estricto ya que se vulnera un derecho fundamental ex art. 18.4 de la Constitución y los mandatos de la ley. VII Por lo expuesto, acreditado el tratamiento de datos personales la entidad denunciada no han presentado ninguna prueba que pueda evidenciar el origen licito de los datos del denunciante ( ni si quiera ha concretado cual es el origen de los mismos) y por tanto que contaban con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 MEGA DATA INTEGRAL SERVICES, S.L. registró en su fichero automatizado y utilizo los datos del denunciante concretándose en nombre y apellidos, dirección con piso y puerta, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos, por tanto su actuación no es incardinable en ningún supuesto a la excepción a la prestación del consentimiento que recoge el artículo 6.2 de la LOPD. VIII Dispone el artículo 44.3.
  7. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, respecto del tratamiento realizado por cuenta de SMP y utilizando el fichero de MEGA DATA, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. IX El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. X En relación con las infracciones cometidas por MEGA DATA, no existen elementos que permitan aplicar lo dispuesto en el art. 45.5 de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se propone el importe de la sanción en la cuantía de 40.001 € por la infracción cometida, teniendo en cuenta los apartados c),
  23. d)
  24. e)
  25. f)y
  26. g)El apartado c), en cuanto a que buena parte del objeto de su actividad es la explotación de bases de datos para envíos publicitarios, es decir, su actividad está vinculada con el tratamiento de datos personales. El apartado
  27. d)en cuanto a su actividad, sirva la consideración anteriormente expuesta. El apartado e), respecto del beneficio económico obtenido como consecuencia de la “venta o alquiler” de sus bases de datos. El apartado
  28. f)respecto del grado de intencionalidad, en la medida en que no puede serle ajena los mandatos de la LOPD y en concreto el principio del consentimiento para el tratamiento de los datos personales. El grado de intencionalidad hay que ponerlo en conexión con el elemento subjetivo de la culpabilidad en la medida que el infractor es conocedor de las obligaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 derivadas de la ley y a pesar de ello no adopta las cautelas necesarias para su cumplimiento. La creación y explotación de bases de datos que contienen datos de carácter personal, es un elemento fundamental de la base de su negocio, hace a MEGA DATA plenamente conocedora de las obligaciones que derivan de la LOPD y su incumplimiento ponen de manifiesto la falta de diligencia prestada y el elemento culpabilistico resulta acreditado dotando a la conducta de la citada mercantil de un mayor grado de antijuricidad. En este sentido conviene traer a colación lo recogido por la de acuerdo con la Sentencia de la Audiencia Nacional Recurso 104/2006 señala que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”, en el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que ”pues la naturaleza de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentalesart. 18.4 CE-. De lo expuesto se concluye que en el caso analizado se dan las siguientes circunstancias: la vinculación de la actividad del infractor con el tratamiento de datos personales, que no es accidental o excepcional sino que constituye el principal objeto de su negocio; el beneficio obtenido como consecuencia de la comisión de la infracción, por idénticas razones que el anterior motivo, explota económicamente la base de datos de carácter personal; por la intencionalidad en cuanto a elemento subjetivo del tipo infractor, recuérdese que la diligencia prestada ha de ser exquisita atendiendo a las obligaciones que impone a la LOPD a un operador en el “mercado de datos” de la que se deriva especial vinculación. Finalmente la circunstancias prevista en el apartado
  29. g)y
  30. j)respecto de que MEGA DATA ha sido sancionada mediante Resolución R/798/2013 y R/1826/2014 por idénticos hechos, lo que le hace acreedora de las circunstancias de reiteración y reincidencia en la comisión de la infracción, en el sentido de que el art. 131.3
  31. c)LRJPAC establece que existe reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme. Además, dicho artículo señala como parámetro para graduar el importe de la sanción en relación con el principio de proporcionalidad, el grado de intencionalidad o reiteración. En el presente, habida cuenta de que la MEGA DATA ha sido sancionada anteriormente por hechos similares, concurren en su actuación tanto la reiteración, como la reincidencia. En este sentido así ha reconocido, entre otras, en la STSJ de Baleares de 11 de junio de 1999 (RJA 1999,1621): En efecto, en el marco del Derecho administrativo sancionador, la reiteración se distingue de la reincidencia, únicamente en que aquella comprende a infracciones cometidas con una diferencia temporal superior a un año y es también independiente de que dichas infracciones participen o no de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 naturaleza de la considerada, en la que se quieren hacer valer los efectos agravatorios”. Por su parte, en cuanto a la firmeza de las resoluciones que requiere el citado art. 131.1
  32. c)LRJPAC, la jurisprudencia del Tribunal Supremo, en Sentencia de 24 de octubre de 2000 (RJ 2000,9375) y de 11 de marzo de 2003 ( RJ 2003,2656) ha señalado que “ Por ello parece preferible la interpretación de que, para que pueda aplicarse la circunstancia de reincidencia para una calificación mas grave de la conducta sancionable o para la agravación de la sanción prevista en la norma sancionadora, solo será necesaria la firmeza en vía jurisdiccional del acto sancionador previo cuando explícitamente sea exigida por la norma, pero no cuando se exige genéricamente la firmeza de la resolución administrativa, como ocurre en el supuesto del art. 131.3
  33. c)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el que corresponde al caso enjuiciado en este proceso. En estos supuesto bastara, por ende, la firmeza en vía administrativa de la resolución sancionadora, determinante de la ejecutividad del acto decisorio”. (El subrayado es de la Agencia Española de Protección de Datos) En el presente caso las Resoluciones citadas, son firmes en vía administrativa, tal como se requiere según la jurisprudencia citada ut supra, por lo que se deriva de tal circunstancia, tanto la reiteración en la conducta, como la reincidencia en la comisión de infracciones de la misma naturaleza. Teniendo en cuenta las circunstancias expuestas, no es de aplicación la degradación prevista en el apartado 5 del art. 45 LOPD, y de acuerdo con los criterios de graduación previstos en el art. 45.4 de la LOPD antes citados procede fijar la sanción en la cuantía de 40.001 €. XI En relación con las infracciones cometidas por SMP concurren circunstancias que permiten la aplicación del citado precepto, concretamente previstas en el apartado 5
  34. a)en relación con los apartados 4g) y 4
  35. h)del apartad 4 del art. 45. Por todo ello, procede imponer, la infracción cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. De acuerdo con los apartados citados se fija el importe de la sanción en la cuantía de 2.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MEGA DATA INTEGRAL SERVICES, S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  36. b)de dicha norma, una multa de 40.001 € (cuarenta mil un euro) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad SISTEMAS MEDICOS PROFESIONALES S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  37. d)de dicha norma, una multa de 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a MEGA DATA INTEGRAL SERVICES, S.L., SISTEMAS MEDICOS PROFESIONALES S.L. y a A.A.A. . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.