PS-00233-2017

1/9 Procedimiento Nº: PS/00233/2017 RESOLUCIÓN R/01902/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00233/2017, instruido por la Agencia Española de Protección de Datos a la entidad WIZINK BANK S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 8/06/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad WIZINK BANK S.A., mediante el Acuerdo que se transcribe: <<…HECHOS PRIMERO: Con fecha 5 de septiembre de 2016 tiene entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) comunicando que con fecha 14/07/2016 recibió una llamada telefónica de la línea ***TEL.1 en que un operador que se identifica de SalesLand le ofrece una tarjeta de Banco Popular. Debido a problemas anteriores con Banco Popular solicitó la cancelación de sus datos a esta entidad. Y, entre otra, anexa la siguiente documentación:  Grabación de la llamada telefónica de fecha 14/07/2016  Documento de Banco Popular de fecha 14/11/2012 en que le comunican que sus datos han sido bloqueados.  Facturas telefónicas emitidas por su operador Vodafone SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizan visita de Inspección a las entidades Banco Popular, S.A., Wizink Bank S.A. y SalesLand, S.L. levantando Actas de Inspección y teniendo conocimiento de que:

1. a)Vodafone certifica la existencia de una llamada realizada desde la línea ***TEL.1 a la línea del reclamante número C.C.C. en fecha 14/07/2016.
2. b)En Banco Popular, S.A. se ha verificado que en los ficheros de clientes, al consultar los datos asociados al DNI B.B.B. se obtiene el mensaje “ACCESO RESTRINGIDO. CONSULTE CON SU INTERVENTOR”. A la vista de este resultado, los representantes de la entidad manifiestan que los datos asociados a este cliente se encuentran bloqueados y no es posible acceder a los mismos sin los privilegios de acceso adecuados. En relación con las campañas comerciales realizadas, los representantes de la entidad realizan las siguientes manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 El público objetivo de las campañas lo forma normalmente clientes con productos en activo en el banco que superan los filtros internos (no desean recibir información comercial ni están en Lista Robinson). Las campañas se organizan o determinan por el propio Banco Popular. Los clientes cuyos datos están bloqueados no son accesibles por los comerciales que elaboran listas de público objetivo. Las sucursales de Banco Popular pueden ocasionalmente, contactar con sus propios clientes para ofrecerles nuevos productos y servicios pero no son autónomas para contratar con terceras entidades la realización de campañas comerciales a potenciales clientes, ni realizar extracciones de público objetivo del fichero de clientes. En relación a la llamada comercial realizada al reclamante, los representantes de Banco Popular realizan las siguientes manifestaciones: A fecha de julio de 2016 Banco Popular no llevó a cabo campañas comerciales de tarjetas de Wizink Bank S.A. (en lo sucesivo el denunciado) como la que da lugar a la denuncia. Por tanto el contacto comercial que se ha registrado no ha sido realizado por Banco Popular. El interlocutor de la llamada ofrece la posibilidad de contratar una tarjeta “Wizink de Banco Popular”. Según indican los representantes de la entidad, Wizink está participada por Banco Popular, pero se trata de una entidad independiente que realiza sus propias campañas comerciales. En las sucursales de Banco Popular sí se puede ofertar a los clientes la contratación de tarjetas de Wizink Bank S.A., pero en julio de 2016 no se realizaron ni subcontrataron campañas comerciales telefónicas sobre las mismas.
3. c)El fichero de clientes de la entidad denunciada no tiene datos asociados al DNI B.B.B. ni a nombre de A.A.A.. A la vista de este resultado, los representantes de la entidad denunciada manifiestan que los datos asociados a esta persona no están incluidos en su fichero de clientes. En relación con las campañas comerciales realizadas por dicha entidad, los representantes de la misma realizan las siguientes manifestaciones: La entidad no dispone de ficheros de potenciales clientes, para sus campañas comerciales subcontrata diferentes intermediarios financieros que, con sus propias bases de datos, contactan con los potenciales clientes, y en caso de que acepten contratar una tarjeta de WiZink Bank, se desplaza un comercial y rellenan una solicitud/contrato de tarjeta que se transfiere al banco. Con la finalidad de dar promoción y venta de las tarjetas de crédito de WiZink Bank firman contratos con los intermediarios financieros, y para cada campaña comercial, un anexo que contiene, entre otros, la zona territorial y las fechas de principio y fin de la campaña. Los representantes de la entidad consideran que el intermediario financiero actúa como responsable de su propia base de datos de potenciales clientes. Una vez que el potencial cliente es contactado y acepta la visita de un comercial, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 intermediario financiero, actuando como encargado del tratamiento de datos por cuenta de WiZink Bank, se cita con el interesado para cumplimentar la solicitud/contrato de tarjeta, tal como figura en el contrato de intermediación. En relación a la llamada comercial realizada al reclamante, la entidad denunciada manifiesta que: En la grabación se escucha que el intermediario financiero responsable de extraer el teléfono del reclamante y de realizar la llamada comercial es Salesland S.L. Salesland, ha utilizado para esta campaña su propia base de datos de potenciales clientes, que en ningún caso ha sido facilidada por WiZink Bank. Aportan copia del contrato de intermediación con SalesLand, en el que figura que el CIF de esta entidad es B ******* y su sede social es (C/...1), Madrid. Consta en la cláusula VII F) del citado contrato que: “LA INTERMEDIARIA facilitará al cliente las condiciones de contratación de los productos financieros, ajuntándose a los parámetros previamente acordados con el BANCO, y recogidos en el ANEXO…” También se aporta copia del anexo al contrato para la campaña comercial que dio lugar a la llamada al reclamante en fecha 14 de julio de 2016. Este documento contiene que el ámbito territorial de la campaña incluye la provincia de Cádiz y la fecha de inicio y final es entre el 1 de julio de 2016 al 30 de septiembre de 2016.
4. d)La entidad SalesLand, S.L. presta servicios de intermediación financiera para la comercialización, entre otros productos, de tarjetas de crédito de las entidades financieras con las que mantienen una relación contractual, entre ellas WiZink Bank. Para ello alquilan bases de datos a diferentes proveedores y contactan telefónicamente con los potenciales clientes. Si el cliente muestra interés por el producto, se concierta una visita comercial en su domicilio, lugar de trabajo, etc. La entidad propietaria de la base de datos personales de potenciales clientes, cede temporalmente el uso de ésta a SalesLand para una campaña comercial concreta. Por su parte SalesLand actúa como Responsable del Tratamiento de los datos de la citada base de datos. La base de datos alquilada se carga en sus sistemas para realizar marcaciones automáticas. Cuando el sistema realiza la llamada, el puesto de trabajo del operador muestra los datos personales de la persona contactada. Antes de realizar las llamadas comerciales, la base de datos a utilizar se filtra con el Fichero Robinson de AD Digital, bien por el proveedor o bien por la propia SalesLand. Además la entidad mantiene un fichero Robinson propio con aquellos que han ejercitado su derecho de oposición a recibir información comercial. Y también se realiza un filtrado previo de la base de datos, antes de ponerla en producción. Si el interesado acepta recibir una visita de un comercial, los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 de éste se graban en el fichero denominado FDAP, que contiene los datos de identificación del cliente junto con los de la cita (fecha, hora y dirección). Una vez finalizada la campaña comercial se borran todos los datos de los ficheros FDAP y Fichero de Carga. Cuando el comercial visita al interesado SalesLand actúa como Encargado del Tratamiento por cuenta de la entidad financiera que ofrece el producto. De este modo, si se acepta la contratación, se rellena un formulario, se recaba copia de la documentación identificativa necesaria y se remite a la citada entidad financiera. En relación a la campaña comercial realizada en Jerez de la Frontera en julio de 2016, los representantes de la entidad realizan las siguientes manifestaciones: Para la realización de las llamadas de contacto a los potenciales clientes, SalesLand suscribió un contrato de entrega de datos con eGENTIC GmbH que comercializa una base de datos generados por Planet49 GmbH. Aportan copia del contrato suscrito por SalesLand S.L. y eGENTIC Gmbh con domicilio en Alemania en fecha 20/09/2013 y del anexo para la utilización de los datos en la campaña de julio de 2016, firmado en fecha 4 de julio de 2016. Consta en el contrato que el acuerdo contempla la entrega de los datos, para un único uso efectico y que el PARTNER (SalesLand, S.L.) determinará la identificación de los parámetros de los destinatarios de la campaña. Los datos de los potenciales clientes contactados y de los que aceptaron la visita de algún comercial, ya no están en los ficheros de SalesLand Se ha verificado que ni fichero FDAP ni Fichero de Carga contienen datos asociados a la línea C.C.C. Los representantes de SalesLand, solicitan a eGENTIC información relativa al consentimiento de D. A.A.A. con número de teléfono C.C.C. para la utilización de sus datos con la finalidad de ofrecer información comercial del sector financiero, aportando la siguiente documentación: Certificado de eGENTIC en el que se refleja que el afectado se inscribió en fecha 22/11/2015 en un sorteo en la web www.melollevoahora.com dando su consentimiento expreso para recibir ofertas comerciales de terceros, permaneciendo de alta en la base de datos de Planet49 a fecha 18/04/2017 eGENTIC aporta impresión de pantalla de los datos relativos a D. A.A.A. que figuran en Planet49 (con domicilio en Alemania), en el que consta como número de teléfono de contacto C.C.C.. También contiene la dirección IP y la fecha de registro. Procedimiento actual para darse de alta en la base de datos de Planet49 en el que se observa que es necesario aceptar la política de protección de datos. Política de Privacidad de Planet49 relativa a los datos recogidos en www.melollevoahora.com, en la que figura Sus datos de carácter personal podrán ser utilizados por Planet con las siguientes finalidades: (
5. i)la prestación de servicios de publicidad y prospección comercial, incluyendo la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 remisión al usuario mediante cualquier canal, incluidos los electrónicos, de ofertas e información de productos y servicios tanto propios como de terceras empresas exclusivamente pertenecientes a los sectores de: •Telecomunicaciones: Productos y Servicios de telecomunicaciones y tecnología. •Financiero: Prestados por entidades financieras, Aseguradoras y de Previsión social. •Seguros: Productos relacionados con salud, automóvil, hogar y otros servicios de seguros. •Ocio: Editorial, Turismo, Deportes, Coleccionismo, Fotografía, Pasatiempos. Juguetería, Transporte, Jardinería, Hobbies, Loterías, peñas de loterías, Comunicación y entretenimiento. •Gran consumo: Electrónica, Informática, Textil, Imagen y Sonido, Complementos, Hogar, Bazar, Cuidado personal (Cosmética, Perfumería, Parafarmacia, especialidades Farmacéuticas publicitarias) Mobiliario, Alimentación y Bebidas, Material de oficina. Moda y decoración. •Automoción: Productos y Servicios relacionados con el Automóvil, Motocicletas, Camiones. •Energía y agua: Productos relacionados con la Electricidad, Hidrocarburos, Gas y Agua. •ONG: Productos y Servicios relacionados con ONG's. •Joyería y piedras preciosas: productos y servicios relacionados con la joyería, bisutería y piedras preciosas. •Educación. Asimismo en cuanto a la cesión de datos, se recoge: “Cesión a terceras empresas. Del mismo modo, sus datos podrán ser cedidos a otras terceras empresas, con la finalidad de poder prestarle los servicios de publicidad y remitirle comunicaciones comerciales de estas terceras empresas, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica equivalentes, y/o para remitirle anuncios relacionados con los sectores especificados en el apartado 5 (
6. i)de la presente Política de Privacidad.” FUNDAMENTOS DE DERECHO Los hechos expuestos podrían suponer por parte del denunciado una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) que regula: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, en relación con el art. 11.3 de la LOPD que establece: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” Infracción está tipificada como grave en el artículo 44.3.
7. b)de la LOPD, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Dicha infracción podría ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5.
8. a)LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso. - La naturaleza de los perjuicios causados al denunciante y la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. - Gran empresa habituada al tratamiento de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a WIZINK BANK S.A. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
9. b)de la citada Ley. 2. NOMBRAR como Instructor a Dña. (…) y como Secretario a D. (…), indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección E/06264/2016 todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
10. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
11. b)del RLOPD, la sanción que pudiera corresponder sería de 3000 Euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a WIZINK BANK S.A. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
12. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
13. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 600 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 2400 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 600 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 2400 Euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1800 Euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (2400 Euros o 1800 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00233/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
14. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. SEGUNDO: En fecha 28/06/2017 la entidad WIZINK BANK S.A. ha procedido al pago de la sanción en la cuantía de 1800 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 27/06/2017 tuvo entrada en esta Agencia escrito de la entidad WIZINK BANK S.A., de fecha 26/06/2017, en que reconoce expresamente su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00233/2017, de SEGUNDO: NOTIFICAR la presente resolución a WIZINK BANK S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es