← España

PS-00232-2017

1/18 Procedimiento Nº PS/00232/2017 RESOLUCIÓN: R/02906/2017 En el procedimiento sancionador PS/00232/2017, instruido por la Agencia Española de Protección de Datos a la entidad SALESLAND S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de septiembre de 2016 tiene entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) comunicando que con fecha 14/07/2016 recibió una llamada telefónica de la línea ***TLF.1 en que un operador que se identifica de SalesLand le ofrece una tarjeta de Banco Popular. Debido a problemas anteriores con Banco Popular solicitó la cancelación de sus datos a esta entidad. Y, entre otra, anexa la siguiente documentación:  Grabación de la llamada telefónica de fecha 14/07/2016  Documento de Banco Popular de fecha 14/11/2012 en que le comunican que sus datos han sido bloqueados.  Facturas telefónicas emitidas por su operador Vodafone SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizan visita de Inspección a las entidades Banco Popular, S.A., Wizink Bank S.A. y SalesLand, S.L. levantando Actas de Inspección y teniendo conocimiento de que:

  1. a)Vodafone certifica la existencia de una llamada realizada desde la línea ***TLF.1 a la línea del reclamante número C.C.C. en fecha 14/07/2016.
  2. b)En Banco Popular, S.A. se ha verificado que en los ficheros de clientes, al consultar los datos asociados al DNI B.B.B. se obtiene el mensaje “ACCESO RESTRINGIDO. CONSULTE CON SU INTERVENTOR”. A la vista de este resultado, los representantes de la entidad manifiestan que los datos asociados a este cliente se encuentran bloqueados y no es posible acceder a los mismos sin los privilegios de acceso adecuados. En relación con las campañas comerciales realizadas, los representantes de la entidad realizan las siguientes manifestaciones: El público objetivo de las campañas lo forma normalmente clientes con productos en activo en el banco que superan los filtros internos (no desean recibir información comercial ni están en Lista Robinson). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 Las campañas se organizan o determinan por el propio Banco Popular. Los clientes cuyos datos están bloqueados no son accesibles por los comerciales que elaboran listas de público objetivo. Las sucursales de Banco Popular pueden ocasionalmente, contactar con sus propios clientes para ofrecerles nuevos productos y servicios pero no son autónomas para contratar con terceras entidades la realización de campañas comerciales a potenciales clientes, ni realizar extracciones de público objetivo del fichero de clientes. En relación a la llamada comercial realizada al reclamante, los representantes de Banco Popular realizan las siguientes manifestaciones: A fecha de julio de 2016 Banco Popular no llevó a cabo campañas comerciales de tarjetas de Wizink Bank S.A. como la que da lugar a la denuncia. Por tanto el contacto comercial que se ha registrado no ha sido realizado por Banco Popular. El interlocutor de la llamada ofrece la posibilidad de contratar una tarjeta “Wizink de Banco Popular”. Según indican los representantes de la entidad, Wizink está participada por Banco Popular, pero se trata de una entidad independiente que realiza sus propias campañas comerciales. En las sucursales de Banco Popular sí se puede ofertar a los clientes la contratación de tarjetas de Wizink Bank S.A., pero en julio de 2016 no se realizaron ni subcontrataron campañas comerciales telefónicas sobre las mismas.
  3. c)El fichero de clientes de la entidad Wizink Bank S.A. no tiene datos asociados al DNI B.B.B. ni a nombre de A.A.A.. A la vista de este resultado, los representantes de Wizink Bank S.A. manifiestan que los datos asociados a esta persona no están incluidos en su fichero de clientes. En relación con las campañas comerciales realizadas por dicha entidad, los representantes de la misma realizan las siguientes manifestaciones: La entidad no dispone de ficheros de potenciales clientes, para sus campañas comerciales subcontrata diferentes intermediarios financieros que, con sus propias bases de datos, contactan con los potenciales clientes, y en caso de que acepten contratar una tarjeta de WiZink Bank, se desplaza un comercial y rellenan una solicitud/contrato de tarjeta que se transfiere al banco. Con la finalidad de dar promoción y venta de las tarjetas de crédito de WiZink Bank firman contratos con los intermediarios financieros, y para cada campaña comercial, un anexo que contiene, entre otros, la zona territorial y las fechas de principio y fin de la campaña. Los representantes de la entidad consideran que el intermediario financiero actúa como responsable de su propia base de datos de potenciales clientes. Una vez que el potencial cliente es contactado y acepta la visita de un comercial, el intermediario financiero, actuando como encargado del tratamiento de datos por cuenta de WiZink Bank, se cita con el interesado para cumplimentar la solicitud/contrato de tarjeta, tal como figura en el contrato de intermediación. En relación a la llamada comercial realizada al reclamante, la citada entidad manifiesta que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 En la grabación se escucha que el intermediario financiero responsable de extraer el teléfono del reclamante y de realizar la llamada comercial es Salesland S.L. Salesland, ha utilizado para esta campaña su propia base de datos de potenciales clientes, que en ningún caso ha sido facilidada por WiZink Bank. Aportan copia del contrato de intermediación con SalesLand, en el que figura que el CIF de esta entidad es ***CIF.1 y su sede social es ***DIRECCIÓN.1 Madrid. Consta en la cláusula VII F) del citado contrato que: “LA INTERMEDIARIA facilitará al cliente las condiciones de contratación de los productos financieros, ajuntándose a los parámetros previamente acordados con el BANCO, y recogidos en el ANEXO…” También se aporta copia del anexo al contrato para la campaña comercial que dio lugar a la llamada al reclamante en fecha 14 de julio de 2016. Este documento contiene que el ámbito territorial de la campaña incluye la provincia de Cádiz y la fecha de inicio y final es entre el 1 de julio de 2016 al 30 de septiembre de 2016.
  4. d)La entidad SalesLand, S.L. (en lo sucesivo el denunciado) presta servicios de intermediación financiera para la comercialización, entre otros productos, de tarjetas de crédito de las entidades financieras con las que mantienen una relación contractual, entre ellas WiZink Bank. Para ello alquilan bases de datos a diferentes proveedores y contactan telefónicamente con los potenciales clientes. Si el cliente muestra interés por el producto, se concierta una visita comercial en su domicilio, lugar de trabajo, etc. La entidad propietaria de la base de datos personales de potenciales clientes, cede temporalmente el uso de ésta a SalesLand para una campaña comercial concreta. Por su parte SalesLand actúa como Responsable del Tratamiento de los datos de la citada base de datos. La base de datos alquilada se carga en sus sistemas para realizar marcaciones automáticas. Cuando el sistema realiza la llamada, el puesto de trabajo del operador muestra los datos personales de la persona contactada. Antes de realizar las llamadas comerciales, la base de datos a utilizar se filtra con el Fichero Robinson de AD Digital, bien por el proveedor o bien por la propia SalesLand. Además la entidad mantiene un fichero Robinson propio con aquellos que han ejercitado su derecho de oposición a recibir información comercial. Y también se realiza un filtrado previo de la base de datos, antes de ponerla en producción. Si el interesado acepta recibir una visita de un comercial, los datos personales de éste se graban en el fichero denominado FDAP, que contiene los datos de identificación del cliente junto con los de la cita (fecha, hora y dirección). Una vez finalizada la campaña comercial se borran todos los datos de los ficheros FDAP y Fichero de Carga. Cuando el comercial visita al interesado SalesLand actúa como Encargado del Tratamiento por cuenta de la entidad financiera que ofrece el producto. De este modo, si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 se acepta la contratación, se rellena un formulario, se recaba copia de la documentación identificativa necesaria y se remite a la citada entidad financiera. En relación a la campaña comercial realizada en Jerez de la Frontera en julio de 2016, los representantes de la entidad realizan las siguientes manifestaciones: Para la realización de las llamadas de contacto a los potenciales clientes, SalesLand suscribió un contrato de entrega de datos con eGENTIC GmbH que comercializa una base de datos generados por Planet49 GmbH. Aportan copia del contrato suscrito por SalesLand S.L. y eGENTIC Gmbh con domicilio en Alemania en fecha 20/09/2013 y del anexo para la utilización de los datos en la campaña de julio de 2016, firmado en fecha 4 de julio de 2016. Consta en el contrato que el acuerdo contempla la entrega de los datos, para un único uso efectico y que el PARTNER (SalesLand, S.L.) determinará la identificación de los parámetros de los destinatarios de la campaña. Los datos de los potenciales clientes contactados y de los que aceptaron la visita de algún comercial, ya no están en los ficheros de SalesLand Se ha verificado que ni fichero FDAP ni Fichero de Carga contienen datos asociados a la línea C.C.C. Los representantes de SalesLand, solicitan a eGENTIC información relativa al consentimiento de D. A.A.A. con número de teléfono C.C.C. para la utilización de sus datos con la finalidad de ofrecer información comercial del sector financiero, aportando la siguiente documentación: Certificado de eGENTIC en el que se refleja que el afectado se inscribió en fecha 22/11/2015 en un sorteo en la web ***WEB.1 dando su consentimiento expreso para recibir ofertas comerciales de terceros, permaneciendo de alta en la base de datos de Planet49 a fecha 18/04/2017 eGENTIC aporta impresión de pantalla de los datos relativos a D. A.A.A. que figuran en Planet49 (con domicilio en Alemania), en el que consta como número de teléfono de contacto C.C.C.. También contiene la dirección IP y la fecha de registro. Procedimiento actual para darse de alta en la base de datos de Planet49 en el que se observa que es necesario aceptar la política de protección de datos. Política de Privacidad de Planet49 relativa a los datos recogidos en ***WEB.1, en la que figura Sus datos de carácter personal podrán ser utilizados por Planet con las siguientes finalidades: (
  5. i)la prestación de servicios de publicidad y prospección comercial, incluyendo la remisión al usuario mediante cualquier canal, incluidos los electrónicos, de ofertas e información de productos y servicios tanto propios como de terceras empresas exclusivamente pertenecientes a los sectores de: •Telecomunicaciones: Productos y Servicios de telecomunicaciones y tecnología. •Financiero: Prestados por entidades financieras, Aseguradoras y de Previsión social. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 •Seguros: Productos relacionados con salud, automóvil, hogar y otros servicios de seguros. •Ocio: Editorial, Turismo, Deportes, Coleccionismo, Fotografía, Pasatiempos. Juguetería, Transporte, Jardinería, Hobbies, Loterías, peñas de loterías, Comunicación y entretenimiento. •Gran consumo: Electrónica, Informática, Textil, Imagen y Sonido, Complementos, Hogar, Bazar, Cuidado personal (Cosmética, Perfumería, Parafarmacia, especialidades Farmacéuticas publicitarias) Mobiliario, Alimentación y Bebidas, Material de oficina. Moda y decoración. •Automoción: Productos y Servicios relacionados con el Automóvil, Motocicletas, Camiones. •Energía y agua: Productos relacionados con la Electricidad, Hidrocarburos, Gas y Agua. •ONG: Productos y Servicios relacionados con ONG's. •Joyería y piedras preciosas: productos y servicios relacionados con la joyería, bisutería y piedras preciosas. •Educación. Asimismo en cuanto a la cesión de datos, se recoge: “Cesión a terceras empresas. Del mismo modo, sus datos podrán ser cedidos a otras terceras empresas, con la finalidad de poder prestarle los servicios de publicidad y remitirle comunicaciones comerciales de estas terceras empresas, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, y/o para remitirle anuncios relacionados con los sectores especificados en el apartado 5 (
  6. i)de la presente Política de Privacidad.” TERCERO: Con fecha 8 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el art. 11.3 de la LOPD, tipificada como grave en el artículo 44.3.
  7. b)de dicha norma, pudiendo ser sancionada, con multa de 5.000 €, de acuerdo con el artículo 45 apartados 2 y 5 de dicha Ley Orgánica y a los efectos previstos en el art. 64.2
  8. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
  9. b)Reglamento de desarrollo de la (LOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) CUARTO: Notificado el acuerdo de inicio, el denunciado formuló alegaciones, significando que: <<…Claro ejemplo del alto grado de sensibilización de SALESLAND con la normativa LOPD, es la consulta remitida a la AEPD el pasado 02/12/2016, relativa precisamente a la naturaleza jurídica de la empresa (responsable del fichero o encargado del tratamiento) respecto a una variante específica de los servicios prestados de intermediación financiera en la comercialización de tarjetas de crédito de entidades bancarias y financieras (cuando la base de datos utilizada procede de una empresa colaboradora o del Grupo de la entidad bancaria cliente). El informe del Gabinete Jurídico de la AEPD, con número de referencia ***REF.1, fue contestado el pasado día C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 23/02/2017 (con registro de salida número: ***REGISTRO.1) y nos remitimos a los registros de esa Agencia a efectos de prueba (…) En la estipulación 5 del acuerdo comercial suscrito, bajo el epígrafe “Responsabilidades de eGENTIC y de PLANET49” se establece expresamente: “eGENTIC y PLANET49 garantizan que los datos personales que posteriormente entregará al PARTNER, han sido facilitados por los propios interesados y obtenidos con su consentimiento. Antes de realizar la entrega de los datos personales al PARTNER, eGENTIC le garantiza que ha extraído a todas aquellas personas que hayan manifestado su voluntad de no recibir comunicaciones comerciales y/o ejecutado la cláusula ARCO. Asimismo, garantiza que los usuarios cuyos datos se contienen en el fichero a entregar al PARTNER han prestado su consentimiento para recibir publicidad y ofertas comerciales de otras empresas tal y como se recoge en la política de privacidad de las páginas web de PLANET49, donde se incluye específicamente el sector “Financiero: Prestados por entidades financieras, Aseguradoras y de Previsión social. Denominación que abarca la categoría de intermediación financiera (…) A nuestro juicio, el hecho que se debe juzgar en el presente procedimiento no debe sustentarse únicamente en la cuestión de si el denunciante ha recibido una llamada comercial que no hubiera sido nunca objeto de denuncia sí no se llega a mencionar el teleoperaclor de SALESLAND a la entidad BANCO POPULAR con quien el denunciante había tenido problemas legales en el pasado, sino si SALESLAND puso todas las medidas razonablemente exigibles en el alquiler de una base de datos a un proveedor externo de información amparada por el consentimiento de los titulares registrados y que declara cumplir con la normativa nacional. Dado que en ningún caso ha habido dejación o pasividad en el cumplimiento de sus responsabilidades en materia de LOPD por parte de SALESLAND, y teniendo en cuenta las premisas establecidas en párrafos anteriores, desde SALESLAND creemos necesario e imprescindible realizar algunas matizaciones sobre el principio general (consentimiento del afectado) supuestamente incumplido en el presente procedimiento sancionador que se recogen en la alegación siguiente (…) La única referencia al precepto infringido, además del texto legal de los artículos 6.1 y 11.3 LOPD, es la extracción de parte de la política de privacidad de PLANET49 (extracción parcial del punto 5º y 6º) que realiza el Instructor del Procedimiento en el hecho segundo del Acuerdo de Inicio de Procedimiento Sancionador. Es decir, que no se señala el/los apartado/s o párrafo/s concretos que según el criterio interpretativo de la AEPD incumplen el principio general de consentimiento en dicha Política de Privacidad, debiendo recurrir a un acto de intuición que crea inseguridad jurídica. En conclusión, SALESLAND presupone que se inicia procedimiento sancionador porque el consentimiento recabado en el punto 6º.2 de la Política de Privacidad de PLANET49 no cumple con lo establecido en el artículo 11.3 LOPD, considerándose nulo. Esta parte analiza el punto 6º.2 de la Política de Privacidad de PLANET49 que establece expresamente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 “6. Cesión de datos a terceras empresas distintas de planet49 GmbH “6.2 Cesiones a terceras empresas Del mismo modo, sus datos podrán ser cedidos a otras terceras empresas, con la finalidad de poder prestarle servicios de publicidad y remitirle comunicaciones comerciales de estas terceras empresas, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, y/o para remitirle anuncios relacionados con los sectores especificados en el apartado 5

(1)de la presente Política de Privacidad.” Entendiendo correcto nuestro presupuesto, SALESLAND considera que si bien el párrafo no es todo lo claro que sería deseable, no puede interpretarse como nulo el consentimiento del afectado por no identificar las concretas entidades a las que venden los datos (es un imposible ya que requeriría una constante modificación de la Política de Privacidad del proveedor cada vez que realiza una venta) pero si informa al interesado de la finalidad a la que se destinarán los datos, y (en el caso de SALESLAND) acota el tipo de actividad (intermediación financiera) encuadrada en el sector financiero que es uno de los que se encuentran informados en dicha política…>> QUINTO: Con fecha 4/07/2017 se inició el período de práctica de pruebas. SEXTO: Con fecha 3/08/2017 se inicia el trámite de audiencia. SÉPTIMO: Con fecha 29 de septiembre de 2017 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 5.000 € al denunciado por la comisión de una infracción del artículo 6.1 de la LOPD de la LOPD, tipificada como grave en el artículo 44.3.
  1. b)de dicha Ley. OCTAVO: Con fecha de entrada en esta Agencia 11/10/2017, el denunciado realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…Con carácter previo interesa señalar que esta parte considera ilógico tener que argumentar su defensa en el presente procedimiento recabando información del titular de la base de datos alquilada (PLANET49 GmbH) a través de su entidad comercializadora en España (eGENTIC GmbH), ya que si bien es cierto que se trata de dos entidades alemanas sin establecimiento en nuestro país, en la cláusula 5ª del acuerdo marco de cooperación comercial suscrito con SALESLAND en fecha 20/09/2013 se establece expresamente el reconocimiento y sometimiento al órgano de control nacional para supuestos como el que nos ocupa: “Las partes reconocen y se someten, a la competencia atribuida a la Agencia Española de Protección de Datos (AEPD) como órgano de control, respondiendo de las sanciones administrativas y/o de daños y perjuicios causados por el incumplimiento de las obligaciones que la legislación en materia de protección de datos establece para cada parte.” (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 En concreto, el antepenúltimo párrafo del citado Fundamento de Derecho III cuando se determina: “Sin embargo, la cesión se realizó a una empresa de Marketing (el denunciado)...” Señalar que resulta incongruente la afirmación anterior, habiendo quedado acreditados y probados los hechos reflejados en el Antecedente Séptimo, punto 5 de la misma Propuesta de Resolución, donde se establece expresamente: “El denunciado presta servicios de intermediación financiera para la comercialización, entre otros productos, de tarjetas de crédito de las entidades financieras con las que mantienen una relación contractual, entre ellas WiZink Bank.” SALESLAND actúa en el servicio prestado a WIZINK BANK en calidad de “INTERMEDIARIO FINANCIERO” y no como una simple empresa de marketing. En este sentido, interesa señalar a la AEPD que, si mi representada actuara como empresa de telemarketing, carecería de sentido la argumentación jurídica elaborada y el régimen de responsabilidades asumidas para prestar este servicio desde el punto de vista de la protección de datos. Si SALESLAND actuara como una mera empresa de marketing en comercialización de tarjetas de crédito, carece de sentido alguno asumir la figura de responsable del fichero (artículo 3d LOPD), ya que sería suficiente con actuar en el servicio como un simple encargado del tratamiento (artículo 3g LOPD) alquilando la base de datos de potenciales en nombre de la entidad bancaria comercializadora de la tarjeta de crédito (en el presente supuesto WIZINK BANK) y presentarnos en la llamada como la entidad bancaria titular de la tarjeta. Es fundamental que el instructor entienda la figura del intermediario financiero regulada en la Ley 2/2009, de 31 de marzo, donde se regulan actividades típicas de las entidades de crédito (ofertas de intermediación entre clientes y entidades de crédito, la concesión de créditos, etc.) no reservadas a las entidades supervisadas por el Banco de España. Nos reiteramos en lo expuesto en nuestro anterior escrito de alegaciones (segunda) cuando se expone nuestra actuación como intermediario financiero y la argumentación jurídica adoptada bajo la óptica LOPD de considerar a SALESLAND en este tipo de servicios de intermediación financiera asume, inicialmente, la figura jurídica de responsable del fichero en virtud del artículo 20.1 RLOPD (…) Sin embargo, dando un cambio radical a la línea argumental ofrecida, el instructor cita una Sentencia de la Audiencia Nacional, para establecer algo que ni nos fue requerido en la fase probatoria, y que entendíamos había quedado acreditado sobradamente en el procedimiento: “Así las cosas, cabe concluir que Salesland no ha acreditado el proceso de inscripción, ni la política de privacidad que existía en la web ***WEB.1, en la fecha en la que manifiestan que el denunciante se dio de alta.” El Fundamento de Derecho IV de la Propuesta de Resolución vuelve a reiterar: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 “En el presente supuesto, como se ha expuesto en el fundamento anterior el tratamiento realizado vulnera el art. 6 de la LOPD al no haberse acreditado el consentimiento del denunciante” (…) En conclusión, respecto a la obligación que establece el artículo 12.3 RLOPD, SALESLAND cumple estrictamente sus obligaciones desde que los datos pasan a ser de su titularidad. Sin embargo, la AEPD exige a esta parte responsabilidades que se entienden cubiertas por el contrato de cesión suscrito, llegando a exigir prueba de aspectos a los que SALESLAND no alcanza, pese a haber sido cubiertos contractualmente. Esta parte se pregunta: ¿Qué sentido tiene haber regularizado un contrato de cesión con el máximo celo exigible?; a SALESLAND se le podrá exigir responsabilidades por el tratamiento de dichos datos desde que el dato llega a su poder (cumplir con el artículo 4, 5, 6, etc.) desde que el dato, supuestamente legal, llega a su poder y comienza un tratamiento con el mismo, o inclusive respecto a su origen o procedencia si no hubiera actuado diligentemente en contratación del mismo, pero nunca respecto a hechos o premisas garantizadas contractualmente en el contrato de alquiler de una base de datos supuestamente legal. No obstante, desde SALESLAND hemos procedido a solicitar de nuevo dicha acreditación y prueba al responsable de la base de datos alquilada (PLANET 49 GmbH a través de eGENTIC). Se adjunta como documento anexo número 2 certificado de PLANET 49 GmbH acreditando el proceso de inscripción al sorteo de la página web www.melollevoahoraom y prueba de la política de privacidad (protección de datos) existente en fecha 22/1 1/2015. La AEPD en el supuesto de no considerar estos aspectos probados correctamente o que se probaron de forma deficiente, podría haberlo solicitado, bien directamente a dicha empresa que se somete por contrato al órgano de control nacional, o al menos haber requerido dicha prueba a SALESLAND en la fase de pruebas del procedimiento en curso (sobre todo, teniendo en cuenta que la infracción a imputar a SALESLAND se sustenta en dicha prueba y gran parte de nuestros argumentos de defensa se establece sobre dicha premisa)…>> HECHOS PROBADOS PRIMERO: Con fecha 5 de septiembre de 2016 tiene entrada en esta Agencia escrito del denunciante comunicando que con fecha 14/07/2016 recibió una llamada telefónica de la línea ***TLF.1 en que un operador que se identifica de SalesLand le ofrece una tarjeta de Banco Popular. Debido a problemas anteriores con Banco Popular solicitó la cancelación de sus datos a esta entidad. Y, entre otra, anexa la siguiente documentación:  Grabación de la llamada telefónica de fecha 14/07/2016 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18  Documento de Banco Popular de fecha 14/11/2012 en que le comunican que sus datos han sido bloqueados.  Facturas telefónicas emitidas por su operador Vodafone SEGUNDO: Vodafone certifica la existencia de una llamada realizada desde la línea ***TLF.1 a la línea del reclamante número C.C.C. en fecha 14/07/2016. TERCERO: En Banco Popular, S.A. se ha verificado que en los ficheros de clientes, al consultar los datos asociados al DNI B.B.B. se obtiene el mensaje “ACCESO RESTRINGIDO. CONSULTE CON SU INTERVENTOR”. A fecha de julio de 2016 Banco Popular no llevó a cabo campañas comerciales de tarjetas de Wizink Bank S.A. como la que da lugar a la denuncia. Por tanto el contacto comercial que se ha registrado no ha sido realizado por Banco Popular. El interlocutor de la llamada ofrece la posibilidad de contratar una tarjeta “Wizink de Banco Popular”. Según indican los representantes de la entidad, Wizink está participada por Banco Popular, pero se trata de una entidad independiente que realiza sus propias campañas comerciales. CUARTO: El fichero de clientes de la entidad Wizink Bank S.A. no tiene datos asociados al DNI B.B.B. ni a nombre de A.A.A.. En relación con las campañas comerciales realizadas por dicha entidad, los representantes de la misma realizan las siguientes manifestaciones: La entidad no dispone de ficheros de potenciales clientes, para sus campañas comerciales subcontrata diferentes intermediarios financieros que, con sus propias bases de datos, contactan con los potenciales clientes, y en caso de que acepten contratar una tarjeta de WiZink Bank, se desplaza un comercial y rellenan una solicitud/contrato de tarjeta que se transfiere al banco. Con la finalidad de dar promoción y venta de las tarjetas de crédito de WiZink Bank firman contratos con los intermediarios financieros, y para cada campaña comercial, un anexo que contiene, entre otros, la zona territorial y las fechas de principio y fin de la campaña. Los representantes de la entidad consideran que el intermediario financiero actúa como responsable de su propia base de datos de potenciales clientes. Una vez que el potencial cliente es contactado y acepta la visita de un comercial, el intermediario financiero, actuando como encargado del tratamiento de datos por cuenta de WiZink Bank, se cita con el interesado para cumplimentar la solicitud/contrato de tarjeta, tal como figura en el contrato de intermediación. En relación a la llamada comercial realizada al reclamante, la citada entidad manifiesta que: En la grabación se escucha que el intermediario financiero responsable de extraer el teléfono del reclamante y de realizar la llamada comercial es Salesland S.L. Salesland, ha utilizado para esta campaña su propia base de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 potenciales clientes, que en ningún caso ha sido facilidada por WiZink Bank. QUINTO: El denunciado presta servicios de intermediación financiera para la comercialización, entre otros productos, de tarjetas de crédito de las entidades financieras con las que mantienen una relación contractual, entre ellas WiZink Bank. Para ello alquilan bases de datos a diferentes proveedores y contactan telefónicamente con los potenciales clientes. Si el cliente muestra interés por el producto, se concierta una visita comercial en su domicilio, lugar de trabajo, etc. La entidad propietaria de la base de datos personales de potenciales clientes, cede temporalmente el uso de ésta a SalesLand para una campaña comercial concreta. Por su parte SalesLand actúa como Responsable del Tratamiento de los datos de la citada base de datos. La base de datos alquilada se carga en sus sistemas para realizar marcaciones automáticas. Cuando el sistema realiza la llamada, el puesto de trabajo del operador muestra los datos personales de la persona contactada. Antes de realizar las llamadas comerciales, la base de datos a utilizar se filtra con el Fichero Robinson de AD Digital, bien por el proveedor o bien por la propia SalesLand. Además la entidad mantiene un fichero Robinson propio con aquellos que han ejercitado su derecho de oposición a recibir información comercial. Y también se realiza un filtrado previo de la base de datos, antes de ponerla en producción. Si el interesado acepta recibir una visita de un comercial, los datos personales de éste se graban en el fichero denominado FDAP, que contiene los datos de identificación del cliente junto con los de la cita (fecha, hora y dirección). Una vez finalizada la campaña comercial se borran todos los datos de los ficheros FDAP y Fichero de Carga. Cuando el comercial visita al interesado SalesLand actúa como Encargado del Tratamiento por cuenta de la entidad financiera que ofrece el producto. De este modo, si se acepta la contratación, se rellena un formulario, se recaba copia de la documentación identificativa necesaria y se remite a la citada entidad financiera. SEXTO: En relación a la campaña comercial realizada en Jerez de la Frontera en julio de 2016, los representantes de la entidad realizan las siguientes manifestaciones: Para la realización de las llamadas de contacto a los potenciales clientes, SalesLand suscribió un contrato de entrega de datos con eGENTIC GmbH que comercializa una base de datos generados por Planet49 GmbH. Aportan copia del contrato suscrito por SalesLand S.L. y eGENTIC Gmbh con domicilio en Alemania en fecha 20/09/2013 y del anexo para la utilización de los datos en la campaña de julio de 2016, firmado en fecha 4 de julio de 2016. Consta en el contrato que el acuerdo contempla la entrega de los datos, para un único uso efectico y que el PARTNER (SalesLand, S.L.) determinará la identificación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 los parámetros de los destinatarios de la campaña. Los datos de los potenciales clientes contactados y de los que aceptaron la visita de algún comercial, ya no están en los ficheros de SalesLand Se ha verificado que ni fichero FDAP ni Fichero de Carga contienen datos asociados a la línea C.C.C. Los representantes de SalesLand, solicitan a eGENTIC información relativa al consentimiento de D. A.A.A. con número de teléfono C.C.C. para la utilización de sus datos con la finalidad de ofrecer información comercial del sector financiero, aportando la siguiente documentación: Certificado de eGENTIC en el que se refleja que el afectado se inscribió en fecha 22/11/2015 en un sorteo en la web ***WEB.1 dando su consentimiento expreso para recibir ofertas comerciales de terceros, permaneciendo de alta en la base de datos de Planet49 a fecha 18/04/2017 eGENTIC aporta impresión de pantalla de los datos relativos a D. A.A.A. que figuran en Planet49 (con domicilio en Alemania), en el que consta como número de teléfono de contacto C.C.C.. También contiene la dirección IP y la fecha de registro. Procedimiento actual para darse de alta en la base de datos de Planet49 en el que se observa que es necesario aceptar la política de protección de datos. Política de Privacidad de Planet49 relativa a los datos recogidos en ***WEB.1, en la que figura Sus datos de carácter personal podrán ser utilizados por Planet con las siguientes finalidades: (
  2. i)la prestación de servicios de publicidad y prospección comercial, incluyendo la remisión al usuario mediante cualquier canal, incluidos los electrónicos, de ofertas e información de productos y servicios tanto propios como de terceras empresas exclusivamente pertenecientes a los sectores de: •Telecomunicaciones: Productos y Servicios de telecomunicaciones y tecnología. •Financiero: Prestados por entidades financieras, Aseguradoras y de Previsión social. •Seguros: Productos relacionados con salud, automóvil, hogar y otros servicios de seguros. •Ocio: Editorial, Turismo, Deportes, Coleccionismo, Fotografía, Pasatiempos. Juguetería, Transporte, Jardinería, Hobbies, Loterías, peñas de loterías, Comunicación y entretenimiento. •Gran consumo: Electrónica, Informática, Textil, Imagen y Sonido, Complementos, Hogar, Bazar, Cuidado personal (Cosmética, Perfumería, Parafarmacia, especialidades Farmacéuticas publicitarias) Mobiliario, Alimentación y Bebidas, Material de oficina. Moda y decoración. •Automoción: Productos y Servicios relacionados con el Automóvil, Motocicletas, Camiones. •Energía y agua: Productos relacionados con la Electricidad, Hidrocarburos, Gas y Agua. •ONG: Productos y Servicios relacionados con ONG's. •Joyería y piedras preciosas: productos y servicios relacionados con la joyería, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 bisutería y piedras preciosas. •Educación. Asimismo en cuanto a la cesión de datos, se recoge: “Cesión a terceras empresas. Del mismo modo, sus datos podrán ser cedidos a otras terceras empresas, con la finalidad de poder prestarle los servicios de publicidad y remitirle comunicaciones comerciales de estas terceras empresas, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, y/o para remitirle anuncios relacionados con los sectores especificados en el apartado 5 (
  3. i)de la presente Política de Privacidad.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Los hechos expuestos suponen por parte del denunciado una infracción del artículo 6.1 de la LOPD, en relación con el art. 11.3 de la LOPD que establece: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 Dispone el art. 3 de la LOPD las siguientes definiciones:
  5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  6. g)Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. IV Alega en su descargo el denunciado, que el tratamiento de los datos personales del denunciante para recibir la llamada publicitaria, está legitimado sobre el consentimiento de aquel en base al contenido de la cláusula de política de privacidad de la web melollevoahora.com. Básicamente en el contenido del apartado 5 (
  7. i)y 6.2. Este último establece: “Cesión a terceras empresas. Del mismo modo, sus datos podrán ser cedidos a otras terceras empresas, con la finalidad de poder prestarle los servicios de publicidad y remitirle comunicaciones comerciales de estas terceras empresas, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, y/o para remitirle anuncios relacionados con los sectores especificados en el apartado 5 (
  8. i)de la presente Política de Privacidad.” De acuerdo con lo que establece el apartado 3 del artículo 11 de la LOPD, será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. En este sentido, cuando los datos personales recabados vayan a ser comunicados a otras compañías se deberá informar al usuario, de tal forma que éste pueda conocer explícitamente las finalidades determinadas a las que se destinarán los datos y el tipo de actividad del cesionario. En este caso de la cláusula informativa aportada puede inferirse que el afectado al que se le informa conoce estas circunstancias cuando presta su consentimiento. Sin embargo, en cuanto a la política de privacidad existente cuando el denunciante consintió, indicar que no ha aportado ningún indicio del que se infiera que se le facilitó dicha información. Del análisis del contrato firmado entre el titular de la bbdd y Salesland tampoco se desprende este extremo ya que únicamente se recoge información sobre el consentimiento de los usuarios para recibir información comercial de empresas pero no para la cesión de los datos a terceras. Así las cosas cabe concluir que Salesland no ha acreditado el proceso de inscripción, ni la política de privacidad que existía en la web ***WEB.1, en la fecha en la que manifiestan que el denunciante se dio de alta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 V En atención a lo expuesto, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado, esto es, el tratamiento para recibir llamadas publicitarias del denunciado. Asimismo, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (el subrayado es de la Agencia Española de Protección de Datos). El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. En el presente supuesto, como se ha expuesto en el fundamento anterior el tratamiento realizado vulnera el art. 6 de la LOPD al no haberse acreditado el consentimiento del denunciante. VI Dispone el artículo 44.3.
  9. b)de dicha norma que considera como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VII El artículo 45 de la LOPD, apartados 2,4 Y 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, se considera, de conformidad con el art. 45.5.
  25. a)LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso. - La naturaleza de los perjuicios causados al denunciante y el volumen de tratamientos, al tratarse de una única llamada. Asimismo, tras las evidencias obtenidas en la tramitación del presente procedimiento, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. - Gran empresa habituada al tratamiento de datos, cuya actividad se encuentra vinculada al tratamiento de datos con fines publicitarios. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SALESLAND S.L., por una infracción del artículo 6.1 de la LOPD en relación con el art. 11.3 de la misma norma, tipificada como grave en el artículo 44.3.
  26. b)de la LOPD, una multa de 5.000 €, de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a SALESLAND S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.