← España

PS-00220-2017

1/25 Procedimiento Nº PS/00220/2017 RESOLUCIÓN: R/02907/2017 En el procedimiento sancionador PS/00220/2017, instruido por la Agencia Española de Protección de Datos a la entidad CROSSELING OPERADORES 3.9 S.L., vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7/06/2016 tiene entrada en esta Agencia Reclamación de Tutela de Dña. A.A.A. (en lo sucesivo la denunciante) contra ORANGE ESPAGNE, S.A.U. (anteriormente JAZZ TELECOM, S.A.U.), (en lo sucesivo ORANGE) por denegación del derecho de Oposición, que fue resuelta por Resolución R/02843/2016 en la que se recoge: <<…Que la reclamante ejercitó el derecho de oposición al denunciado en dos ocasiones: el día 11 de agosto de 2015, mediante correo electrónico, y el día 10 de febrero de 2016, mediante correo certificado. Que tras la recepción de dichas solicitudes, atendió el derecho de oposición: - El día 18 de agosto de 2015, enviando a la reclamante contestación en la que se confirmaba que su solicitud había sido atendida. Alega que desde dicha fecha los datos de la interesada constan excluidos del tratamiento con fines comerciales en sus sistemas. - El día 10 de febrero de 2016, mediante correo certificado. Informando a la interesada de que se había atendido su derecho de oposición. A pesar de lo anterior la denunciada ha continuado recibiendo numerosas llamadas publicitarias del denunciado (…) En el caso que nos ocupa, de la documentación aportada por la reclamante se pudiera desprender que ORANGE no haya hecho efectivo el derecho de oposición recibido y ha seguido tratando los datos de la reclamante, por lo que se procede a la apertura de un expediente de investigación E/05531/2016, con objeto de que se determine si de los hechos que aquí se ponen de manifiesto se desprende la existencia de infracciones a la legislación en materia de protección de datos…>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a diversas entidades teniendo conocimiento de que:

  1. a)Vodafone Ono, entidad que presta el servicio de telefonía al número de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 denunciante B.B.B. ha certificado, que ha recibido llamadas procedentes de la línea ***TLF.1 en fechas 25/05/2016, 26/05/2016 y 06/06/2016.
  2. b)ORANGE manifiesta que la línea B.B.B. correspondiente a la reclamante se encuentra incluida en la Lista Robinson desde el 01/09/2015 por lo que no ha sido incluido en ninguna campaña comercial. La línea ***TLF.1 a fecha 06/06/2016 se encuentra registrada a nombre del Global Telemarketing Solutions S.L. con CIF ***CIF.1.
  3. c)De acuerdo con la documentación incorporada al presente procedimiento y obrante en el expediente E/0104/2016, La entidad CROSSELING OPERADORES 3.9, S.L. y GLOBAL TELEMARKETING SOLUTIONS, S.L. tienen un contrato de subcontratación de los servicios de telemarketing y marketing telefónico para dar cobertura al servicio contratado por ésta última con JAZZTEL. El domicilio que a GLOBAL TELEMARKETING SOLUTIONS, S.L. le consta de CROSSELING OPERADORES 3.9, S.L. es en la ***DIRECCIÓN.1, no constándole ningún otro domicilio. El domicilio a efectos de notificaciones a GLOBAL TELEMARKETING SOLUTIONS, S.L. es la calle ***DIRECCIÓN.2 (domicilio de IBERIA LEGAL). Para el desarrollo de la actividad relativa al contrato suscrito entre GLOBAL TELEMARKETING SOLUTIONS, S.L. y CROSSELING OPERADORES 3.9, S.L., GLOBAL TELEMARKETING SOLUTIONS, S.L. ha manifestado que reciben los ficheros suministrados por JAZZTEL ficheros con los datos de los teléfonos a contactar en las llamadas de telemarketing desconociendo la estructura de dicho fichero así como la periodicidad de dichos envíos. Adicionalmente reciben también de JAZZTEL un fichero con la "LISTA ROBINSON" de las personas a excluir de las campañas de telemarketing. Por otra parte, reseñar que en el contrato de fecha 1 de marzo de 2014 entre JAZZTEL (ahora ORANGE) y CROSSELLING OPERADORES 3.9, S.L. se estipula en la cláusula 4 que queda prohibida la subcontratación de los servicios objeto de dicho contrato, “salvo autorización previa y expresa de JAZZTEL que deberá ser formalizada mediante la firma por las tres partes”. TERCERO: Con fecha 16 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CROSSELING OPERADORES 3.9 SL, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), en relación con lo previsto en los artículos 12.4 y 30.4 de la misma norma, tipificada como grave en el artículo 44.3.
  4. b)de la citada Ley, pudiendo ser sancionada, con multa de 30.000 euros, de acuerdo con el artículo 45 apartados 2 y 5 de dicha Ley Orgánica y a los efectos previstos en el art. 64.2
  5. b)de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas y art. 127 letra
  6. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 CUARTO: Notificado el acuerdo de inicio, CROSSELING OPERADORES 3.9 SL remite escrito de alegaciones, comunicando: <<…Aportamos correo de ORANGE que en esas fechas desde ***TLF.1 no se ha realizado llamadas al B.B.B. (…) En relación a vuestra solicitud sobre las llamadas emitidas desde el número ***TLF.2 con destino al B.B.B. durante los meses de Mayo, Junio y Julio 16, comentaros que desde el departamento técnico me indican que no hay llamadas generadas con destino ***TLF.2 al ***TLF.3. Hemos visto que sí hay llamadas desde el ***TLF.2 a otros números. He pedido a mi departamento de legal, que nos pase esta información en un formato más oficial, tan pronto lo tenga os lo haré llegar…>> (el subrayado es de la AEPD). QUINTO: Con fecha 29/06/2017 se inició el período de práctica de pruebas. SEXTO: Con fecha 01/09/2017 se inició el trámite de audiencia. SÉPTIMO: Con fecha 6 de octubre de 2017 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 30.000 € a CROSSELING OPERADORES 3.9 SL, por la comisión de una infracción del artículo 6.1 de la LOPD en relación con lo previsto en los artículos 12.4 y 30.4 de la LOPD, tipificada como grave en el artículo 44.3.
  7. b)de la citada norma. Dicha propuesta le fue notificada mediante el Servicio de Notificaciones Electrónicas y fue puesta a su disposición el 6/10/2017, siendo rechazada el 16/10/2017. HECHOS PROBADOS PRIMERO: Con fecha 7/06/2016 tiene entrada en esta Agencia Reclamación de Tutela de la denunciante contra ORANGE por denegación del derecho de Oposición, que fue resuelta por Resolución R/02843/2016 en la que se recoge: <<…Que la reclamante ejercitó el derecho de oposición al denunciado en dos ocasiones: el día 11 de agosto de 2015, mediante correo electrónico, y el día 10 de febrero de 2016, mediante correo certificado. Que tras la recepción de dichas solicitudes, atendió el derecho de oposición: - El día 18 de agosto de 2015, enviando a la reclamante contestación en la que se confirmaba que su solicitud había sido atendida. Alega que desde dicha fecha los datos de la interesada constan excluidos del tratamiento con fines comerciales en sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 - El día 10 de febrero de 2016, mediante correo certificado. Informando a la interesada de que se había atendido su derecho de oposición. A pesar de lo anterior la denunciada ha continuado recibiendo numerosas llamadas publicitarias del denunciado (…) En el caso que nos ocupa, de la documentación aportada por la reclamante se pudiera desprender que ORANGE no haya hecho efectivo el derecho de oposición recibido y ha seguido tratando los datos de la reclamante, por lo que se procede a la apertura de un expediente de investigación E/05531/2016, con objeto de que se determine si de los hechos que aquí se ponen de manifiesto se desprende la existencia de infracciones a la legislación en materia de protección de datos…>> SEGUNDO: Vodafone Ono, entidad que presta el servicio de telefonía al número de la denunciante B.B.B. ha certificado, que ha recibido llamadas procedentes de la línea ***TLF.1 en fechas 25/05/2016, 26/05/2016 y 06/06/2016. TERCERO: ORANGE manifiesta que la línea B.B.B. correspondiente a la reclamante se encuentra incluida en la lista Robinson desde el 01/09/2015 por lo que no ha sido incluido en ninguna campaña comercial. CUARTO: La línea ***TLF.1 a fecha 06/06/2016 se encuentra registrada a nombre del Global Telemarketing Solutions S.L. con CIF ***CIF.1. QUINTO: De acuerdo con la documentación incorporada al presente procedimiento y obrante en el expediente E/0104/2016, La entidad CROSSELING OPERADORES 3.9, S.L. y GLOBAL TELEMARKETING SOLUTIONS, S.L. tienen un contrato de subcontratación de los servicios de telemarketing y marketing telefónico para dar cobertura al servicio contratado por ésta última con JAZZTEL. El domicilio que a GLOBAL TELEMARKETING SOLUTIONS, S.L. le consta de CROSSELING OPERADORES 3.9, S.L. es en la ***DIRECCIÓN.1, no constándole ningún otro domicilio. El domicilio a efectos de notificaciones a GLOBAL TELEMARKETING SOLUTIONS, S.L. es la calle ***DIRECCIÓN.2 (domicilio de IBERIA LEGAL). Para el desarrollo de la actividad relativa al contrato suscrito entre GLOBAL TELEMARKETING SOLUTIONS, S.L. y CROSSELING OPERADORES 3.9, S.L., GLOBAL TELEMARKETING SOLUTIONS, S.L. ha manifestado que reciben los ficheros suministrados por JAZZTEL ficheros con los datos de los teléfonos a contactar en las llamadas de telemarketing desconociendo la estructura de dicho fichero así como la periodicidad de dichos envíos. Adicionalmente reciben también de JAZZTEL un fichero con la "LISTA ROBINSON" de las personas a excluir de las campañas de telemarketing. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 SEXTO: Por otra parte, reseñar que en el contrato de fecha 1 de marzo de 2014 entre JAZZTEL (ahora ORANGE) y CROSSELLING OPERADORES 3.9, S.L. se estipula en la cláusula 4 que queda prohibida la subcontratación de los servicios objeto de dicho contrato, “salvo autorización previa y expresa de JAZZTEL que deberá ser formalizada mediante la firma por las tres partes”. SEPTIMO: De acuerdo con los documentos incorporados a otros procedimientos tramitados en esta Agencia son relevantes para las presentes: - Contrato de fecha 1/3/2014 con anexo de modificación de fecha 1/1/2015 firmado entre JAZZTEL TELECOM, SA (actual ORANGE ESPAGNE, S.A.U.) y CROSELLING OPERADORES 3.9, S.L. para la realización de servicios de telemarketing y marketing telefónico. - Contrato de fecha 15/1/2015 firmado entre CROSELLING OPERADORES 3.9, S.L. y GLOBAL TELEMARKETING SOLUTIONS, SL para la subcontratación de los servicios de telemarketing y marketing telefónico con objeto de dar cobertura al servicio contratado por CROSELLING con JAZZTEL. OCTAVO: En el contrato de 01/03/2014 entre JAZZTEL y CROSSELING de Agencia para la distribución de productos particulares, incluye en sus estipulaciones y Anexos: “3. CONDICIONES DE COMERCIALIZACION 3.1 El AGENTE únicamente comercializará los productos en las zonas de comercialización que JAZZTEL le indique y/o respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL… 4. PROHIBICION DE SUBCONTRATACION 4.1 El AGENTE no podrá subcontratar su actividad, salvo autorización previa y expresa de JAZZTEL que deberá ser formalizada mediante la firma por las tres partes (Jazztel, Agente y Subcontratista) del correspondiente Anexo de Subcontratación. En dicho Anexo, se especificarán los servicios objeto de subcontratación, los datos del Subcontratista, así como el resto de premias recogidas en el art. 21 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal (…) 12. PROTECCION DE DATOS DE CARÁCTER PERSONAL 12.1. Las Partes cumplirán en todo momento lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (la LOPD) y demás normativa de desarrollo en materia de protección de datos de carácter personal. 12.2 En particular, y, en la medida en que EL AGENTE tenga acceso a determinados datos de carácter personal de los clientes de JAZZTEL (los Datos), EL AGENTE, a los efectos de lo previsto en el artículo 12 de la LOPD, se compromete a: * Tratar los datos únicamente conforme a las instrucciones de JAZZTEL en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 cada momento. * ..El AGENTE será responsable del uso, en la prestación de los servicios relacionados en el presente contrato, de aquellos datos personales a los que haya tenido acceso a través de otras fuentes distintas a JAZZTEL. * El AGENTE se obliga a excluir del tratamiento los datos relativos a aquellas personas que hayan ejercido ante él o, en su caso, el Cliente Final, el derecho de cancelación, rectificación u oposición, o en su caso hayan revocado el consentimiento otorgado en su día. * El AGENTE permitirá a JAZZTEL realizar auditorías para verificar que la parte auditada está cumpliendo sus obligaciones bajo el presente Contrato en relación con uso de los Datos de los que JAZZTEL sea responsable … * En caso de que EL AGENTE requiera la subcontratación de servicios que puedan incluir el acceso a datos personales de los que JAZZTEL sea responsable, deberá obtener autorización escrita de JAZZTEL en tal sentido. EL AGENTE queda obligado a especificar los servicios que puedan ser objeto de subcontratación y la empresa con la que se va a subcontratar, que el tratamiento de datos por parte del subcontratista se ajuste a las instrucciones de JAZZTEL. Que EL AGENTE y el subcontratista formalicen un contrato que recoja las exigencias comprendidas en el RD 1720/2007 de desarrollo de la Ley de Protección de Datos de Carácter Personal. ANEXO DE PROTOCOLOS EN MATERIA DE ACTUACION EN MATERIA DE PROTECCION DE DATOS Y LLAMADAS COMERCIALES EXPONEN I. Que JAZZTEL y EL AGENTE formalizaron con fecha 1 de Marzo de 2014 un Contrato de Agencia (en adelante el Contrato) II. Que, de conformidad con lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), las Partes regularon en dicho Contrato, el tratamiento de los datos personales facilitados por parte de Jazztel al Agente, para la prestación del servicio objeto de dicho Contrato. ESTIPULACIONES Tercera.- Obligaciones del Agente El Agente, durante el tratamiento de los datos de carácter personal de los que JAZZTEL es responsable, deberá cumplir las siguientes obligaciones: 2. UTILIZACION DE BASES DE DATOS: Jazztel entregará al Agente bases de datos, que podrán utilizarse por el Agente durante el mes en el que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el Agente no podrá utilizar dichas bases de datos, salvo autorización expresa de Jazztel. 9. EXCLUSION DEL ENVIO DE COMUNICACIONES COMERCIALES Los “Ficheros de excusión del envío de comunicaciones comerciales” (en adelante “Lista Robinson”) están regulados en el artículo 48 del RLOPD que establece que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlos y adoptar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 medidas necesarias que eviten el envío de publicidad”. El Agente establecerá los mecanismos necesarios para garantizar que, en ningún momento, se contacte con los interesados que formen parte de la Lista Robinson facilitada por Jazztel en cada momento. En concreto, la gestión y uso de la Lista Robinson de Jazztel se realizará del siguiente modo:
  8. a)Jazztel generará por cada campaña, si así lo considera oportuno, una versión actualizada de su Lista Robinson, en que incorporará únicamente los mínimos para identificar a los interesados y adoptar las medidas necesarias que eviten el envío de publicidad o el contacto con los mismos.
  9. b)Jazztel enviará al Agente la Lista Robinson acompañando a la base de datos de clientes potenciales o de modo independiente. En cualquier caso, el Agente no podrá contactar, de modo alguno con un cliente potencial que figure en la Lista Robinson previamente aportada por Jazztel.
  10. c)El Agente, una vez recibida la Lista Robinson, y en el caso de que vaya a utilizar bases de datos propias para la campaña, sólo en caso de existir previa autorización escrita de Jazztel, deberá necesaria e ineludiblemente cruzar su base de datos con la Lista Robinson aportada por Jazztel.
  11. d)En el caso de que se detectaran coincidencias entre la base de datos propia y la Lista Robinson, se deberán eliminar los registros afectados de la base de datos que el Agente vaya a utilizar en la campaña, de forma que resulte imposible contactar con un cliente potencial que resulte estar incorporado en la Lista Robinson aportada por Jazztel.
  12. e)Una vez finalizada la comparación (base de datos del PROVEEDOR – Lista Robinson de Jazztel) o en todo caso a la finalización de la campaña correspondiente, el PROVEEDOR vendrá obligado a destruir la Lista Robinson aportada por Jazztel… 10. TERCEROS: La información contenida en la base de datos será para uso exclusivo del Agente. Así pues, el Agente no está autorizado para delegar o subcontratar servicios, permitir accesos a la referida información de terceras personas o empresas o consentir cualquier otra actuación que implique el acceso a la base de datos por parte de terceros, sin la previa autorización previa y expresa de Jazztel…>> NOVENO: En fecha 01/01/2015 JAZZTEL y CROSSELING suscribieron el citado Anexo 2015 al Contrato de Agencia (Canal Telemarketing) firmado en fecha 01/03/2014 recogido en el punto anterior, que incluye en su contenido: “El Agente únicamente comercializará los productos respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue, o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL. Dichas bases de datos podrán utilizarse por el AGENTE durante el mes en que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el AGENTE no podrá utilizar dichas bases de datos, salvo autorización expresa de JAZZTEL. De este modo, el Agente no podrá usar base de datos propias, salvo que, de forma previa y por escrito, JAZZTEL autorice dicho uso y realice los filtros necesarios sobre la numeración contenida en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 mismas”. DECIMO: En fecha 15/01/2015 CROSSELING y GLOBAL TELEMARKETING suscribieron un contrato con, entre otro, el siguiente contenido: “Por el presente documento CROSSELING encarga a GLOBAL la subcontratación de servicios de telemarketing/marketing telefónico para dar cobertura al servicio contratado por JAZZ TELECOM, S.A. (en adelante, el CLIENTE) por CROSSELING. Para la debida prestación de estos servicios, el SUB-ENCARGADO DEL TRATAMIENTO tiene que tener necesariamente acceso a datos de terceros facilitados por el CLIENTE. Por esto, y en cumplimiento de lo que establece el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, el Prestador de Servicios, en su condición de sub-encargado de tratamiento, garantiza a CROSSELING y al CLIENTE que únicamente tratará los datos a los que tenga acceso conforme a las instrucciones dadas por éstos, y que se especifican en el anexo a este contrato. En particular, el Prestador de servicios se compromete a lo siguiente: 1) Guardar la más estricta reserva y confidencialitas sobre los datos personales del sistema de información facilitado por el CLIENTE, y a los que acceda con motivo de los servicios prestados a CROSSELING… 2) El Prestador de Servicios no podrá subcontratar con un tercero la realización de ningún tratamiento de los datos de los ficheros facilitados por el CLIENTE sin la autorización expresa de CROSSELING para ello…>> UNDECIMO: Orange en su escrito de alegaciones ha comunicado: <<…ORANGE ha aportado a esa Agencia en diversos procedimientos previos (PS/00270/2016, PS/00271/2016, PS/0027212016 y PS/00273/201 6), una copia del correo electrónico enviado el día 25 de febrero de 2015 (con anterioridad a la realización de la llamada a la denunciante) en el que se proporcionan a todos los distribuidores de JAZZTEL diversas Instrucciones sobre Protección de Datos Personales, entre las que se encuentra la siguiente: FICHERO ROBINSON DE JAZZTEL. JAZZTEL elaborará y remitirá periódicamente al Agente el fichero Robinson de JAZZTEL que incluirá los datos de los usuarios haya manifestado su negativa a recibir publicidad de JAZZTEL así como de aquellos que figuren en ficheros comunes de exclusión del envío de comunicaciones comerciales y en concreto, en la Lista Robinson de ADIGITAL. EL DISTRIBUIDOR establecerá los mecanismos necesarios para garantizar que en ningún momento, se contacte con los usuarios incluidos en dicho fichero Robinson…>> <<…A la vista de la absoluta omisión a dichas pruebas en el Acuerdo de Inicio del presente procedimiento sancionador, se adjunta, como DOCUMENTO 1, un CD con todos los envíos del Fichero Robinson a CROSELLING durante los meses de junio y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 julio de 2016, a CROSELLING y al resto de distribuidores de JAZZTEL (…) En dichos correos electrónicos figuran 3 direcciones de correo electrónico de los representantes de CROSSELLING, que esa Agencia puede constatar con el propio distribuidor: Como pueden constatar, el Fichero Robinson enviado a CROSELLING en esas fechas contenía el número de teléfono de la denunciante ( B.B.B.)…>> DUODECIMO: CROSSELING ha comunicado en las alegaciones al acuerdo de inicio: <<…Aportamos correo de ORANGE que en esas fechas desde ***TLF.1 no se ha realizado llamadas al B.B.B. (…) En relación a vuestra solicitud sobre las llamadas emitidas desde el número ***TLF.2 con destino al B.B.B. durante los meses de Mayo, Junio y Julio 16, comentaros que desde el departamento técnico me indican que no hay llamadas generadas con destino ***TLF.2 al ***TLF.3. Hemos visto que sí hay llamadas desde el ***TLF.2 a otros números. He pedido a mi departamento de legal, que nos pase esta información en un formato más oficial, tan pronto lo tenga os lo haré llegar…>> (el subrayado es de la AEPD). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  13. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  14. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  15. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
  16. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…” Y el artículo 5.1.
  17. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Por otra parte, el artículo 46 del RLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  18. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  19. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  20. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En relación con las llamadas publicitarias de JAZZTEL (ORANGE) recibidas por la denunciante, en los contratos y sus anexos suscritos por JAZZTEL (ORANGE) y dicho distribuidor (CROSSELING) consta que aquella establece los parámetros de la campaña. En concreto, en los contratos se fija que se comercializarán los productos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 las zonas que JAZZTEL (ORANGE) indique y/o respecto a la numeración contenida en las bases de datos que JAZZTEL (ORANGE) les entregue y/o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL (ORANGE). El responsable del tratamiento es JAZZTEL (ORANGE), de conformidad con la definición del art. 3
  21. d)de la LOPD y 5.1.
  22. q)del RDLOPD, y sus distribuidores o agentes, en este caso CROSSELING, se instituirían en encargados del tratamiento, de conformidad con las definiciones recogidas reseñadas. Sin embargo, en el presente caso, CROSSELING actúa, asimismo, como responsable del tratamiento, de conformidad con la definición del artículo 3.
  23. d)de la LOPD y 5.1.
  24. q)y 46.2.
  25. b)del RLOPD, considerando que el contrato suscrito con JAZZTEL (ORANGE) prohíbe a dicha entidad la subcontratación de los servicios, salvo autorización previa y expresa de JAZZTEL, formalizada mediante la firma de las tres partes (JAZZTEL, CROSSELING y el subcontratista) del correspondiente Anexo de Subcontratación. En este caso, no consta acreditado que JAZZTEL (ORANGE) hubiese autorizado de forma previa y expresa la subcontratación formalizada en fecha 15/01/2015 por CROSSELING con GLOBAL TELEMARKETING para que fuera ésta última la que llevara a cabo las acciones de telemarketing, ni tan siquiera que se hubiese informado a JAZZTEL (ORANGE) al respecto, por cuanto el contrato suscrito por CROSSELING con GLOBAL TELEMARKETING para la subcontratación del servicio de telemarketing de JAZZTEL (ORANGE), únicamente está firmado por CROSSELING y GLOBAL TELEMARKETING, sin que se hubiere aportado al procedimiento autorización de JAZZTEL (ORANGE) para la referida subcontratación de servicios efectuada por CROSSELING. Además, según ha quedado expuesto anteriormente, conforme a lo establecido en el citado artículo 5.1.
  26. q)del Reglamento, para que pueda considerarse a CROSSELING como responsable del tratamiento no es necesario que esta entidad haya realizado materialmente el tratamiento de que se trate. El artículo 21.1 del citado Reglamento recoge la prohibición de subcontratar los servicios: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento”. En este sentido, el artículo 20 Relaciones entre el responsable y el encargado del tratamiento del mismo Reglamento, en su apartado 3, párrafo primero, establece lo siguiente: “3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. Por otra parte, en el contrato suscrito en fecha 15/01/2015 por CROSSELING con GLOBAL TELEMARKETING se estipula que esta última llevará a cabo la prestación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 servicios según las instrucciones de CROSSELING y JAZZTEL (ORANGE), según Anexo al contrato. En consecuencia, CROSSELING es responsable del tratamiento realizado de datos personales de la denunciante en el marco de la campaña publicitaria de JAZZTEL (ORANGE), concretado en las citadas llamadas efectuadas en mayo y junio de 2016 a la denunciante por GLOBAL TELEMARKETING (entidad subcontratada por CROSSELING, titular de las líneas desde las que se efectuaron las citadas llamadas). En el presente caso y a pesar de que Vodafone Ono, entidad que presta el servicio de telefonía al número de la denunciante B.B.B. ha certificado, que ha recibido llamadas procedentes de la línea ***TLF.1 en fechas 25/05/2016, 26/05/2016 y 06/06/2016. CROSSELING en su escrito de alegaciones comunica:<<…Aportamos correo de ORANGE que en esas fechas desde ***TLF.1 no se ha realizado llamadas al B.B.B. (…) En relación a vuestra solicitud sobre las llamadas emitidas desde el número ***TLF.2 con destino al B.B.B. durante los meses de Mayo, Junio y Julio 16, comentaros que desde el departamento técnico me indican que no hay llamadas generadas con destino ***TLF.2 al ***TLF.3. Hemos visto que sí hay llamadas desde el ***TLF.2 a otros números. He pedido a mi departamento de legal, que nos pase esta información en un formato más oficial, tan pronto lo tenga os lo haré llegar…>> (el subrayado es de la AEPD). Sin embargo no ha aportado certificado oficial de ORANGE alguno, que contradiga el certificado de Vodafone. Por todo ello dicha alegación no puede ser tomada en cuenta. Por tanto, de acuerdo con el artículo 43 de la LOPD, JAZZTEL (ORANGE) y CROSSELING son responsables del tratamiento y GLOBAL TELEMARKETING encargada del mismo y ostentan una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la LOPD. III La hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (en lo sucesivo LORTAD), delimitaba su ámbito de aplicación en torno al concepto de fichero automatizado (artículo 2), que figuraba definido como “todo conjunto organizado de datos de carácter personal que sean objeto de tratamiento automatizado (...)”. Congruentemente con dicha configuración legal, la LORTAD se limitaba a definir la figura del responsable del fichero (artículo 3.
  27. b)y d)). Por el contrario, la vigente LOPD ha modificado el ámbito de aplicación objetivo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 de la norma circunscribiéndola a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero y diferencia las figuras del responsable del fichero y del responsable del tratamiento (artículo 3.b y d). Asimismo delimita con precisión la figura del encargado del tratamiento (artículo 12). Efectivamente, el artículo 3 de la LOPD establece lo siguiente: “
  28. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
  29. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Esta modificación es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro derecho, conforme a la cual, en el caso de los datos personales susceptibles de tratamiento automatizado, la Ley se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables (art. 12.4). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su Sentencia de 26/01/2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
  30. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  31. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  32. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Dentro de la doctrina expuesta, en el presente caso, ha quedado acreditado el tratamiento de los datos del denunciante para la realización de llamadas promocionales realizadas por GLOBAL TELEMARKETING, entidad subcontratada por CROSSELING, que a su vez recibió el encargo de JAZZTEL (ORANGE). CROSSELING y JAZZTEL (JAZZTEL) se consideran responsables de este específico tratamiento de datos personales del denunciante y GLOBAL TELEMARKETING encargada del tratamiento. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento del titular de los mismos, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Por otra parte, señala el artículo 6.3 de la LOPD dispone que: El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. Y el artículo 16.1 y 3 de la LOPD que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. (…) 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión…”. Por su parte, el artículo 17, en sus aparados 1, 2 y 3, del RLOPD establece lo siguiente: “1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. 2. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre. 3. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmación del cese en el tratamiento de sus datos, éste deberá responder C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 expresamente a la solicitud”. Asimismo, el art. 30 de la LOPD regula “Tratamientos con fines de publicidad y de prospección comercial”: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” A este respecto, hay que considerar igualmente lo establecido en el CAPÍTULO II “Tratamientos para actividades de publicidad y prospección comercial” (artículos 45 y siguientes) del RLOPD: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  33. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  34. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado”. “Artículo 48. Ficheros de exclusión del envío de comunicaciones comerciales. Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad”. “Artículo 49. Ficheros comunes de exclusión del envío de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 comerciales”. “2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial”. “4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”. “Artículo 50. Derechos de acceso, rectificación y cancelación”. “2. Si el derecho se ejercitase ante una entidad que hubiera encargado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo otorgue al afectado su derecho en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado. Lo dispuesto en el párrafo anterior se entenderá sin perjuicio del deber impuesto a la entidad mencionada en el apartado anterior, en todo caso, por el párrafo segundo del artículo 5.5 de la Ley Orgánica 15/1999, de 13 de diciembre”. “Artículo 51. Derecho de oposición. 1. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. La oposición a la que se refiere el párrafo anterior deberá entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos. 2. A tal efecto, deberá concederse al interesado un medio sencillo y gratuito para oponerse al tratamiento. En particular, se considerará cumplido lo dispuesto en este precepto cuando los derechos puedan ejercitarse mediante la llamada a un número telefónico gratuito o la remisión de un correo electrónico”. El tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el artículo 30 de la LOPD, el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público. Además, las normas expuestas obligan a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 tomar en consideración las solicitudes de cancelación de datos personales o de ejercicio del derecho de oposición a la utilización de sus datos con fines promocionales que puedan formular los afectados. Las actuaciones de investigación llevadas a cabo por los servicios de inspección de este organismo y las verificadas en la instrucción del procedimiento han constatado la realización de llamadas a la línea de la denunciante con fines comerciales para la promoción de los productos y servicios de JAZZTEL (ORANGE) llevadas a cabo por GLOBAL TELEMARKETING (en este último caso por encargo de CROSSELING), con las que la misma no mantiene relación alguna y sin que dichas entidades contasen con su consentimiento. Por tanto, en el supuesto examinado, los datos personales de la denunciante fueron utilizados con fines publicitarios por las entidades citadas, sin que éstas contasen con su consentimiento, considerando el derecho de oposición ejercitado por la misma y la inclusión de sus datos en el fichero Listas Robinson. Y tampoco concurre ninguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización del dato personal de la denunciante, relativo al número de línea de telefonía para la realización de llamadas promocionales con posterioridad a la oposición ejercitada. Según consta en los hechos probados, la denunciante solicitó ante la propia JAZZTEL la cancelación de sus datos personales y manifestó su oposición a recibir llamadas publicitarias, y que esta solicitud fue aceptada por dicha entidad. Así las cosas, el titular de los datos observa cómo éstos son tratados en contra de su expreso deseo, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales, por cuanto sus datos personales continuaron tratándose en contra de su expresa voluntad. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas los datos personales del denunciante debieron ser excluidos de las acciones publicitarias realizadas por GLOBAL TELEMARKETING en nombre de JAZZTEL (ORANGE) y por encargo de CROSSELING. Resulta evidente la falta de diligencia en esta forma de actuar, que no conllevó la consecuente exclusión de los datos personales de la denunciante para evitar que puedan ser utilizados en contra de la voluntad expresa de la misma, y que no motivó que en los encargos de las campañas promocionales se adopten todas las cautelas precisas para que queden excluidos de las mismas las personas que se han opuesto a ello ante la propia JAZZTEL (ORANGE) o que figuran en el fichero Listas Robinson. V En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. Por su parte, el artículo 21.1 y 2 del RLOPD establece la “Posibilidad de subcontratación de los servicios” en los siguientes términos: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:
  35. a)Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
  36. b)Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.
  37. c)Que el encargado del tratamiento y la empresa subcontratista formalicen el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento.” A su vez, el artículo 20 del reseñado Reglamento, bajo la rúbrica “Relaciones entre el responsable y el encargado del tratamiento “en su apartado 3, párrafo primero, establece lo siguiente: “3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. No obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo”. Además, según ha quedado expuesto anteriormente, conforme a lo establecido en el citado artículo 5.1.
  38. q)del RLOPD, para que pueda considerarse a CROSSELING como responsable del tratamiento efectuado con los datos de la denunciante en las citadas llamadas no es necesario que esta entidad haya realizado materialmente el tratamiento de los datos personales en cuestión. A la vista de lo dispuesto en los artículos 12.4 de la LOPD y 20.3 del RLOPD, CROSSELING se apartó de las instrucciones del responsable del tratamiento, resultando, por tanto, responsables del tratamiento efectuado con los datos de la denunciante. En el caso de CROSSELING concretado en las llamadas publicitarias a favor de JAZZTEL (ORANGE) efectuadas por GLOBAL TELEMARKETING, al número de la denunciante por encargo de CROSSELING, (titular de las líneas desde las que se efectuaron las citadas llamadas) y conforme al contrato de prestación de servicios (subcontratación) suscrito el 15/01/2015 por CROSSELING con GLOBAL TELEMARKETING, subcontratación que no se ha acreditado fuera autorizada por JAZZTEL (ORANGE), como así se exigía en el contrato de Agencia suscrito entre JAZZTEL (ORANGE) y CROSSELING. Sentado lo anterior, para la prestación del servicio subencargado por CROSSELING a GLOBAL TELEMARKETING, que se recuerda no contaba con autorización previa y expresa de JAZZTEL requerida en el “ Contrato de Agencia para la Distribución de Productos de Particulares”, no se utilizaron únicamente las bases de datos de clientes potenciales facilitadas por JAZZTEL. No consta que GLOBAL TELEMARKETING, previamente a la realización de las llamadas, haya cruzado el dato procedente de su sistema de información propio con el fichero Robinson de JAZZTEL (ORANGE) recibido por CROSSELING, lo que hubiera permitido detectar que el dato de la denunciante estaba incluido en la Lista Robinson de JAZZTEL (ORANGE), acción que de haberse realizado hubieran evitado el tratamiento. A tenor de todo lo anterior, y de acuerdo con el artículo 43.1 de la LOPD, las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 citadas entidades (CROSSELING y GLOBAL TELEMARKETING) ostentan una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma. Consta acreditado que, en nombre de JAZZTEL (ORANGE), GLOBAL TELEMARKETING utilizó los datos personales de la denunciante para la realización de llamadas publicitarias, a pesar de que la misma no era cliente de JAZZTEL (ORANGE) y su baja constaba en los ficheros de esta entidad para que fuera excluido de las campañas promocionales. Por tanto, dichas entidades han de responder por los hechos denunciados. En definitiva, no pude concluirse que, las citadas entidades pusieran todos los medios a su alcance para evitar el tratamiento sin consentimiento de los datos personales de la denunciante. VI En el presente caso, a pesar de haber manifestado de forma reiterada su oposición a la recepción de llamadas publicitarias y de figurar sus datos en el fichero Listas Robinson, ha quedado acreditado el tratamiento de datos de la denunciante por parte de CROSSELING con infracción del art. 6.1 de la LOPD en relación con los artículos 12.4 y 30.4 de la citada norma. Dicha infracción se encuentra tipificada como grave en el art. 44.3.
  39. b)de la LOPD establece que: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” VII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  40. a)El carácter continuado de la infracción.
  41. b)El volumen de los tratamientos efectuados.
  42. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  43. d)El volumen de negocio o actividad del infractor.
  44. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  45. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25
  46. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  47. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  48. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  49. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  50. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  51. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  52. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  53. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  54. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Se considera, de conformidad con el artículo 45.5 LOPD procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  55. a)del citado artículo, que establece que: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
  56. b)y
  57. h)del artículo 45.4 de la LOPD, ello teniendo en cuenta que el volumen de tratamientos afecta a la realización de tres llamadas y no hay constancia de que la comisión de la infracción haya generado perjuicios a la denunciante o terceras personas distintos de los que se derivan de la comisión de la propia infracción. Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave pero sancionarse conforme a las multas establecidas para las infracciones leves. Así se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios del artículo 45.4 de la LOPD, entendiendo que operan como circunstancias agravantes: la estrecha vinculación de CROSSELING con la realización de tratamientos de datos de carácter personal con fines de publicidad, lo que lleva a exigir a dicha empresa un escrupuloso conocimiento de la LOPD y su Reglamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 desarrollo a fin de dar cumplimiento a los principios y garantías de los titulares de los datos recogidas en dicha normativa (criterio c); la actividad desarrollada por CROSSELING directamente relacionada con la comercialización y venta de servicios de telecomunicaciones (criterio d); la reincidencia en su conducta, ya que con fechas 20/01/2017 y 01/03/2017 se resolvieron por esta Agencia los procedimientos sancionadores números PS/00334/2016 y PS/00577/2016 sancionando a CROSSLEING por la comisión de infracciones de la misma naturaleza(criterio g). Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CROSSELING OPERADORES 3.9 SL, por una infracción del artículo 6.1 de la LOPD en relación con lo previsto en los artículos 12.4 y 30.4 de la misma norma, tipificada como grave en el artículo 44.3.
  58. b)de la LOPD, una multa de 30.000 € (treinta mil euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a CROSSELING OPERADORES 3.9 SL. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  59. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.