PS-00222-2017

1/16 Procedimiento Nº PS/00222/2017 RESOLUCIÓN: R/02953/2017 En el procedimiento sancionador PS/00222/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7/06/2016 tiene entrada en esta Agencia Reclamación de Tutela de Dña. A.A.A. (en lo sucesivo la denunciante) contra ORANGE ESPAGNE, S.A.U. (anteriormente JAZZ TELECOM, S.A.U.), (en lo sucesivo el denunciado) por denegación del derecho de Oposición, que fue resuelta por Resolución R/02843/2016 en la que se recoge: <<…Que la reclamante ejercitó el derecho de oposición al denunciado en dos ocasiones: el día 11 de agosto de 2015, mediante correo electrónico, y el día 10 de febrero de 2016, mediante correo certificado. Que tras la recepción de dichas solicitudes, atendió el derecho de oposición: - El día 18 de agosto de 2015, enviando a la reclamante contestación en la que se confirmaba que su solicitud había sido atendida. Alega que desde dicha fecha los datos de la interesada constan excluidos del tratamiento con fines comerciales en sus sistemas. - El día 10 de febrero de 2016, mediante correo certificado. Informando a la interesada de que se había atendido su derecho de oposición. A pesar de lo anterior la denunciada ha continuado recibiendo numerosas llamadas publicitarias del denunciado (…) En el caso que nos ocupa, de la documentación aportada por la reclamante se pudiera desprender que ORANGE no haya hecho efectivo el derecho de oposición recibido y ha seguido tratando los datos de la reclamante, por lo que se procede a la apertura de un expediente de investigación E/05531/2016, con objeto de que se determine si de los hechos que aquí se ponen de manifiesto se desprende la existencia de infracciones a la legislación en materia de protección de datos…>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a diversas entidades teniendo conocimiento de que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16

1. a)Vodafone Ono, entidad que presta el servicio de telefonía al número de la denunciante B.B.B. ha certificado, que ha recibido llamadas procedentes de la línea ***TLF.1 en fechas 25/05/2016, 26/05/2016 y 06/06/2016.
2. b)El denunciado manifiesta que la línea B.B.B. correspondiente a la reclamante se encuentra incluida en la lista Robinson desde el 01/09/2015 por lo que no ha sido incluido en ninguna campaña comercial. La línea ***TLF.1 a fecha 06/06/2016 se encuentra registrada a nombre del Global Telemarketing Solutions S.L. con ***CIF.1.
3. c)De acuerdo con la documentación incorporada al presente procedimiento y obrante en el expediente E/0104/2016, La entidad CROSSELING OPERADORES 3.9, S.L. y GLOBAL TELEMARKETING SOLUTIONS, S.L. tienen un contrato de subcontratación de los servicios de telemarketing y marketing telefónico para dar cobertura al servicio contratado por ésta última con JAZZTEL. El domicilio que a GLOBAL TELEMARKETING SOLUTIONS, S.L. le consta de CROSSELING OPERADORES 3.9, S.L. es en la ***DIRECCIÓN.1, no constándole ningún otro domicilio. El domicilio a efectos de notificaciones a GLOBAL TELEMARKETING SOLUTIONS, S.L. es la ***DIRECCIÓN.2 (domicilio de IBERIA LEGAL). Para el desarrollo de la actividad relativa al contrato suscrito entre GLOBAL TELEMARKETING SOLUTIONS, S.L. y CROSSELING OPERADORES 3.9, S.L., GLOBAL TELEMARKETING SOLUTIONS, S.L. ha manifestado que reciben los ficheros suministrados por JAZZTEL ficheros con los datos de los teléfonos a contactar en las llamadas de telemarketing desconociendo la estructura de dicho fichero así como la periodicidad de dichos envíos. Adicionalmente reciben también de JAZZTEL un fichero con la "LISTA ROBINSON" de las personas a excluir de las campañas de telemarketing. Por otra parte, reseñar que en el contrato de fecha 1 de marzo de 2014 entre JAZZTEL (ahora ORANGE) y CROSSELLING OPERADORES 3.9, S.L. se estipula en la cláusula 4 que queda prohibida la subcontratación de los servicios objeto de dicho contrato, “salvo autorización previa y expresa de JAZZTEL que deberá ser formalizada mediante la firma por las tres partes”. TERCERO: Con fecha 16 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE, S.A.U., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), en su relación con lo previsto en el artículo 30.4 de la misma norma, tipificada como grave en el artículo 44.3.
4. b)de dicha norma, pudiendo ser sancionada con multa de 30.000 euros, de acuerdo con el artículo 45 apartados 2 y 5 de dicha Ley Orgánica y a los efectos previstos en el art. 64.2
5. b)de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas y art. 127 letra
6. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 CUARTO: Notificado el acuerdo de inicio, ORANGE ESPAGNE, S.A.U. formuló alegaciones, significando que: Tras la solicitud de oposición de la interesada realizada el día 11 de agosto de 2015, los datos de éste constan excluidos del tratamiento con fines comerciales en los sistemas de JAZZTEL desde el día 18 de agosto de 2015. Se muestra a continuación una copia del Sistema de Gestión de Robinson de JAZZTEL en el que constan el número de teléfono ( B.B.B.) y los datos de la interesada marcados desde el día 18 de agosto de 2015 para su exclusión con fines comerciales: (…) ORANGE (antes JAZZTEL) únicamente tiene relación contractual de distribución comercial con CROSELLING OPERADORES 3.9., S.L. En las alegaciones realizadas por CROSELLING OPERADORES 3.9., S.L. y GLOBAL TELEMARKETING SOLUTIONS, S.L. en este y otros procedimientos sancionadores (PS/270/2016, PS/272/2016, PS/273/2016), aportan un Contrato de Subcontratación de Servicios de Telemarketíng suscrito entre ambas entidades el día 15/01/2015. Esta supuesta subcontratación de servicios se realizó sin el conocimiento ni el consentimiento de ORANGE. El Anexo 2015 al Contrato de Agencia (CANAL TELEMARKETING) suscrito el día 1 de enero de 2015 entre JAZZTEL y CROSELLING, que ha sido aportado por mi representada a esa Agencia en diversos procedimientos (PS/00270/2016, PS/00271/2016, PS/00272/2016 y PS/00273/201 6), establece en su Cláusula II lo siguiente: EL AGENTE únicamente comercializará los productos respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL. Dichas bases de datos podrán utilizarse por el AGENTE durante el mes en el que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el AGENTE no podrá utilizar dichas bases de datos, salvo autorización expresa de JAZZTEL (…) La totalidad de las bases de datos remitidas a CROSELLING entre los meses de abril y julio de 2016 ya han sido aportadas por mi representada a esa Agencia en el marco del expediente de actuaciones previas E/03848/2016. Tras atender excluir los datos de la interesada el día 18 de agosto de 2015, JAZZTEL (actualmente ORANGE) procedió a excluir de sus bases de datos el número de teléfono de la denunciante ( B.B.B.). Como consecuencia de dicha exclusión, las bases de datos entregadas por JAZZTEL a CROSELLING durante los meses de abril y julio de 2016, previos a la realización de las llamadas a la denunciante, no contenían el número de teléfono de éste ( B.B.B.) (…) Además del contrato y anexos firmados entre JAZZTEL y sus distribuidores, entre ellos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 CROSELLING, JAZZTEL remite periódicamente a todos sus distribuidores instrucciones precisas en materia de protección de datos personales, para garantizar el cumplimiento de la normativa aplicable y de las obligaciones asumidas por sus encargados del tratamiento. ORANGE ha aportado a esa Agencia en diversos procedimientos previos (PS/00270/2016, PS/00271/2016, PS/0027212016 y PS/00273/201 6), una copia del correo electrónico enviado el día 25 de febrero de 2015 (con anterioridad a la realización de la llamada a la denunciante) en el que se proporcionan a todos los distribuidores de JAZZTEL diversas Instrucciones sobre Protección de Datos Personales, entre las que se encuentra la siguiente: FICHERO ROBINSON DE JAZZTEL. JAZZTEL elaborará y remitirá periódicamente al Agente el fichero Robinson de JAZZTEL que incluirá los datos de los usuarios haya manifestado su negativa a recibir publicidad de JAZZTEL así como de aquellos que figuren en ficheros comunes de exclusión del envío de comunicaciones comerciales y en concreto, en la Lista Robinson de ADIGITAL. EL DISTRIBUIDOR establecerá los mecanismos necesarios para garantizar que en ningún momento, se contacte con los usuarios incluidos en dicho fichero Robinson (…) En dichos correos electrónicos figuran 3 direcciones de correo electrónico de los representantes de CROSSELLING, que esa Agencia puede constatar con el propio distribuidor: A la vista de la absoluta omisión a dichas pruebas en el Acuerdo de Inicio del presente procedimiento sancionador, se adjunta, como DOCUMENTO 1, un CD con todos los envíos del Fichero Robinson a CROSELLING durante los meses de junio y julio de 2016, a CROSELLING y al resto de distribuidores de JAZZTEL (…) Como pueden constatar, el Fichero Robinson enviado a CROSELLING en esas fechas contenía el número de teléfono de la denunciante ( B.B.B.) (…) El único responsable es CROSELLING puesto que actuó por su cuenta y riesgo y al margen de las instrucciones de JAZZTEL que aplicó toda la diligencia debida y no decidió realizar las llamadas a la denunciante, ni incluyó el teléfono de éste entre el colectivo de personas a las que CROSELLING debía realizar llamadas, puesto que dicho teléfono no figuraba en las bases de datos proporcionadas por JAZZTEL a CROSELLING y sí figuraban en el Fichero Robinson enviado a este distribuidor…>> QUINTO: Con fecha 29/06/2017 se inició el período de práctica de pruebas, en el que se acordó, entre otras: Solicitar a petición de Orange a Crosselling Operadores 3.9, S.L.: “…que confirme la recepción de cualesquiera de los correos electrónicos enviados por JAZZTEL los días 3, 4, 5, 6, 9, 11, 12, 13, 17, 18, 19, 20, 23, 24, 25, 26, 27, 30 y 31 de mayo de 2016 y 1, 2, 3, 6, 7, 8. 9, 10, 13, 14, 15, 16, 17, 20, 21, 22, 23 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 y 24 de junio 2O16, con los Ficheros Robinson, mediante los correspondientes requerimientos a las siguientes direcciones: - Por correo postal: CROSSELING OPERADORES 39 S.L. ***DIRECCIÓN.3 - Por correo electrónico ***EMAIL.1; ***EMAIL.2; ***EMAIL.3; ***EMAIL.4; ***EMAIL.5;...” Sin embargo la citada entidad, recibida en fecha 17/08/2017 la citada solicitud, no ha remitido escrito de contestación alguno. SEXTO: Con fecha 6/09/2017 se inició el trámite de audiencia. SÉPTIMO: Con fecha 10 de octubre de 2017 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 30.000 € (treinta mil euros) a ORANGE ESPAGNE, S.A.U., por la comisión de una infracción del artículo 6.1 de la LOPD, en relación con lo previsto en el art. 30.4 de la misma norma, tipificada como grave en el artículo 44.3.
7. b)de dicha norma. OCTAVO: Con fecha de entrada en esta Agencia 20/10/2017 ORANGE ESPAGNE, S.A.U. realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…De este modo, ha quedado probado el envío por parte de ORANGE a CROSSELING OPERADORES 3.9., S.L. de los Ficheros Robinson en los que se incluía el número del denunciante, con anterioridad a la realización de las llamadas comerciales por CROSSELING el día 15/09/2016. Únicamente faltaría por acreditar, tal y como exige esa Agencia en su amplia y reciente doctrina, la recepción por parte de CROSSELING de los referidos correos electrónicos. Pues bien, se adjunta al presente escrito el siguiente documento probatorio: - DOCUMENTO 1: Certificado emitido el día 11 de octubre de 2017 por representante legal de CROSSELING OPERADORES 3.9., S.L en el que reconoce la recepción de los envíos con el Fichero Robinson de JAZZTEL en las fechas antes señaladas (3, 4, 5, 6, 9, 10, 11, 12, 13, 17, 18, 19, 20, 23, 24, 25, 26, 27, 30 y 31 de mayo de 2016 y 1, 2, 3, 6, 7, 8, 9, 10, 13, 14, 15, 16, 17, 20, 21, 22, 23 y 24 de junio de 2016), en el que figuraba el número del denunciante ( B.B.B.). Por todo lo anterior, ha quedado acreditado el envío por parte de JAZZTEL (ORANGE) a CROSSELING OPERADORES 3.9., S.L del Fichero Robinson con el número de teléfono del denunciante ( B.B.B.), con anterioridad a las fechas de realización de las llamadas comerciales a éste, así como la recepción por parte de CROSSELING C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 OPERADORES 3,9., SL. del dicho Fichero Robinson. Al igual que ha determinado esa Agencia en las recientes Resoluciones a los Procedimientos Sancionadores PS/00334/2016, PS/00357/2016, PS/00118/2017 y PS/00174/2017, procede igualmente el ARCHIVO DE ACTUACIONES contra mi representada en el presente sancionador. En concreto, cabe destacar la reciente RESOLUCIÓN al RECURSO DE REPOSICIÓN RR/00586/2017 dictada por la Directora de esa Agencia el día 3 de agosto de 2017, ante unos hechos idénticos a los del presente procedimiento sancionador. En dicha Resolución, la Directora de esa Agencia estimó el Recurso de Reposición interpuesto por mi representada al haber aportado ésta las comunicaciones del fichero Robinson enviadas a su distribuidor así como un certificado emitido por éste en el que reconocía expresamente la recepción de las mismas. Ante unos hechos idénticos, rogamos a la Directora de esa Agencia que proceda a aplicar su reciente doctrina preservando así el principio de seguridad jurídica que rige nuestro ordenamiento jurídico…>> HECHOS PROBADOS PRIMERO: Con fecha 7/06/2016 tiene entrada en esta Agencia Reclamación de Tutela de la denunciante contra ORANGE por denegación del derecho de Oposición, que fue resuelta por Resolución R/02843/2016 en la que se recoge: <<…Que la reclamante ejercitó el derecho de oposición al denunciado en dos ocasiones: el día 11 de agosto de 2015, mediante correo electrónico, y el día 10 de febrero de 2016, mediante correo certificado. Que tras la recepción de dichas solicitudes, atendió el derecho de oposición: - El día 18 de agosto de 2015, enviando a la reclamante contestación en la que se confirmaba que su solicitud había sido atendida. Alega que desde dicha fecha los datos de la interesada constan excluidos del tratamiento con fines comerciales en sus sistemas. - El día 10 de febrero de 2016, mediante correo certificado. Informando a la interesada de que se había atendido su derecho de oposición. A pesar de lo anterior la denunciada ha continuado recibiendo numerosas llamadas publicitarias del denunciado (…) En el caso que nos ocupa, de la documentación aportada por la reclamante se pudiera desprender que ORANGE no haya hecho efectivo el derecho de oposición recibido y ha seguido tratando los datos de la reclamante, por lo que se procede a la apertura de un expediente de investigación E/05531/2016, con objeto de que se determine si de los hechos que aquí se ponen de manifiesto se desprende la existencia de infracciones a la legislación en materia de protección de datos…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 SEGUNDO: Vodafone Ono, entidad que presta el servicio de telefonía al número de la denunciante B.B.B. ha certificado, que ha recibido llamadas procedentes de la línea ***TLF.1 en fechas 25/05/2016, 26/05/2016 y 06/06/2016. TERCERO: ORANGE manifiesta que la línea B.B.B. correspondiente a la reclamante se encuentra incluida en la lista Robinson desde el 01/09/2015 por lo que no ha sido incluido en ninguna campaña comercial. CUARTO: La línea ***TLF.1 a fecha 06/06/2016 se encuentra registrada a nombre del Global Telemarketing Solutions S.L. con ***CIF.1. QUINTO: De acuerdo con la documentación incorporada al presente procedimiento y obrante en el expediente E/0104/2016, La entidad CROSSELING OPERADORES 3.9, S.L. y GLOBAL TELEMARKETING SOLUTIONS, S.L. tienen un contrato de subcontratación de los servicios de telemarketing y marketing telefónico para dar cobertura al servicio contratado por ésta última con JAZZTEL. El domicilio que a GLOBAL TELEMARKETING SOLUTIONS, S.L. le consta de CROSSELING OPERADORES 3.9, S.L. es en la ***DIRECCIÓN.1, no constándole ningún otro domicilio. El domicilio a efectos de notificaciones a GLOBAL TELEMARKETING SOLUTIONS, S.L. es la ***DIRECCIÓN.2 (domicilio de IBERIA LEGAL). Para el desarrollo de la actividad relativa al contrato suscrito entre GLOBAL TELEMARKETING SOLUTIONS, S.L. y CROSSELING OPERADORES 3.9, S.L., GLOBAL TELEMARKETING SOLUTIONS, S.L. ha manifestado que reciben los ficheros suministrados por JAZZTEL ficheros con los datos de los teléfonos a contactar en las llamadas de telemarketing desconociendo la estructura de dicho fichero así como la periodicidad de dichos envíos. Adicionalmente reciben también de JAZZTEL un fichero con la "LISTA ROBINSON" de las personas a excluir de las campañas de telemarketing. SEXTO: Por otra parte, reseñar que en el contrato de fecha 1 de marzo de 2014 entre JAZZTEL (ahora ORANGE) y CROSSELLING OPERADORES 3.9, S.L. se estipula en la cláusula 4 que queda prohibida la subcontratación de los servicios objeto de dicho contrato, “salvo autorización previa y expresa de JAZZTEL que deberá ser formalizada mediante la firma por las tres partes”. SEPTIMO: De acuerdo con los documentos incorporados a otros procedimientos tramitados en esta Agencia son relevantes para las presentes: - Contrato de fecha 1/3/2014 con anexo de modificación de fecha 1/1/2015 firmado entre JAZZTEL TELECOM, SA (actual ORANGE ESPAGNE, S.A.U.) y CROSELLING OPERADORES 3.9, S.L. para la realización de servicios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 telemarketing y marketing telefónico. - Contrato de fecha 15/1/2015 firmado entre CROSELLING OPERADORES 3.9, S.L. y GLOBAL TELEMARKETING SOLUTIONS, SL para la subcontratación de los servicios de telemarketing y marketing telefónico con objeto de dar cobertura al servicio contratado por CROSELLING con JAZZTEL. OCTAVO: En el contrato de 01/03/2014 entre JAZZTEL y CROSSELING de Agencia para la distribución de productos particulares, incluye en sus estipulaciones y Anexos: “3. CONDICIONES DE COMERCIALIZACION 3.1 El AGENTE únicamente comercializará los productos en las zonas de comercialización que JAZZTEL le indique y/o respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL… 4. PROHIBICION DE SUBCONTRATACION 4.1 El AGENTE no podrá subcontratar su actividad, salvo autorización previa y expresa de JAZZTEL que deberá ser formalizada mediante la firma por las tres partes (Jazztel, Agente y Subcontratista) del correspondiente Anexo de Subcontratación. En dicho Anexo, se especificarán los servicios objeto de subcontratación, los datos del Subcontratista, así como el resto de premias recogidas en el art. 21 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal (…) 12. PROTECCION DE DATOS DE CARÁCTER PERSONAL 12.1. Las Partes cumplirán en todo momento lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (la LOPD) y demás normativa de desarrollo en materia de protección de datos de carácter personal. 12.2 En particular, y, en la medida en que EL AGENTE tenga acceso a determinados datos de carácter personal de los clientes de JAZZTEL (los Datos), EL AGENTE, a los efectos de lo previsto en el artículo 12 de la LOPD, se compromete a: * Tratar los datos únicamente conforme a las instrucciones de JAZZTEL en cada momento. * ..El AGENTE será responsable del uso, en la prestación de los servicios relacionados en el presente contrato, de aquellos datos personales a los que haya tenido acceso a través de otras fuentes distintas a JAZZTEL. * El AGENTE se obliga a excluir del tratamiento los datos relativos a aquellas personas que hayan ejercido ante él o, en su caso, el Cliente Final, el derecho de cancelación, rectificación u oposición, o en su caso hayan revocado el consentimiento otorgado en su día. * El AGENTE permitirá a JAZZTEL realizar auditorías para verificar que la parte auditada está cumpliendo sus obligaciones bajo el presente Contrato en relación con uso de los Datos de los que JAZZTEL sea responsable … C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 * En caso de que EL AGENTE requiera la subcontratación de servicios que puedan incluir el acceso a datos personales de los que JAZZTEL sea responsable, deberá obtener autorización escrita de JAZZTEL en tal sentido. EL AGENTE queda obligado a especificar los servicios que puedan ser objeto de subcontratación y la empresa con la que se va a subcontratar, que el tratamiento de datos por parte del subcontratista se ajuste a las instrucciones de JAZZTEL. Que EL AGENTE y el subcontratista formalicen un contrato que recoja las exigencias comprendidas en el RD 1720/2007 de desarrollo de la Ley de Protección de Datos de Carácter Personal. ANEXO DE PROTOCOLOS EN MATERIA DE ACTUACION EN MATERIA DE PROTECCION DE DATOS Y LLAMADAS COMERCIALES EXPONEN I. Que JAZZTEL y EL AGENTE formalizaron con fecha 1 de Marzo de 2014 un Contrato de Agencia (en adelante el Contrato) II. Que, de conformidad con lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), las Partes regularon en dicho Contrato, el tratamiento de los datos personales facilitados por parte de Jazztel al Agente, para la prestación del servicio objeto de dicho Contrato. ESTIPULACIONES Tercera.- Obligaciones del Agente El Agente, durante el tratamiento de los datos de carácter personal de los que JAZZTEL es responsable, deberá cumplir las siguientes obligaciones: 2. UTILIZACION DE BASES DE DATOS: Jazztel entregará al Agente bases de datos, que podrán utilizarse por el Agente durante el mes en el que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el Agente no podrá utilizar dichas bases de datos, salvo autorización expresa de Jazztel. 9. EXCLUSION DEL ENVIO DE COMUNICACIONES COMERCIALES Los “Ficheros de excusión del envío de comunicaciones comerciales” (en adelante “Lista Robinson”) están regulados en el artículo 48 del RLOPD que establece que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlos y adoptar las medidas necesarias que eviten el envío de publicidad”. El Agente establecerá los mecanismos necesarios para garantizar que, en ningún momento, se contacte con los interesados que formen parte de la Lista Robinson facilitada por Jazztel en cada momento. En concreto, la gestión y uso de la Lista Robinson de Jazztel se realizará del siguiente modo:
8. a)Jazztel generará por cada campaña, si así lo considera oportuno, una versión actualizada de su Lista Robinson, en que incorporará únicamente los mínimos para identificar a los interesados y adoptar las medidas necesarias que eviten el envío de publicidad o el contacto con los mismos.
9. b)Jazztel enviará al Agente la Lista Robinson acompañando a la base de datos de clientes potenciales o de modo independiente. En cualquier caso, el Agente no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 podrá contactar, de modo alguno con un cliente potencial que figure en la Lista Robinson previamente aportada por Jazztel.
10. c)El Agente, una vez recibida la Lista Robinson, y en el caso de que vaya a utilizar bases de datos propias para la campaña, sólo en caso de existir previa autorización escrita de Jazztel, deberá necesaria e ineludiblemente cruzar su base de datos con la Lista Robinson aportada por Jazztel.
11. d)En el caso de que se detectaran coincidencias entre la base de datos propia y la Lista Robinson, se deberán eliminar los registros afectados de la base de datos que el Agente vaya a utilizar en la campaña, de forma que resulte imposible contactar con un cliente potencial que resulte estar incorporado en la Lista Robinson aportada por Jazztel.
12. e)Una vez finalizada la comparación (base de datos del PROVEEDOR – Lista Robinson de Jazztel) o en todo caso a la finalización de la campaña correspondiente, el PROVEEDOR vendrá obligado a destruir la Lista Robinson aportada por Jazztel… 10. TERCEROS: La información contenida en la base de datos será para uso exclusivo del Agente. Así pues, el Agente no está autorizado para delegar o subcontratar servicios, permitir accesos a la referida información de terceras personas o empresas o consentir cualquier otra actuación que implique el acceso a la base de datos por parte de terceros, sin la previa autorización previa y expresa de Jazztel…>> NOVENO: En fecha 01/01/2015 JAZZTEL y CROSSELING suscribieron el citado Anexo 2015 al Contrato de Agencia (Canal Telemarketing) firmado en fecha 01/03/2014 recogido en el punto anterior, que incluye en su contenido: “El Agente únicamente comercializará los productos respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue, o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL. Dichas bases de datos podrán utilizarse por el AGENTE durante el mes en que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el AGENTE no podrá utilizar dichas bases de datos, salvo autorización expresa de JAZZTEL. De este modo, el Agente no podrá usar base de datos propias, salvo que, de forma previa y por escrito, JAZZTEL autorice dicho uso y realice los filtros necesarios sobre la numeración contenida en las mismas”. DECIMO: En fecha 15/01/2015 CROSSELING y GLOBAL TELEMARKETING suscribieron un contrato con, entre otro, el siguiente contenido: “Por el presente documento CROSSELING encarga a GLOBAL la subcontratación de servicios de telemarketing/marketing telefónico para dar cobertura al servicio contratado por JAZZ TELECOM, S.A. (en adelante, el CLIENTE) por CROSSELING. Para la debida prestación de estos servicios, el SUB-ENCARGADO DEL TRATAMIENTO tiene que tener necesariamente acceso a datos de terceros facilitados por el CLIENTE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Por esto, y en cumplimiento de lo que establece el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, el Prestador de Servicios, en su condición de sub-encargado de tratamiento, garantiza a CROSSELING y al CLIENTE que únicamente tratará los datos a los que tenga acceso conforme a las instrucciones dadas por éstos, y que se especifican en el anexo a este contrato. En particular, el Prestador de servicios se compromete a lo siguiente: 1) Guardar la más estricta reserva y confidencialitas sobre los datos personales del sistema de información facilitado por el CLIENTE, y a los que acceda con motivo de los servicios prestados a CROSSELING… 2) El Prestador de Servicios no podrá subcontratar con un tercero la realización de ningún tratamiento de los datos de los ficheros facilitados por el CLIENTE sin la autorización expresa de CROSSELING para ello…>> UNDECIMO: Orange en su escrito de alegaciones ha comunicado: <<…ORANGE ha aportado a esa Agencia en diversos procedimientos previos (PS/00270/2016, PS/00271/2016, PS/0027212016 y PS/00273/201 6), una copia del correo electrónico enviado el día 25 de febrero de 2015 (con anterioridad a la realización de la llamada a la denunciante) en el que se proporcionan a todos los distribuidores de JAZZTEL diversas Instrucciones sobre Protección de Datos Personales, entre las que se encuentra la siguiente: FICHERO ROBINSON DE JAZZTEL. JAZZTEL elaborará y remitirá periódicamente al Agente el fichero Robinson de JAZZTEL que incluirá los datos de los usuarios haya manifestado su negativa a recibir publicidad de JAZZTEL así como de aquellos que figuren en ficheros comunes de exclusión del envío de comunicaciones comerciales y en concreto, en la Lista Robinson de ADIGITAL. EL DISTRIBUIDOR establecerá los mecanismos necesarios para garantizar que en ningún momento, se contacte con los usuarios incluidos en dicho fichero Robinson…>> <<…A la vista de la absoluta omisión a dichas pruebas en el Acuerdo de Inicio del presente procedimiento sancionador, se adjunta, como DOCUMENTO 1, un CD con todos los envíos del Fichero Robinson a CROSELLING durante los meses de junio y julio de 2016, a CROSELLING y al resto de distribuidores de JAZZTEL (…) En dichos correos electrónicos figuran 3 direcciones de correo electrónico de los representantes de CROSSELLING, que esa Agencia puede constatar con el propio distribuidor: Como pueden constatar, el Fichero Robinson enviado a CROSELLING en esas fechas contenía el número de teléfono de la denunciante ( B.B.B.)…>> DECIMOSEGUNDO: CROSSELING ha comunicado en las alegaciones al acuerdo de inicio: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 <<…Aportamos correo de ORANGE que en esas fechas desde ***TLF.1 no se ha realizado llamadas al B.B.B. (…) En relación a vuestra solicitud sobre las llamadas emitidas desde el número ***TLF.1 con destino al B.B.B. durante los meses de Mayo, Junio y Julio 16, comentaros que desde el departamento técnico me indican que no hay llamadas generadas con destino ***TLF.1 al ***TLF.2. Hemos visto que sí hay llamadas desde el ***TLF.1 a otros números. He pedido a mi departamento de legal, que nos pase esta información en un formato más oficial, tan pronto lo tenga os lo haré llegar…>> (el subrayado es de la AEPD). DECIMOTERCERO: ORANGE ha comunicado y acreditado en las alegaciones a la propuesta de resolución: <<…Pues bien, se adjunta al presente escrito el siguiente documento probatorio: - DOCUMENTO 1: Certificado emitido el día 11 de octubre de 2017 por representante legal de CROSSELING OPERADORES 3.9., S.L en el que reconoce la recepción de los envíos con el Fichero Robinson de JAZZTEL en las fechas antes señaladas (3, 4, 5, 6, 9, 10, 11, 12, 13, 17, 18, 19, 20, 23, 24, 25, 26, 27, 30 y 31 de mayo de 2016 y 1, 2, 3, 6, 7, 8, 9, 10, 13, 14, 15, 16, 17, 20, 21, 22, 23 y 24 de junio de 2016), en el que figuraba el número del denunciante ( B.B.B.)…>> FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
13. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
14. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
15. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
16. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…” Y el artículo 5.1.
17. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
18. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
19. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
20. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En general, el responsable del tratamiento es JAZZTEL (ORANGE), de conformidad con la definición del art. 3
21. d)de la LOPD y 5.1.
22. q)del RDLOPD, y sus distribuidores o agentes, en este caso CROSSELING, se instituirían en encargados del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 tratamiento, de conformidad con las definiciones recogidas reseñadas. Sin embargo, en el presente caso, CROSSELING actúa, asimismo, como responsable del tratamiento, de conformidad con la definición del artículo 3.
23. d)de la LOPD y 5.1.
24. q)y 46.2.
25. b)del RDLOPD, considerando que el contrato suscrito en fecha 01/03/2014 con JAZZTEL (ORANGE) prohíbe a dicha entidad la subcontratación de los servicios, salvo autorización previa y expresa de JAZZTEL, formalizada mediante la firma de las tres partes (JAZZTEL, CROSSELING y el subcontratista) del correspondiente Anexo de Subcontratación. En este caso, no consta acreditado que JAZZTEL (ORANGE) hubiese autorizado de forma previa y expresa la subcontratación formalizada en fecha 15/01/2015 por CROSSELING con GLOBAL TELEMARKETING para que fuera ésta última la que llevara a cabo las acciones de telemarketing, ni tan siquiera que se hubiese informado a JAZZTEL (ORANGE) al respecto, por cuanto el contrato suscrito por CROSSELING con GLOBAL TELEMARKETING para la subcontratación del servicio de telemarketing de JAZZTEL (ORANGE), únicamente está firmado por CROSSELING y GLOBAL TELEMARKETING, sin que se hubiere aportado al procedimiento autorización de JAZZTEL (ORANGE) para la referida subcontratación de servicios efectuada por CROSSELING. Además, según ha quedado expuesto anteriormente, conforme a lo establecido en el citado artículo 5.1.
26. q)del Reglamento, para que pueda considerarse a CROSSELING como responsable del tratamiento no es necesario que esta entidad haya realizado materialmente el tratamiento de que se trate. El artículo 21.1 del citado Reglamento recoge la prohibición de subcontratar los servicios: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento”. En este sentido, el artículo 20 Relaciones entre el responsable y el encargado del tratamiento del mismo Reglamento, en su apartado 3, párrafo primero, establece lo siguiente: “3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. Por otra parte, en el contrato suscrito en fecha 15/01/2015 por CROSSELING con GLOBAL TELEMARKETING se estipula que esta última llevará a cabo la prestación de servicios según las instrucciones de CROSSELING y JAZZTEL (ORANGE), según Anexo al contrato. En el presente caso, conforme a las normas expuestas y las reseñadas en los Fundamentos de Derecho siguientes, la entidad JAZZTEL (ORANGE) interviene como responsable del tratamiento de los datos personales de la denunciante realizado en el marco de las campañas encargadas por dicha entidad, pues el tratamiento acontecido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 se enmarca en actividades de prospección comercial cuya beneficiaria es la propia JAZZTEL (ORANGE), que además conocía el derecho de oposición ejercitado por la denunciante en relación con la utilización de sus datos con esta finalidad específica. Aunque no lo realice materialmente, con el encargo de las campañas promocionales a CROSSELING, JAZZTEL (ORANGE) decide la finalidad, el contenido y uso del tratamiento. Por otra parte, en relación con el derecho ejercitado por la denunciante, JAZZTEL (ORANGE) ha remitido frente a la propuesta de resolución prueba suficiente para acreditar que comunicó al mismo, en reiteradas ocasiones y antes de la realización de las llamadas objeto de la denuncia, el fichero Robinson que incluía el teléfono de la denunciante para su exclusión en campañas comerciales, lo que no hizo GLOBAL contraviniendo las instrucciones de ORANGE. En concreto, JAZZTEL (ORANGE) ha facilitado con su escrito de alegaciones a la propuesta de resolución certificado de 11/10/2017 de la entidad CROSSELING OPERADORES 3.9, S.L., sobre todas las comunicaciones del fichero Robinson realizadas en mayo y junio de 2016, en el citado certificado el distribuidor CROSSELING, ha reconocido la recepción de dichos envíos, indicando expresamente que en dicho fichero figuraba el número de teléfono de la denunciante. De este modo, en el presente supuesto, no cabe imputar responsabilidad a ORANGE, a título de culpa, en el tratamiento inconsentido de los datos personales de la denunciante realizado por CROSSELING y por GLOBAL TELEMARKETING, empresa a la que dicho distribuidor subcontrató sin autorización y a pesar de la prohibición contenida en el contrato de JAZZTEL (ORANGE) la prestación del servicio de telemarketing, procediendo, en consecuencia el archivo del presente procedimiento. Ello de conformidad con lo dispuesto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que bajo la rúbrica “Responsabilidad” establece que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad ORANGE ESPAGNE, S.A.U., el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es