← España

PS-00240-2018

1/17 Procedimiento Nº: PS/00240/2018 RESOLUCIÓN R/01560/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00240/2018, instruido por la Agencia Española de Protección de Datos a CAIXABANK CONSUMER FINANCE, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 6 de junio de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAIXABANK CONSUMER FINANCE, S.A.. Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 2 de agosto de 2018 se emitió la propuesta de resolución que a continuación se transcribe: << PROCEDIMIENTO Nº.: PS/00240/2018 Mediante Acuerdo de fecha 25 de mayo de 2018 se inició procedimiento sancionador nº PS/00240/2018 instruido por la Agencia Española de Protección de Datos a CAIXABANK CONSUMER FINANCE, S.A. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), y a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información (LSSI), en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de enero de 2018, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito presentado por D. A.A.A. (en lo sucesivo, el denunciante), en el que formula denuncia contra la entidad CAIXABANK CONSUMER FINANCE, S.A. (en lo sucesivo, CAIXABANK), por el envío de cuatro mensajes de texto (SMS), no consentidos ni autorizados, de contenido comercial a su línea de telefonía móvil. Estos mensajes fueron recibidos en fecha 2 de octubre de 2017, 7 de noviembre de 2017, 20 de noviembre de 2017 y 4 de diciembre de 2017, respectivamente, pese a que en el contrato firmado entre ambos en mayo de 2017 el denunciante había marcado expresamente todas las casillas en las que no autorizaba el tratamiento de sus datos personales a efectos comerciales y para la oferta de productos, autorizando el tratamiento de los datos única y exclusivamente a los efectos imprescindibles para el perfeccionamiento del contrato. Además, afirma el denunciante que mantuvo dos comunicaciones telefónicas con CAIXABANK. Una en la que reitera su solicitud de cancelación de sus datos con fines C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 publicitarios y otra, posterior, por parte de CAIXABANK, en la que se le ofrece un préstamo y vuelve a decir que no quiere recibir más publicidad de esta entidad. También denuncia a CAIXABANK por el envío de tres correos electrónicos de contenido comercial a su dirección de correo ***EMAIL.1, remitidas desde la dirección de correo ***EMAIL.2, en fecha 10 de octubre de 2017, 21 de noviembre de 2017 y 21 de diciembre de 2017, respectivamente. Este último, enviado incluso después de que el denunciante hubiera manifestado de forma telefónica su voluntad de no recibir más publicidad por parte de CAIXABANK, según se indica en la denuncia. Por último, se denuncia que CAIXABANK ha enviado dos comunicaciones de publicidad postal a su domicilio, dirigidas al denunciante, con indicación de su dirección, detallando el piso y la puerta correspondiente. Entre otra documentación, el denunciante aporta: - Solicitud- Contrato/s de Financiación número ***CONTRATO.1, de fecha 31 de mayo de 2017, por la cual el denunciante solicita a CAIXABANK un contrato de crédito, el cual contiene una casilla marcada precedida del texto: “No autorizo el tratamiento de mis datos personales por parte de CaixaBank Consumer Finance con fines publicitarios y/o comerciales” y otra casilla marcada precedida del texto “No autorizo a CaixaBank Consumer Finance la cesión de mis datos personales con fines publicitarios y/o comerciales a los terceros indicados en las Condiciones Generales”. - Imágenes del terminal con los mensajes SMS recibidos, en los que se publicita CaixaBankCF. - Copia de los correos electrónicos recibidos por parte de CAIXABANK y de la cabecera completa del correo electrónico de fecha 21 de diciembre de 2017. - Dos publicidades postales de CAIXABANK, dirigidas al denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones siguientes: 1. Se solicitó información a la entidad CAIXABANK, la cual respondió lo siguiente: - El interesado mantiene una relación contractual con CAIXABANK, al tener suscrito un contrato de crédito, de fecha 31/05/2017, habiendo marcado en el correspondiente contrato la casilla por la cual no autorizaba el tratamiento con fines publicitarios y/o comerciales. - El envío de los SMS y correos electrónicos comerciales dirigidos al afectado se debió a un mero error humano que debe calificarse de puntual y excepcional, que ya ha sido corregido. - CAIXABANK reconoce los hechos sucedidos sin intencionalidad alguna, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 pues se debieron a un simple error humano ocasional, que se ha producido de manera aislada y que ha motivado una corrección inmediata de la incidencia a raíz de la reclamación. 2. Se comprueba que en los SMS remitidos por CAIXABANK no figura procedimiento alguno para oponerse al tratamiento de los datos personales con fines promocionales. 3. Por otra parte, en relación con la entidad CAIXABANK, los Servicios de Inspección destacaron que se trata de una gran empresa en su sector de negocio y está habituada al tratamiento continuo de datos personales. TERCERO: Con fecha 25 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAIXABANK CONSUMER FINANCE, S.A. por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

  1. b)de la misma; así como por la presunta infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
  2. d)de la citada Ley. CUARTO: Notificado el acuerdo de inicio, CAIXABANK, mediante escrito de fecha 11 de junio de 2018, formuló en síntesis las siguientes alegaciones: el reconocimiento voluntario de la responsabilidad; la aplicación del artículo 45.5.
  3. d)de la LOPD y del artículo 39 bis.1 de la LSSI, solicitando la aplicación de la escala relativa a la clase de infracciones que precede inmediatamente en gravedad, es decir, la escala de sanciones correspondientes a las infracciones leves; y la aplicación, en consecuencia, del artículo 39 bis.2 de la LSSI. Finalmente, solicita, a los efectos de lo previsto en el artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), la reducción de al menos el 20% del importe de la sanción, puesto que se ha reconocido voluntariamente la responsabilidad. QUINTO: Con fecha 9 de julio de 2018 se inició el período de práctica de pruebas, acordándose: Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/01130/2018. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00240/2018 presentadas por CAIXABANK. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1. El 23 de enero de 2018 tiene entrada en la AEPD escrito del afectado denunciando la recepción de publicidad de CAIXABANK, no consentida ni autorizada, a través de correo electrónico, llamadas de teléfono, mensajes SMS y correo postal. 2. El denunciante ha aportado: - Solicitud- Contrato/s de Financiación número ***CONTRATO.1, de fecha 31 de mayo de 2017, por la cual el denunciante solicita a CAIXABANK un contrato de crédito, el cual contiene una casilla marcada precedida del texto: “No autorizo el tratamiento de mis datos personales por parte de CaixaBank Consumer Finance con fines publicitarios y/o comerciales” y otra casilla marcada precedida del texto “No autorizo a CaixaBank Consumer Finance la cesión de mis datos personales con fines publicitarios y/o comerciales a los terceros indicados en las Condiciones Generales”. - Imágenes del terminal con los mensajes SMS recibidos, en los que se publicita CaixaBankCF. - Copia de los correos electrónicos recibidos por parte de CAIXABANK y de la cabecera completa del correo electrónico de fecha 21 de diciembre de 2017. - Dos publicidades postales de CAIXABANK, dirigidas al denunciante. 3. En los SMS remitidos por CAIXABANK no figura procedimiento alguno para oponerse al tratamiento de los datos personales con fines promocionales. 4. CAIXABANK es una gran empresa en su sector de negocio y está habituada al tratamiento continuo de datos personales. 5. En respuesta a requerimiento de esta Agencia, CAIXABANK ha respondido que: - El interesado mantiene una relación contractual con CAIXABANK, al tener suscrito un contrato de crédito, de fecha 31/05/2017, habiendo marcado en el correspondiente contrato la casilla por la cual no autorizaba el tratamiento con fines publicitarios y/o comerciales. - El envío de los SMS y correos electrónicos comerciales dirigidos al afectado se debió a un mero error humano que debe calificarse de puntual y excepcional, que ya ha sido corregido. - CAIXABANK reconoce los hechos sucedidos sin intencionalidad alguna, pues se debieron a un simple error humano ocasional, que se ha producido de manera aislada y que ha motivado una corrección inmediata de la incidencia a raíz de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 6. CAIXABANK, en escrito de fecha 11 de junio de 2018, ha reconocido “voluntariamente la responsabilidad por las infracciones que se le imputan en el procedimiento de referencia, solicitando que se disminuya en un grado la sanción aplicable, a tenor de los establecido en los artículos 45.5.
  4. d)de la LOPD y 39 bis.1 de la LSSI; y, en su caso, aplicando lo dispuesto en el artículo 39 bis.2 de la LSSI”. FUNDAMENTOS DE DERECHO I Se imputa a la entidad CAIXABANK CONSUMER FINANCE, S.A. una infracción a lo dispuesto en el artículo 21 de la LSSI, el cual dispone: “Artículo 21. Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes. 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. De acuerdo con el artículo 21 de la LSSI, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
  5. d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, si el sujeto había manifestado su voluntad en contra, aunque exista una relación contractual anterior, el envío de comunicaciones comerciales por medios electrónicos puede constituir una infracción de la LSSI. En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento sancionador, ha quedado acreditado que CAIXABANK es responsable del envío a la línea de telefonía móvil del denunciante de una comunicación comercial, mediante mensaje de texto (SMS), en fecha 4 de diciembre de 2017, y el envío de un correo electrónico con fines promocionales de fecha 21 de diciembre de 2017, (al encontrarse los otros SMS y correos denunciados prescritos), sin considerar la oposición a este tratamiento de sus datos personales manifestada por el denunciante, así como el envío de SMS comerciales en la citada campaña sin indicar ningún mecanismo de baja. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 II El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en él se recoge. De acuerdo con lo establecido en el artículo 38 de la LSSI, se consideran infracciones graves y leves las siguientes: “Artículo 38. Infracciones. 1. Las infracciones de los preceptos de esta Ley se calificarán como muy graves, graves y leves. (…) 3. Son infracciones graves:
  6. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
  7. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el presente caso y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se desprende es que el incumplimiento del artículo 21 de la LSSI que se denuncia se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
  8. d)de la vigente LSSI, toda vez que el envío de una comercial comunicación mediante mensaje de texto (SMS) y el envío de un correo electrónico con fines promocionales (al encontrarse los otros SMS y correos denunciados prescritos), habiendo manifestado el denunciado su negativa a este tipo de tratamiento de sus datos personales, no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no autorizadas por medios electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 A tenor de lo establecido en el artículo 39.1.
  9. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 euros. CAIXABANK ha solicitado en su escrito de fecha 11 de junio de 2018 que se disminuya en un grado la sanción aplicable, de acuerdo con lo que dispone el artículo 39 bis.1 de la LSSI, el cual establece: “1. El órgano sancionador establecerá la cuantía dela sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: (…)
  10. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad”. Si bien CAIXABANK ha reconocido su culpabilidad en el presente caso, no es posible establecer la cuantía de la sanción aplicando la escala relativa a las infracciones que preceden inmediatamente en gravedad a la que se imputa en este supuesto, toda vez que se trata de una infracción leve y no existe una infracción de menor gravedad. En cuanto a la graduación de la sanción que corresponde imponer a CAIXABANK por la comisión de la citada infracción leve a la LSSI, el artículo 40 de esta norma dispone lo siguiente: “Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  11. a)La existencia de intencionalidad.
  12. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  13. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  14. d)La naturaleza y cuantía de los perjuicios causados.
  15. e)Los beneficios obtenidos por la infracción.
  16. f)Volumen de facturación a que afecte la infracción cometida.
  17. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación con los criterios de graduación de las sanciones recogidos en el transcrito artículo 40 de la LSSI, tras las evidencias obtenidas en el procedimiento sancionador, se considera que en este supuesto actúa como agravante el criterio
  18. a)La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 existencia de intencionalidad, por cuanto se ha producido una falta de diligencia por parte de CAIXABANK al remitir el correo electrónico y el SMS sin considerar la oposición manifestada por el denunciante, y al realizar campañas comerciales sin incluir procedimientos para los que los destinatarios puedan solicitar el cese en la remisión de tales envíos, siendo exigible a la citada entidad una mayor diligencia debido a su volumen de negocio y el continuo tratamiento de datos personales que conlleva su actividad. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 40 de la LSSI, se propone una sanción de 20.000 € por la infracción del artículo 21 de la LSSI, de la que CAIXABANK debe responder. No obstante, como ya se señalaba en el acuerdo de inicio del presente procedimiento, se le reitera que en cualquier momento anterior a la resolución del procedimiento puede llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con el artículo 85.2 de la LPACAP, lo que supondría una reducción de un 20% del importe de la sanción propuesta, si bien la efectividad de la reducción indicada estaría condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción, debiéndolo poner en conocimiento de esta Agencia. III Uno de los principios básicos de la normativa reguladora del tratamiento de datos personales, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. Al respecto, el artículo 6.1 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” El derecho fundamental a la protección de datos, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos, así como el derecho a oponerse a la posesión o uso de estos. En el presente caso, se analiza la utilización de los datos personales del denunciante para la realización de acciones publicitarias de CAIXABANK, y se imputa una infracción de lo dispuesto en el artículo 6.1 de la LOPD citado. En relación con los tratamientos para actividades de publicidad y prospección comercial, también resulta de aplicación en este caso lo dispuesto en el artículo 30 de la misma Ley Orgánica y el artículo 45 y 46 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007 (en lo sucesivo, RLOPD), al haber realizado dicho tratamiento de datos aún después que el titular manifestara su negativa. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  19. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  20. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  21. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Y el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  22. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  23. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsables del tratamiento.
  24. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. Así pues, tanto la LOPD como su RLOPD, establecen que el tratamiento de datos personales con fines comerciales sólo es posible cuando exista consentimiento del afectado para ese tipo específico de tratamiento, y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad o, en su caso, sean datos personales procedentes de fuentes accesibles al público, y el afectado no hubiere manifestado su negativa a tal fin. IV El Título VII de la LOPD bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en él se recoge. De acuerdo con lo establecido en el artículo 44.3.
  25. b)de la LOPD, son infracciones graves: “
  26. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 en esta Ley y sus disposiciones de desarrollo”. Al respecto, el artículo 45.2 de la LOPD establece que: "Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €”. Tras las evidencias obtenidas en el procedimiento sancionador, se considera, de conformidad con el art. 45.5 LOPD y con lo solicitado por CAIXABANK en su escrito de 11 de junio de 2018, que procede aplicar la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  27. d)del citado artículo que establece: “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: (…)
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. (…)” De acuerdo con el artículo 45.4 de la LOPD: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  29. a)El carácter continuado de la infracción.
  30. b)El volumen de los tratamientos efectuados.
  31. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  32. d)El volumen de negocio o actividad del infractor.
  33. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  34. f)El grado de intencionalidad.
  35. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  36. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  37. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  38. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir la circunstancia prevista en el citado apartado
  39. d)cuando el infractor haya reconocido espontáneamente su culpabilidad del artículo 45.5 de la LOPD, motivo por el cual cabría la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave, pero debiendo sancionarse conforme a las multas establecidas para las infracciones leves (artículo 45.1 de la LOPD). Por otra parte, en cuanto a los criterios de graduación de las sanciones, se tiene en cuenta los apartados
  40. b)el volumen de los tratamientos efectuados,
  41. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal y
  42. d)el volumen de negocio o actividad del infractor del mencionado artículo 45.4 de la LOPD. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, se propone una sanción de 6.000 € por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30 de la misma Ley Orgánica y artículos 45 y 46 de su Reglamento de desarrollo, de la que CAIXABANK debe responder. No obstante, como ya se señalaba en el acuerdo de inicio del presente procedimiento, se le reitera que en cualquier momento anterior a la resolución del procedimiento puede llevar a cabo el pago voluntario de la sanción propuesta de conformidad con el artículo 85.2 de la LPACAP, lo que supondría una reducción de un 20% del importe de la sanción propuesta, si bien la efectividad de la reducción indicada estaría condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción, debiéndolo poner en conocimiento de esta Agencia. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a CAIXABANK CONSUMER FINANCE, S.A. con multa de 26.000 euros (veintiséis mil euros) por la infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificada como grave en el artículo 44.3.
  43. b)de la citada Ley Orgánica; así como por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información, tipificada como leve en el artículo 38.4.
  44. d)de la citada Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 5.200 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 20.800 euros y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 73.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Asimismo, se advierte sobre su derecho a acceder y obtener copia de los documentos contenidos en el procedimiento sancionador de referencia. M.M.M. SEGUNDO: En fecha 7 de agosto de 2018, CAIXABANK CONSUMER FINANCE, S.A. ha procedido al pago de la sanción en la cuantía de 20800 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Es competente la Directora de la Agencia Española de Protección de Datos para sancionar las infracciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la citada norma; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  45. d)e
  46. i)y 38.4 d),
  47. g)y
  48. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00240/2018, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK CONSUMER FINANCE, S.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.