← España

PS-00226-2015

1/20 Procedimiento Nº PS/00226/2015 RESOLUCIÓN: R/02556/2015 En el procedimiento sancionador PS/00226/2015, instruido por la Agencia Española de Protección de Datos a la entidad MEGA DATA INTEGRAL SERVICES S.L., PLENISAN, S.L, vista la denuncia presentada por A.A.A. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22 de abril de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<He recibido publicidad de SISTEMAS MEDICOS PROFESIONALES S.L. de tipología parecida al Procedimiento Nº PS/00052/2012 con RESOLUCIÓN: R/01230/2012. Me consta la obtención fraudulenta de mis datos robados al Censo porque son los únicos que escriben la primera sílaba de mi apellido antes del segundo apellido. Adjuntaré DNI donde se verá que mi primer apellido es "***1º- APELLIDO"; el segundo es "***2º- APELLIDO". Por incompetencia de los informáticos del censo, toda la información electoral la recibo a nombre de "B.B.B." en vez de "A.A.A.". En su momento reclamé contra esta manera aberrante de estar registrado y me respondieron que ya hacían bastante con no grabar el "DE" como si formara parte de un nombre de pila compuesto "***NOMBRE.1 DE", variante que a mi me repugna y falsifica tanto mi nombre como mi primer apellido. Cuando recibo publicidad a nombre de "B.B.B." siempre coincide que se trata de empresas a las que no he dado mis datos ni permiso para usarlos y siempre me quedo con el deseo de denunciarlo. Hoy, buscando información para hacerlo, he descubierto el caso reseñado ut supra e intuyo que se trata de reincidencia contumaz, que desearía ver severamente castigada, para lo cual pueden contar con toda mi colaboración. Si el formulario electrónico lo permite anexaré la publicidad intrusa y mi dni. O bien lo mandaré certificado.>> Aporta el denunciante copia de una comunicación comercial remitida en nombre SMP, y en la que consta el nombre y dirección postal completa del denunciante. Al pie del escrito figura una nota informativa según la cual la información utilizada para el envío publicitario proviene de MEGADATA. Aporta igualmente copia de una tarjeta censal. Comparados los datos del denunciante obrantes en dicha tarjeta y en la publicidad recibida, se observa que no coincide el nombre ni el formato de dirección. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MEGA DATA INTEGRAL SERVICES S.L., SISTEMAS MÉDICOS PROFESIONALES SL, teniendo conocimiento de que: 1. De la información y documentación aportada por SMP se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 a. Aporta la entidad copia del contrato con MEGADATA. Manifiesta SMP que este contrato estuvo vigente desde el 1 de abril de 2013 hasta el momento en que rompió relaciones con ese proveedor. Actualmente, ya no trabajan con esa empresa, tras haber tenido conocimiento, por un procedimiento sancionador abierto contra SMP, de que utilizaban datos que no cumplían la Ley. Aporta igualmente la entidad copia de la carta que enviada al administrador de MEGADATA, de fecha 10/5/2014 poniendo fin definitivamente la relación comercial por esa razón. b. Copia de la factura, de fecha 30/4/2014, por los servicios prestados en relación con el envío origen de la denuncia. c. Manifiesta SMP que las campañas de marketing realizadas por MEGADATA para SMP eran diseñadas y llevadas a cabo por ella sin intervención de la entidad anunciada, y que los parámetros mediante los que se fijaba el público objetivo eran elegidos sólo por MEGADATA, conforme consta en el contrato. d. Manifiesta SMP: <<Esa empresa siempre nos aseguró que los datos que se iban a utilizar en las campañas que se hiciesen para nosotros serían legales. Nosotros exigimos que esas garantías constasen expresamente en el contrato. El contrato se firmó bajo la premisa de que esas garantías eran ciertas. Sin esas garantías, nunca hubiésemos contratado con esa empresa nuestras campañas de marketing. Todo ello queda reflejado en la cláusula IV del contrato que se adjunta.>> En el contrato aportado consta: <<IV.- SUMINISTRADOR ofrece absoluta garantía de que los datos que se utilizarán se han obtenido exclusivamente de fuentes accesibles al público que estaban vigentes en el momento del tratamiento de los datos. En caso de que no procedan de dichas fuentes, dichos datos habrán sido obtenidos con consentimiento de los afectados para el envío de comunicaciones comerciales de los productos o servicios de EMPRESA. Las partes están conformes en que las manifestaciones y garantías ofrecidas por SUMINISTRADOR en el sentido indicado son las determinantes de que EMPRESA realice las campañas de marketing utilizando las bases de datos del SUMINISTRADOR.>> Donde el SUMINISTRADOR se refiere a MEGADATA. 2. Solicitada información a MEGADATA mediante escrito de fecha 14/11/2014, dirigida a la dirección que consta en el Registro Mercantil Central como sede social de la entidad, la carta resultó devuelta por el Servicio de Correos tras dos intentos de entrega en fechas 19/11/2014, 20/11/2014 y no haber sido retirada de la oficina de correos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 TERCERO: Con fecha 15/05/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MEGA DATA INTEGRAL SERVICES S.L con arreglo a lo dispuesto en el artículo 127 del RDLOPD en por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica y a SERVICIOS MEDICOS PROFESIONALES S.L ( PLENSIAN S.L en la actualidad) con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 6 de la LOPD en relación con el artículo 46 del RDLOPD, tipificada como grave en el artículo 44.3
  2. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, a PLENISAN, S.L según consta en el acuse de recibo de correos en fecha de 20/04/2015 solicito copia del expediente mediante escrito de fecha 22/04/2015 con fecha de entrada en esta Agencia de 24/05/2015 (Folio 57). Asimismo solicito copia del expediente mediante correo electrónico de fecha 22/05/2015 con fecha de presentación 22/04/2015 y fecha de registro de entrada de 05/05/2015 (Folio 77). Mediante diligencia de instrucción de fecha 28/05/2015 se envió copia del expediente a PLENISAN S.L., siendo notificada en fecha de 07/05/2015 (Folio 83) Mediante escrito de fecha 06/05/2015 PLENISAN S.L. con fecha de entrada en esta Agencia de 12/05/2015 (Folio 84) solicito información acerca del estado de la petición de copia del expediente y formulando Queja al amparo del RD 651/2005, de 29 de julio. QUINTO: En fecha 20/04/2015 se intentó la notificación del citado Acuerdo de Iniciación, en el domicilio de MEGA DATA INTEGRAL SERVICES, S.L., que consta en el Registro Mercantil Central, dicha notificación tuvo como resultado Desconocido:  En fecha de 30/05/2015 la notificación el Acuerdo de Inicio se publicó en el B.O.E núm. 129; Sec. V-B Pág. 24410.  En fecha 18/06/2014 tuvo entrada en esta Agencia una diligencia del Ayuntamiento de Bilbao en el que se hace constar que el citado Acuerdo de Inicio estuvo expuesto en el tablón de anuncios desde el día 13/05/2015 al 29/05/2015. Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas por parte de MEGA DATA INTEGRAL SERVICES, S.L., el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. SEXTO: En fecha de 11/05/2015 tiene entrada en esta Agencia un escrito del representante de MEGA DATA INTEGRAL SERVICES, S.L., sin número de referencia de procedimiento, en el que realiza una petición genérica respecto de las notificaciones dirigidas a la entidad desde el /01/2015 hasta la fecha, para que se remitan a la dirección Apartado de Correos 10.013, 48080 Bilbao. (Folio 120). SEPTIMO: Mediante diligencia de Instrucción de 10/06/2015 y de acuerdo con la solicitud de MEGA DATA INTEGRAL SERVICES, S.L., se envía copia de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 documentación obrante hasta la fecha (Folio 130) a la dirección indicada por la citada mercantil, cuya notificación tiene el resultado de caducado por no retirar la documentación en el plazo establecido. (Folio 131-132). OCTAVO: Con fecha de entrada en esta Agencia de 20/05/2015, PLENISAN S.L. presento alegaciones en las que manifestaba lo siguiente: En fecha de 01/04/2013 se contrató con MEGA DATA la realización de campañas de marketing directo, en virtud de cual dicha entidad suministraría los ficheros de datos personales de los destinatarios y determinaría los parámetros identificativos d estos, sin intervención de SMP. (Clausulas I y II del acuerdo y del concepto que figura en la factura emitida) La contratación con MEGA DATA se llevó a cabo bajo la premisa de que los datos a utilizar cumplían la LOPD de acuerdo con lo dispuesto en el contrato en las clausulas IV y V del contrato. De acuerdo con el art. 46 del RDLOPD no puede imputarse la comisión de la infracción a PLENISAN, S.L., ya que aunque se promocionan servicios de esta, no fue realizada la campaña por la entidad, sino que fue MEGA DATA quien se encargó de su diseño y ejecución. Por lo que de acuerdo con el apartado 2 del citado artículo no puede ser considerada responsable del tratamiento. Y de acuerdo con el art. 43 LOPD no puede quedarse bajo el régimen sancionador de la LOPD por lo que procede el archivo del procedimiento. Ausencia de culpabilidad. MEGA DATA ofreció garantías contractuales d que los datos personales eran completamente legales, siendo una premisa esencial para contratar con dicho proveedor. Clausulas IV y V del contrato. De acuerdo con el apartado 3 del art. 46 RDLOPD, la actuación del beneficiario de la publicidad queda exento de responsabilidad si ha actuado con la exigible diligencia, para asegurarse de que los datos que se van a utilizar han sido recabados por el proveedor de acuerdo con la ley. Habiéndose adoptado dichas garantías, no puede existir culpabilidad. El hecho de que los datos sean tratados por el proveedor sin consentimiento no puede ser imputado a PLENISAN si antes de su realización, ha adoptado las medidas a su alcance para asegurarse de que los datos son legales. Y dichas garantías son las contractuales que se adoptaron. La falta de culpabilidad ha sido analizada en la SAN de 21/05/2009 y la SAN de 22/09/2011. Adopción de medidas adicionales que refuerzan la diligencia prestada. Tras la sanción impuesta a PLENISAN S.L., en el PS/00218/2014 se decidió resolver unilateralmente el contrato y dejar de trabajar con ese proveedor de direcciones. Existencia de precedentes administrativos. Principio de confianza legítima. En el expediente PS/0052/2012 incoado contra TODO DATA se sanciono a ésta por la realización de una campaña cuyo beneficiario era SMP (PLENISAN) y las garantías contractuales exigidas por PLENISAN eran las mismas que constan entre MEGA DAT y PLENISAN en el caso analizado. Sin embargo no se incoo procedimiento contra SMP. Basándonos en ese precedente, decidimos realizar la campaña de marketing con otra empresa que también nos aseguró por contrato que los datos a suministrar eran legales. Pero en este caso la AEPD ha cambiado de criterio. No puede olvidarse que la campaña aquí denunciada se lleva a cabo con anterioridad a que la AEPD abriese el procedimiento PS/218/2014, por lo que el único criterio interpretativo que se conocía era el aplicado en el PS/0052/2012. Por lo que procede el archivo de las actuaciones al haber actuado con la convicción de que la conducta no era constitutiva de infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 Solicitud de pruebas consistentes en la incorporación del expediente PS/0052/2012 y prueba testifical con la finalidad de que el administrador de MEGA DATA aclara la intervención de PLENISAN, SL en la campaña en cuestión, manifieste si se ha rescindido el contrato con la mercantil y si desde entonces han vuelto a contratar. SEPTIMO: En fecha de 10/06/2015 se inició el periodo de practica de pruebas, dando por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante PLENISAN, S.L, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05328/2014 y las alegaciones al acuerdo de inicio PS/00226/2015 presentadas por PLENISAN, S.L, y la documentación que a ellas acompaña. Se incorpora al expediente la Sentencia de la Audiencia Nacional de 30/04/2015 recaída en el Recurso Contencioso-Administrativo 242/2013. OCTAVO: Mediante escrito de fecha de entrada en esta Agencia de 22/06/2015 PLENISAN S.L. reitero la solicitud de práctica de pruebas, siendo resuelta dicha petición mediante Diligencia de Instrucción de 25/06/2015. NOVENO: Mediante escrito de fecha de entrada en esta Agencia de 09/07/2015 PLENISAN, S.L. presento escrito frente a la resolución de la solicitud de pruebas de fecha 25/06/2015, acordándose por el Instructor del Procedimiento la prueba testifical solicitada mediante el envío de sendos escritos de 10/07/2015 (que por causas ajenas a esta Agencia fueron devueltas por el Servicio de Correos las comunicaciones) y la incorporación de copia de la Resolución R/1230/2012. DECIMO: En fecha de 13/08/2015 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a MEGA DATA INTEGRAL SERVICES S.L., con multa de 60.000 € (sesenta mil euros) por la infracción de los artículos 6 de la LOPD, tipificada como grave en el artículo 44.3
  3. b)de dicha norma y se sancione a PLENISAN, S.L con multa de 5.000 € (cinco mil euros) por la infracción de los artículos 6 de la LOPD en relación con el art. 46.3 del RDLOPD, tipificada como grave en el artículo 44.3
  4. b)de dicha norma. DECIMOPRIMERO.- La Propuesta de Resolución se notificó al domicilio social de MEGA DATA INTEGRAL SERVICES, S.L. y al domicilio designado a efectos de notificaciones, resultando ambas devueltas. (Folios 186 a 223) DECIMOSEGUNDO.- En fecha de 07/09/2015 tiene entrada un escrito que según consta es firmado por el Administrador de MEGA DATA en el que solicita ampliación del plazo para formular alegaciones y manifiesta que se le ha notificado la propuesta de resolución (a pesar de constar físicamente la propuesta de resolución en el expediente tal como se deduce el antecedente anterior), sin señalar en qué fecha, ni acompañar copia del DNI (Folio 245). El sobre en el que se incluye dicho escrito esta enviado desde la Oficina de Correos Madrid Suc. 71 en fecha de 03/09/2015 a las 14:20h (folios 245 a 246). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 DECIMOTERCERO.- En fecha de 14/09/2015 el Instructor del Procedimiento remite copia de la solicitud de ampliación de plazo a MEGA DATA para su ratificación por su administrador, resultando la notificación devuelta. (Folio 247 a 251). DECIMOCUARTO.- En fecha de 07/09/2015 tiene entrada un escrito de PLENISAN, S.L. en el que solicitan ampliación de plazo para formular alegaciones, presentado en la Oficina de Correos Madrid Suc. 71 en fecha de 03/09/2015 a las 14:18h (Folio 254 a 255) DECIMOQUINTO.- En fecha de 10/09/2015 escrito de alegaciones (folios 256 a 281) en el que se reiteran en las formuladas anteriormente y aportando escrito según manifiestan del representante legal de MEGA DATA (Folios 278 a 281) en el que explica la realización de las campañas publicitarias manifestando que su mercantil es la que determina los parámetros identificativos de la misma. Dicho escrito tiene como firma una fotocopia y presenta una copia del DNI cuya caducidad ha acontecido. DECIMOSEXTO.- En fecha de 15/09/2015 el Instructor del procedimiento, ante las carencias documentales antes apuntadas, solicita a MEGA DATA el reconocimiento como propio del escrito obrante en los folios 278 a 281 y la aportación de una copia del DNI vigente. El requerimiento tiene como destinatario la dirección de la sede social de MEGA DATA y el domicilio designado por ésta a efectos de notificaciones, resultando la notificación devuelta. (Folios 282 a 286). DECIMOSÉPTIMO.- En fecha de 15/9/2015 el Instructor del procedimiento, ante las carencias documentales apuntadas, solicita la subsanación a PLENISAN, S.L. consistente en la aportación del documento que afirman ser aportado por MEGA DATA, con la firma original de su administrador y no una fotocopia, así como la aportación de un DNI vigente. (Folios 291 a 293) DECIMOCTAVO.- En fecha de 28/09/2015 tiene entrada en escrito de PLENISAN, S.L., en contestación a la subsanación solicitada en el que aportan una Acta Notarial que da fe de que le han presentado un documento y que lo consignando en dicho Acta es fiel reproducción copia exacta.( folios 296 a 299). Asimismo acompaña un segundo Acta Notarial que da fe de que le han presentado un documento y que lo consignado en dicho Acta es fiel reproducción copia exacta con una solicitud de renovación de DNI respecto de la que no se conoce ni el solicitante ni qué DNI se está renovando.(Folio 300 a 302) No acompaña la subsanación solicitada ya que no aporta escrito del representante de MEGA DATA firmado por él, ni copia del DNI vigente. DECIMONOVENO.- De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- Mediante comunicación de PLENISAN dirigida al denunciante se le invita a éste a un evento promocional de productos de la citada mercantil que se producirá en fecha de 23/04/2014, donde se indica que la procedencia de los datos personales utilizados es un fichero propiedad de MEGA DATA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 DOS.- PLENISAN aporta un contrato de fecha 1/04/2013 con MEGA DATA, en virtud del cual ésta utilizará un fichero de datos personales del que es titular para realizar acciones de marketing de productos de aquella. TRES.- El denunciante niega haber otorgado el consentimiento para el tratamiento de sus datos. CUATRO.- PLENISAN aporta una comunicación de fecha 10/05/2015 dirigida a MEGA DATA en la que comunica que tras ser objeto de incoación de procedimiento sancionador (PS/218/2014) por la realización de campañas publicitarias utilizando el fichero de ésta, ha decidido dar “por terminada definitivamente nuestra relación comercial”. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 37.
  5. g)y 36 de la LOPD, en relación con el articulo 120 y 127 del citado Real Decreto 1720/2007, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. II El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: I.Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. II.Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. III.Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. IV.Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 citado Real decreto. La STS de 19 de diciembre de 2001 ( RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 arriba trascrito, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el tramite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución respecto de la entidad MEGA DATA INTEGRAL SERVICES, S.L. sin perjuicio de la emisión de la presente. III Dispone el artículo 59.5 de la Ley 30/1992, de 26 de noviembre en cuanto a la práctica de las notificaciones: Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el "Boletín Oficial del Estado". Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la comunidad autónoma o de la provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del consulado o sección consular de la Embajada correspondiente o en los tablones a los que se refiere el artículo 12 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos. Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el "Boletín Oficial del Estado" En el presente caso se han observado las prescripciones legales, tal como se ha señalado en el Antecedente Quinto de la presente Resolución. IV Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado V Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas: Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos. Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento. Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso MEGA DATA INTEGRAL SERVICES, S.L. ha de considerarse responsable del fichero de acuerdo con el art. 3 de la LOPD transcrito parcialmente ut supra en relación los elementos de juicio que constan en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 Respecto de PLENISAN, alega respecto de su consideración de acuerdo con el art. 43 LOPD y 46.2 RDLOPD, que no intervino en la campaña publicitaria objeto de valoración para lo que aporta en sus alegaciones formuladas al Acuerdo de Inicio un contrato de 01/04/2013 obrante en los folios 28 y siguientes del expediente, donde consta que los servicios que MEGA DATA a PLENISAN, son entre otros (…) selección y segmentación de datos personales de sus ficheros para la realización de envíos publicitarios (…). A dicho contrato lo acompaña una factura por el servicio realizado. En sus alegaciones formuladas a la Propuesta de Resolución reitera que no intervino en la campaña publicitaria, presentando junto a sus alegaciones un escrito que afirma que es del representante de MEGA DATA en el que asume que es su entidad y no PLENISAN, S.L. quien fija los parámetros de la campaña. Respecto de este escrito, por su relevancia y carencias apuntadas se realiza un análisis en Fundamento de Derecho separado. Pues bien, debe tenerse en cuenta que con la documentación obrante en el expediente, Factura y Contrato, no pueden determinarse las variables utilizadas para identificar el público objetivo o destinatario de una campaña ex art. 46.4 RDLOPD. Es decir, no puede determinarse que en el servicio encomendado a MEGA DATA, conste la determinación de dichos parámetros, por mucho que en dicho contrato conste la inserción de una clausula tipo estandarizada, pues es obvio que en la relación mercantil entre ambas para la citada campaña es necesario la existencia de otras instrucciones, órdenes de trabajo, etc.,. que pueda conllevar el envío de cartas nominativas que publicitan un evento comercial organizado por PLENISAN, S.L. por las razones que a continuación se exponen: PLENISAN no aporta otros elementos de prueba que acrediten qué parámetros se fijaron y por quién se fijaron. Así las cosas, lo establecido en el contrato es genérico siendo racionalmente necesario otra determinación u acotación más allá de la citada clausula, pues únicamente del citado contrato ayuno de otras circunstancias, no puede deducirse los aspectos relacionados con la acción publicitaria consistente de remitir la carta/invitación que aporta el denunciante al expediente y que prueba el tratamiento de sus datos. En este sentido escapa a la lógica más elemental que con la documentación en que se sustenta la contratación de los servicios incorporado al expediente (únicamente el contrato y la factura obrante en los folios 28 a 30 y 32) se pueda llevar a cabo una acción publicitaria que culmine con el envío del folleto donde constan los datos personales del denunciante obrante en los folios 3 a 4, y que se promociona un evento que tiene lugar en un sitio determinado y que se publicita un producto determinado, de dicha documentación no puede deducirse el dónde?, el qué?, el cómo? y en lo que aquí interesa, el¿ a quién?. Sin perjuicio de que se hace necesario la existencia de otras indicaciones que únicamente está en condición de probar la propia PLENISAN,S.L, pues no puede obviarse que si la acción publicitaria consiste en la invitación a un evento comercial que tiene lugar en el “Hotel Hesperia del Mar ” de la localidad de Barcelona, cualquier fin último buscado con dicha acción comercial, se vería frustrado si la publicidad se envía a vecinos de cualquier otro municipio del territorio español ( téngase en cuenta que hay 8.122 a 1 de enero de 2015, INE). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 Es decir, necesariamente se tiene que determinar los datos personales sobre los que se hace la acción comercial, en este caso sobre los vecinos de la localidad donde se vaya a realizar el evento comercial, y como se ha señalado esa determinación y su prueba, solamente está en condiciones de acreditarla la propia PLENISAN, S.L. incluso aunque hubiera sido la propia MEGA DATA estaría en condiciones de probar tal extremo y nada de esto ha sucedido. PLENISAN, S.L. en su escrito de alegaciones a la propuesta de resolución (página 9), insiste que (…) sí que constan en el procedimiento elementos que acrediten quien fijo los parámetros: el contrato y la factura.(…)no puede aportar información sobre los criterios de segmentación que se siguieron en la campaña, porque dichos criterios fueron fijados exclusivamente por Mega Data ( según contrato y factura), que será quien los conozca. Pues bien, atendiendo a lo alegado debe señalarse que admitiendo a efectos puramente dialecticos lo manifestado por PLENISAN, S.L., debería estar en condiciones de probar la existencia de los criterios de segmentación aun habiéndose fijado por MEGA DATA, es decir, si esta entidad los determinó, es PLENISAN, S.L. la que tiene de algún modo que aceptarlos o validarlos, pues no puede olvidarse que la beneficiaria de la acción publicitaria, la principal interesada en que dicha acción se haga de una forma o de otra, es la propia PLENISAN, S.L., por lo que de ser todo como manifiesta, existiría un documento ( ya sea orden de trabajo, borrador, albarán o un simple correo electrónico) donde diera su visto bueno o aceptación, que probara que fue MEGA DATA quien determinó los parámetros y sin embargo nada de esto ha aportado. Por lo tanto, lo que se deduce de la documentación obrante en el expediente y atendiendo al resultado producido, que PLENISAN se dirigió a MEGA DATA que ofrecía un fichero para realizar acciones de marketing directo y es precisamente esa elección, la determinación del público objetivo destinatario de la campaña, es decir, la única determinación acreditada de a quién va dirigida la campaña, o dicho de otro modo, la única variable utilizada para identificar el público objetivo o destinatario, y que es imputable a PLENISAN. VI PLENISAN S.L. en su escrito de alegaciones a la Propuesta de Resolución, reitera las manifestaciones realizadas y aporta junto a su escrito otro que según manifiesta es aportado por el representante de MEGA DATA en el que, en síntesis, viene a reconocer que es su entidad y no PLENISAN la que determina los parámetros identificativos de las campañas. Dada la relevancia de dicha manifestación y las consecuencias que puede tener en la determinación de los responsables bajo el régimen sancionador de la LOPD, de acuerdo con el art. 46 RDLOPD y 43 LOPD, debe realizarse las siguientes consideraciones ya que no puede obviarse que dicho escrito “excluye la responsabilidad de PLENISAN, S.L.” y es precisamente aportado por dicha esta empresa, que afirma que se lo ha remitido el representante de MEGA DATA ya que se ha puesto en contacto con él, cuando dicho representante no ha recogido notificación alguna de las enviadas por estar ausente o desconocido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 Es decir, en lugar de aportarlo la propia MEGA DATA lo aporta la entidad, que de aceptar esta Agencia Española de Protección de Datos su validez, le excluiría de la aplicación del régimen sancionador. A saber: PLENISAN, S.L. en su escrito de alegaciones a la propuesta de resolución, adjunta un escrito que según manifiesta es del administrador de MEGA DATA en el que reconoce que esta mercantil es la que determina los parámetros identificativos y no PLENISAN. (Folios 256 a 281) señalando que “hemos contactado con el representante legal de MEGA DATA…”, circunstancia que resulta sorprendente ya que todas las notificaciones enviadas a MEGA DATA tanto al domicilio designado a efectos de notificaciones, como en la sede social, han resultado devueltas, sirva citar alguna por su relevancia el Acuerdo de Inicio, la prueba testifical practicada a instancias de la solicitud de PLENISAN, S.L., el reconocimiento del escrito de ampliación de plazo, la diligencia de envío de copia del expediente, la propuesta de resolución, etc.,…. Esto es, respecto del representante de MEGA DATA puede afirmarse que por parte de esta Agencia Española de Protección de Datos no ha sido posible contactar con él, y precisamente ocurre todo lo contrario con PLENISAN S.L., que puede contactar con él para pedirle que adjunte a sus alegaciones un escrito en el que reconoce que garantizo la legalidad del fichero y que determinó los parámetros de la campaña, lo que conlleva una declaración que exculparía a PLENISAN S.L. de los hechos imputados. Es decir, PLENISAN, S.L. si que ha podido contactar con él precisamente para solicitarle una declaración que la exculpa en el tratamiento de los datos realizado. Debiendo señalarse que en dicho escrito aportado por PLENISAN, S.L., no consta una firma original, es decir una rúbrica del Sr. C.C.C., sino una fotocopia de una firma y la copia de un DNI caducado. Con los antecedentes apuntados y ante tales elementos de juicio y las dudas que se planteaban, el Sr. Instructor solicitó la subsanación de la documentación aportada, tanto a PLENISAN, S.L., como al propio administrador de MEGA DATA, requiriendo a la primera para que aportara dicho escrito firmado por el representante de MEGA DATA advirtiendo de que no es válida una fotocopia de una firma y también para que aportara copia de un DNI vigente, ( folios 291 a 293) y a su vez solicitó al supuesto firmante del escrito, al propio Sr. C.C.C., representante de MEGA DATA para que reconociera como propio el escrito de exculpación aportado por PLENISAN, S.L. y la aportación de su DNI vigente. (Folios 282 a 286) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 Pues bien el resultado de la subsanación a instancias de PLENISAN, S.L. no cumple con lo requerido cuya interpretación no admitía dudas, escrito firmado por el representante de MEGA DATA y DNI vigente (Folios 291 a 293), ante lo cual aporta un Acta Notarial que da fe de que lo consignado en ella es fiel reproducción exacta de otro documento que se le ha mostrado (Folio 299), lo que en absoluto quiere decir que el escrito es firmado por el representante de MEGA DATA, cuestión principal solicitada en la subsanación por el Instructor. Y en segundo lugar aporta otra Acta Notarial en el que también se da fe de que lo consignado en ella es fiel reproducción exacta de otro documento que se le ha mostrado (Folio 302) en concreto se le ha mostrado un escrito en el que supuestamente D. D.D.D. explica que su DNI está en renovación, aportando a tal efecto una impresión de pantalla del sistema de citas de la Dirección General de la Policía que ni hace referencia respecto de qué DNI se solicita la renovación, ni cualquier otro elemento que permita vincular dicha cita de renovación al Sr. D.D.D., todo ello sin perjuicio de que dicha impresión de pantalla, con las carencias apuntadas consistentes en que no se vinculan a una identidad concreta, se puede obtener sin dificultad alguna accediendo a ese servicio en la web www.citapreviadni.es. Es decir, PLENISAN, S.L. en lugar de ponerse en contacto con el Sr. C.C.C. para que este firme dicho escrito y le aporte copia de su DNI vigente o documento que acredite verdaderamente que dicho DNI está siendo objeto de renovación, aporta las Actas Notariales citadas que no cumplen con lo solicitado, por las razones expuestas y tampoco cumple la finalidad pretendida por el Sr. Instructor, que en todo caso jugaría en beneficio de la propia PLENISAN, S.L., es decir, despejar cualquier duda respecto de la autoría e integridad del tan citado documento, cuestión que las Actas Notariales no pueden dilucidar pues únicamente dan fe de lo que consta en un escrito, pero en ningún caso de la veracidad de lo que consta en un escrito. En este sentido es de destacar, que se envió copia del tan discutido escrito de reconocimiento de determinación de parámetros, al propio Sr. C.C.C. para su reconocimiento, resultando también devueltas las notificaciones por el servicio de Correos. En conclusión, MEGA DATA no recoge las notificaciones y no formula alegación alguna en su defensa y sólo es activo en el procedimiento a través, precisamente de PLENISAN, quien aporta un escrito supuestamente del representante legal de aquella entidad que supone la exclusión de la aplicación del régimen sancionador de la LOPD con todas las carencias apuntadas, y que tampoco ha sido objeto de subsanación por la propia interesada (PLENISAN, S.L.) teniendo sendas oportunidades para ello, ni reconocido como propio por el supuesto autor y firmante del mismo, por lo que tal como se advirtió en el propio escrito de subsanación del Sr. Instructor, no puede ser tenido en cuenta con los efectos pretendidos por PLENISAN, S.L. VII Los razonamientos expuestos en los Fundamentos de Derecho anteriores han de tenerse en cuenta, sin perjuicio de que PLENISAN, S.L. decidió sobre la finalidad y el uso de los datos contenidos en el fichero de MEGA DATA, lo que le sitúa como responsable del tratamiento de acuerdo con la definición prevista en el art. 3 de la LOPD que determina que es responsable del tratamiento la (…) Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 El art. 46.2 de RDLOPD será de aplicación cuando son probados los hechos cuya consecuencia jurídica se recoge en el citado precepto. Esto es, no será responsable del tratamiento la entidad que encargue la campaña cuando esté plenamente acreditado que los parámetros de la campaña los determinó la empresa contratada, cuando no sea así, habrá que atender a lo dispuesto con carácter general en el art. 43 de la LOPD. Y en el presente caso, PLENISAN, S.L. no ha probado (a pesar de la facilidad de dicha prueba y de las sendas oportunidades que ha tenido para ello) los hechos que permiten la aplicación del art. 46.2 del RDLOPD. Por todo ello PLENISAN ha de considerarse responsable del tratamiento de los datos del denunciante y situarla bajo la responsabilidad que determina el art. 43 de la LOPD antes citado. VIII De acuerdo con lo dispuesto en el art. 6 de la LOPD, ni MEGA DATA ni PLENISAN, han acreditado que tenían el consentimiento del denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Acreditado el tratamiento de datos personales las entidades denunciadas no han presentado ninguna prueba que pueda evidenciar el origen licito de los datos del denunciante ( ni si quiera ha concretado cual es el origen de los mismos) y por tanto que contaban con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. MEGA DATA INTEGRAL SERVICES, S.L. registró en su fichero automatizado y por cuenta de PLENISAN, los sometió a tratamiento utilizando los datos concretándose en nombre y apellidos, dirección con piso y puerta, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos. IX Dispone el artículo 44.3.
  6. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 En el presente caso, respecto del tratamiento realizado por cuenta de PLENISAN y utilizando el fichero de MEGA DATA, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. X Acreditada la comisión de la infracción por parte de las entidades denunciadas procede abordar el elemento subjetivo que requiere la imposición de la sanción que pudiera corresponder. PLENISAN, S.L. alega en su descargo que no concurre en su actuación el elemento subjetivo de la culpa o negligencia en la medida en que mediante el contrato obrante en el expediente y en concreto en la clausulas IV y V se ofrecen garantías de legalidad de la base de datos a utilizar todo ello de acuerdo con el art. 46.3 del RDLOPD que prevé que (…) En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.(…). PLENISAN entiende que el contrato cumple con el precepto ya que las previsiones del mismo suponen la adopción de (…) las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento (…), sin embargo no puede entenderse suficiente dicha consideración ni menos aún excluir el elemento subjetivo de la culpa. En la Sentencia de la Audiencia Nacional de 30/04/2015 recaída en el Recurso Contencioso-Administrativo 242/2013, en un caso similar al objeto de valoración en este expediente sancionador y en relación con la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 Por otra parte, la entidad denunciada no puede obviar que en el procedimiento PS/52/2012 traído a colación a instancias de PLENISAN, S.L., se sancionó a la entidad TODO DATA INTEGRAL SERVICES, S.L. que precisamente comparte domicilio, administrador y objeto social con MEGA DATA INTEGRAL SERVICES, S.L. y de acuerdo con los antecedentes que obran en esta Agencia, utilizan el mismo fichero que contiene datos de carácter personal que explotan como objeto de su negocio y que en reiteradísimas ocasiones esta Agencia ha probado la ilegalidad del tratamiento de los datos obrantes en el citado fichero, información accesible en la web de este organismo. Es decir, PLENISAN, S.L. tiene elementos de juicio suficientes para entender insuficiente la garantía por contrato de la legalidad de los datos, cuando ésta se la ofrece una entidad en los mismos términos y por la misma persona ( el administrador de TODO DATA INTEGRAL SERVICES, S.L.) que ha sido sancionada en reiteradas ocasiones por la utilización de una base de datos personales para acciones de marketing nominativo postal, y por tanto adoptar ( y probar) la adopción de medidas adicionales más allá de lo transcrito cual formulario estándar en un contrato, pues de otro modo se utiliza en fraude de ley el esquema diseñado por el art. 46 del RDLOPD respecto de quién es responsable del tratamiento y la diligencia prestada y se aboca a la perversión del citado precepto. En el presente caso no consta medida alguna por parte de PLENISAN, S.L., tendente a verificar la legalidad de los datos a los que iban a ser sometidos por su cuenta, por lo que la comisión del ilícito que se imputa lo es al menos a título de culpa. XI Por otro lado también en relación con el elemento subjetivo, PLENISAN, S.L. manifiesta la vulneración del principio de confianza legítima ya que en la resolución recaída en el Procedimiento Sancionador PS/52/2012 no fue objeto de sanción y en cambio en el presente si lo ha sido. De acuerdo con lo establecido en el art. 54 de la LRJPAC las administraciones pueden cambiar el criterio de sus actuaciones siempre y cuando se haga de forma motivada, pues bien, precisamente existen diferencias subjetivas y temporales, entre lo resuelto en el procedimiento sancionador de tanta cita, y en el presente caso, que se concretan en lo expuesto en el fundamento de derecho anterior. Asimismo y siguiendo con el análisis del principio de confianza legítima en la citada sentencia transcrita parcialmente ut supra, se aborda el análisis de la modulación de criterios de las administraciones públicas en el ejercicio de la potestad sancionadora, en un caso similar a éste para concluir que de los hechos probados se desprende la comisión de la infracción por parte del beneficiario de la publicidad con independencia del criterio mantenido con anterioridad, en concreto señala (…) Por otro lado, se alude por la parte actora a la conculcación del principio de confianza legítima al existir precedentes administrativos, en concreto, en el procedimiento sancionador PS 52/2012, incoado por la Agencia contra Todo Data Integral Services, S.L., en que no se han sancionado conductas idénticas a la de la parte actora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 En relación con la doctrina de los actos propios resultan de interés lo declarado en las Sentencias del Tribunal Supremo de 28 de diciembre 2012 -recurso nº. 273/2009y 3 julio 2013 -recurso nº. 2.511/2011-, entre otras, que tratan sobre la infracción del principio de vinculación por actos propios, doctrina, surgida originariamente en el ámbito del derecho privado, que significa la vinculación del autor de una declaración de voluntad al sentido objetivo de la misma y la imposibilidad de adoptar después un comportamiento contradictorio, estando la misma doctrina estrechamente ligada al principio de buena fe y de protección de la confianza legítima, positivizados en el artículo 3.1 de la Ley 30/1992, de 216 de noviembre, y que ha sido acogida igualmente por la jurisprudencia del Tribunal Supremo (SS.TS. de 1 de febrero de 1990; 13 de febrero y 4 de junio de 1992; 28 de julio de 1997). En consecuencia, tal doctrina, indican las citadas Sentencias, supone que la actuación de las Administraciones Públicas no puede ser alterada arbitrariamente, y añaden: <<En concreto, en la STS de esta Sala de 26 de febrero de 2001, RC 5453/1995 dijimos que "Tanto la doctrina del Tribunal Constitucional como la Jurisprudencia de este Alto Tribunal (STS de 1 de febrero de 1999) considera que el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que dicho principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos, constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contra factum propium". Ahora bien, este principio no puede invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de amparar una conducta discrecional por la Administración que suponga el reconocimiento de unos derechos y/u obligaciones que dimanen de actos propios de la misma. O, dicho en otros términos, la doctrina invocada de los "actos propios" sin la limitación que acaba de exponerse podría introducir en el ámbito de las relaciones de Derecho público el principio de la autonomía de la voluntad como método ordenador de materias reguladas por normas de naturaleza imperativa, en las que prevalece el interés público salvaguardado por el principio de legalidad; principio que resultaría conculcado si se diera validez a una actuación de la Administración contraria al ordenamiento jurídico por el solo hecho de que así se ha decidido por la Administración o porque responde a un precedente de ésta>>. Con la alegación de la parte actora, de la existencia de precedentes administrativos, lo que se pretende es extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, pues, en el caso que nos ocupa, como hemos analizado, cabe apreciar en la conducta de la parte actora la infracción del art. 6.1 de la LOPD en relación con el art. 46 del RDLOPD, siendo indiferente al respecto que en otros supuestos, la Agencia Española de Protección de Datos, no haya sancionado a la entidad que contrataba la campaña de publicidad. ( El subrayado es de la Agencia Española de Protección de Datos) XII El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. XIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 En relación con las infracciones cometidas por MEGA DATA, no existen elementos que permitan aplicar lo dispuesto en el art. 45.5 de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se propone el importe de la sanción en la cuantía de 40.001 € por la infracción cometida, teniendo en cuenta los apartados c),
  22. d)
  23. e)y f). El apartado c), en cuanto a que el objeto de su actividad es la explotación de bases de datos para envíos publicitarios, es decir, su actividad esta vinculada con el tratamiento de datos personales. El apartado
  24. d)en cuanto a su actividad, sirva la consideración anteriormente expuesta. El apartado e), respecto del beneficio económico obtenido como consecuencia de la “venta o alquiler” de sus bases de datos. El apartado
  25. f)respecto del grado de intencionalidad, en la medida en que no puede serle ajena los mandatos de la LOPD y en concreto el principio del consentimiento para el tratamiento de los datos personales. El grado de intencionalidad hay que ponerlo en conexión con el elemento subjetivo de la culpabilidad en la medida que el infractor es conocedor de las obligaciones derivadas de la ley y a pesar de ello no adopta las cautelas necesarias para su cumplimiento. XIV En relación con las infracciones cometidas por PLENISAN y en relación con lo establecido en el art. 45 de la LOPD procede aplicar la degradación prevista en su apartado 5 y fijar el importe de la sanción propuesta, dentro de la escala relativa a las infracciones leves. PLENISAN S.L. aporta una comunicación obrante en el folio 31 dirigida a MEGA DATA INTEGRAL SERVICES, S.L. en la que comunica que tras ser objeto de incoación de procedimiento sancionador por la realización de campañas publicitarias utilizando el fichero de ésta, ha decidido dar “por terminada definitivamente nuestra relación comercial”. Concurren en la actuación de PLENISAN los supuestos previstos en el art. 45.5
  26. a)en relación con los apartados
  27. a)
  28. h)y
  29. j)del punto 4 del citado precepto, y el supuesto previsto en el art. 45.5
  30. b)de la citada norma, respecto a la medida adoptada citada que evitara que en el futuro se produzcan hechos similares a los aquí valorados. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se impone el importe de la sanción en 2.500 en €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MEGA DATA INTEGRAL SERVICES S.L., PLENISAN, S.L, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  31. b)de la LOPD, una multa de 40.001 € ( cuarenta mil un euro) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad PLENISAN, S.L, por una infracción del artículo 6 de la LOPD en relación con el artículo 46 del RDLOPD, tipificada como grave en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 44.3
  32. b)de la LOPD, una multa de 2.500 € ( dos mil quinientos euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a MEGA DATA INTEGRAL SERVICES S.L., PLENISAN, S.L, y a A.A.A. . Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.