← España

PS-00271-2018

1/22 Procedimiento Nº PS/00271/2018 RESOLUCIÓN: R/01752/2018 En el procedimiento sancionador PS/00271/2018, instruido por la Agencia Española de Protección de Datos a la entidad RAPIDO FINANCE S.L.U., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 21/12/2017, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que pone de manifiesto que, con fecha 20/12/2017, ha recibido un SMS publicitario con origen en “LunaCredit” sin tener relación previa con la entidad. Añade que estos mensajes no ofrecían ningún método para darse de baja. En el mismo escrito indica el denunciante que la línea en la que ha recibido los SMS (***TELEFONO.1) figura inscrita en el Servicio de Lista Robinson, por lo que es un claro supuesto de publicidad no deseada. Afirma que se puso en contacto con la entidad responsable de “LunaCredit” a través de su perfil de Facebook para que eliminaran sus datos y aporta el texto de la conversación que mantuvo con la misma mediante mensajería instantánea, durante la cual le informan que el origen de sus datos puede ser la suscripción a través de un proveedor externo de marketing. En relación con el procedimiento de baja frente a “LunaCredit” le informan que debe enviar una copia del DNI o NIE a arco@lunacredit.es. El denunciante advierte que no es cliente de “LunaCredit”, por lo que le manifiestan que debe solicitar la baja a aquellos proveedores a los que esté suscrito. Según la información aportada, el texto del mensaje recibido es el siguiente: “Hola, Lunacredit te presta hasta 1000eur para que tengas las mejores Navidades http://bit.ly/PrestamosLunaCredit Este año los regalos pídeselos a la luna!”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las comprobaciones siguientes: 1. La entidad Telefónica Móviles España, S.A.U (en lo sucesivo TME) confirmó que, en fecha 20/12/2017, la línea ***TELEFONO.1 recibió un SMS con identificación del emisor “LunaCredit”. 2. La titularidad de la web “lunacredit.es” corresponde a la entidad RAPIDO FINANCE, S.L.U. (en lo sucesivo RAPIDO FINANCE). En respuesta al requerimiento de información que le fue remitido por los Servicios de Inspección de esta Agencia, RAPIDO FINANCE informó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 Que RAPIDO FINANCE, cuya marca comercial es “LunaCredit”, tiene por objeto la prestación de créditos al consumo. RAPIDO FINANCE tiene formalizada una relación con la entidad ADGOALS MEDIA, S.L. (en lo sucesivo ADGOALS), dedicada a la prestación de servicios de comparación de entidades crediticias dedicadas a la prestación de microcréditos, así como la intermediación de usuarios y entidades prestatarias, para la solicitud de préstamos personales a través de una plataforma online de su titularidad. En relación con la actividad de ADGOALS, dice RAPIDO FINANCE que deben diferenciarse dos escenarios: - - ADGOALS es titular de una plataforma que ofrece servicios a los consumidores que hayan solicitado la información acerca de la contratación de un microcrédito. En caso de tramitar una solicitud, el interesado proporciona sus datos a ADGOALS y acepta los términos y condiciones de dicha plataforma. Asimismo, ADGOALS determina la segmentación sobre la que desea impactar comercialmente en caso de remitirle comunicaciones comerciales sobre los productos y servicios ofertados por medio de la plataforma, sin que los terceros sobre los que versa tengan constancia de la misma. En los casos en los que el interesado decida continuar con la contratación, los datos de los interesados son trasladados a la empresa prestamista, con la finalidad de gestionar la contratación del servicio. En este supuesto, como ADGOALS presta un servicio de intermediación a RAPIDO FINANCE, se firmó un contrato de acceso a datos, en el que ADGOALS es encargado de tratamiento de RAPIDO FINANCE, de fecha 12/12/2017. Los datos personales del denunciante fueron obtenidos conforme al primero de los escenarios descritos, es decir, a través de la plataforma gestionada por ADGOALS, según los procedimientos definidos por ésta y de acuerdo a los términos y política de privacidad de la misma. ADGOALS le informó que los datos del titular de la línea a la que se refiere la denuncia se inscribieron en sus bases de datos el 17/01/2017, es decir, doce meses antes de que se iniciara la relación entre RAPIDO FINANCE y ADGOALS. Según RAPIDO FINANCE, las campañas emitidas por ADGOALS son diseñadas y gestionadas exclusivamente por la misma, aunque se reflejen en tales campañas productos relativos a LunaCredit. La gestión referida implica tanto aquellos aspectos relativos a diseño de la campaña como a la elección de los destinatarios de las mismas, dado que el impacto se efectúa sobre la base de datos de esta, sobre la que RAPIDO FINANCE no tiene información. La entidad responsable de cumplir las previsiones de la LOPD y de la LSSI es en todo caso ADGOALS, por aplicación de lo dispuesto en el art. 46 RDLOPD y en su condición de Prestador de Servicios de la Sociedad de la Información. Añade RAPIDO FINANCE que en sus bases de datos no consta ninguno relativo al denunciante. Asimismo, señala que ADGOALS le ha informado que los datos del denunciante fueron obtenidos por medio de la plataforma online, a través de la url C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 http://www.1credito.es/, a partir de la cual alimenta su base de datos y define el público objetivo al que realiza campañas contratada por terceros. Según la información aportada por ADGOALS a RAPIDO FINANCE, el número de campañas emitidas por la primera entidad citada en el mes de diciembre de 2017 supuso el envío aproximado de 687.000 SMS. “RAPIDO FINANCE no interviene en la definición ni envío sobre los que se realizaron las campañas, ni participaba en su definición o realización de manera directa”. Respecto de los contactos del denunciante con RAPIDO FINANCE, señala esta entidad que se tuvo conocimiento de la solicitud de oposición formulada por aquel el 20/12/2017 a través de mensaje privado en el perfil corporativo de la red social Facebook. A estos efectos se gestionó con total celeridad la solicitud efectuada. Tras verificar que los datos no constaban en la base de datos se dio traslado a ADGOALS a fin de garantizar el derecho de oposición del titular de la línea. La solicitud fue gestionada en el plazo de 24 horas A tal efecto, se acompaña copia de las conversaciones mantenidas con ADGOALS, fechadas el 21/12/2017, relativas a la gestión del derecho ejercido por el denunciante. Con su respuesta, RAPIDO FINANCE aporta la documentación siguiente: . Copia de un contrato de “acceso a datos de ADGOALS por cuenta de RAPIDO FINANCE de 12/12/2017, en el que se indica, entre otras cuestiones, lo siguiente: El Responsable del fichero (RAPIDO FINANCE) es una entidad dedicada a la oferta y comercialización de créditos al consumo, cuya solicitud, gestión y concesión a distancia, a través de medios electrónicos (plataforma online, SMS y teléfono) y el Encargado del tratamiento (ADGOALS) es una entidad dedicada a la prestación de servicios de comparación de entidades crediticias dedicadas a la prestación de microcréditos, así como a la intermediación entre usuarios y entidades prestatarias, para la solicitud de préstamos personales a través de una plataforma online de su titularidad. (…) Las partes han alcanzado un acuerdo para la oferta de los servicios comercializados por el Responsable del Fichero a través de la plataforma titularidad del Encargado del tratamiento, así como para la intermediación en la solicitud y concesión del crédito al consumidor (…) (…) el encargado del tratamiento, como consecuencia de la prestación de los servicios descritos a favor del responsable del fichero, podrá acceder y procede al tratamiento de determinados ficheros de titularidad del Responsable del fichero (…) La finalidad del tratamiento es llevar a cabo las (…) actuaciones que resulten necesarias para prestar al Responsable del fichero los Servicios contratados, de conformidad con lo establecido en el Contrato de Prestación de Servicios (…) también recoge que el encargado se ajustara a las (…) instrucciones que, en cada momento, le indique el Responsable del fichero (…). 3. Mediante escrito de fecha 03/05/2018, por los servicios de inspección de la Agencia se solicitó a RAPIDO FINANCE que aportara el contrato entre ADGOALS y aquella respecto del que se deriva el tratamiento de datos objeto de análisis, es decir el Contrato de Prestación de Servicios al que se hace referencia en el contrato de acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 a datos arriba referenciado, y en el que se recogiera, en especial, el envío de SMS y la obligación de identificar como remitente a RAPIDO FINANCE, así como las garantías contractuales que ADGOALS ofrecía a aquella y las órdenes de trabajo o instrucciones que se hubiesen dictado en ejecución del mencionado contrato. Mediante escrito de fecha de entrada 29/05/2018, RAPIDO FINANCE informó que no existe contrato de prestación de servicios que regule con detalle los servicios prestados; a estos efectos, para cada campaña se mantienen conversaciones privadas mediante las cuales son concretados los aspectos básicos de la misma. Aporta ejemplo de conversaciones entre RAPIDO FINANCE y ADGOALS en las que se determinan los criterios de la campaña publicitaria de que se trate y factura en la que se detallan las directrices básicas de la campaña. En cuanto a las garantías ofertadas por ADGOALS, se remiten al contrato de 12/12/2017, que obliga a ADGOALS al cumplimiento de la normativa de protección de datos y reserva a RAPIDO FINANCE el derecho a verificar y supervisar dicho cumplimiento; y en cuanto a las órdenes de trabajo, instrucciones o cualquier documentación que acote o determine la prestación de los servicios, se remiten a la existencia de conversaciones llevadas a cabo a través de Skype, en las que se acuerdan los aspectos de la campaña. Sobre el origen de los datos, aportan un correo electrónico de ADGOALS, en el que se manifiesta que el registro relativo al denunciante, en el que constan los datos relativos a nombre, apellido, email (***EMAIL.1) y teléfono (***TELEFONO.1), se incorporó a la base de datos en fecha de 17/02/2017 desde www.1credito.es, (cuya página web es un afiliado de ADGOALS), aceptando la política de privacidad en zen.creditozen.es/template/privacy. Informan que no utilizan verificación. 4. En la página web zen.creditozen.es/template/privacy consta lo siguiente: (…) inmediatamente después de que el Cliente envíe su solicitud para obtener un microcrédito, Zen Finance Ltd: procesará y enviará estos datos personales a uno o más de los Socios que colaboran con Zen Finance Ltd. Mediante el envío de la solicitud a través de Zen Finance Ltd., el Cliente acepta todos los principios de esta Política, permitiendo así que Zen Finance Ltd. o sus Socios se comuniquen con el Cliente utilizando la dirección de correo electrónico y el número de teléfono para procesar la solicitud y ofrecer sus servicios, de la manera más adecuada para el Cliente. Los Socios de Zen Finance Ltd se reservan el derecho de verificar y evaluar la situación financiera del Cliente con la participación de terceros. Zen Finance Ltd. no ofrece ningún tipo de servicios financieros por sí misma (…) La información que recopilamos Zen Finance Ltd. acumula la información personal de los usuarios del Sitio web mediante el procesamiento de las solicitudes de los clientes potenciales y reales. La información de contacto y financiera que es procesada por Zen Finance Ltd. se utiliza para proporcionar los servicios de información descritos anteriormente. Los datos técnicos de los ordenadores de los usuarios, así como el progra***B, son recogidos y procesados automáticamente por Zen Finance Ltd., y pueden ser transferidos a terceros para su análisis. Estos datos incluyen: la dirección IP, el tipo de navegador, el nombre de dominio, las horas de acceso y las direcciones de las páginas web a través de cuales el usuario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 llega al Sitio web de Zen Finance Ltd... La información mencionada anteriormente se utiliza para mejorar la calidad de nuestros servicios y generar estadísticas de uso del Sitio web de Zen Finance Ltd. 5- En fecha de 03/05/2018 se accede al sitio web www.1credito.es verificándose que el responsable de la página web es LOMBER CAPITAL, S.L. En dicho sitio web se indica la dirección de correo electrónico clientes@1credito.es. Se verifica que la página web tiene habilitado un procedimiento de solicitud de créditos en el que se requiere que el usuario complete determinados campos mediante los que se solicitan datos personales (nombre y apellidos, DNI/NIE, Nacionalidad, género, estado civil, cantidad de hijos, Fecha y lugar de nacimiento, dirección de correo electrónico, teléfono móvil, etc...). Las condiciones generales de la página web, respecto de la protección de datos de carácter personal, constan incorporadas a las actuaciones. Mediante escrito de fecha 03/05/2018, se solicitó información a LOMBER CAPITAL, a la dirección que figura en la página web y en el Registro Mercantil Central, figurando devuelto por “desconocido”. 6. En fecha de 16/05/2018, se recibió escrito de ADGOALS, que responde al requerimiento que le fue realizado por los Servicios de Inspección de esta Agencia. En dicho escrito, la citada entidad se limitó a manifestar que no ha recibido oposición ni desistimiento por parte del titular de la línea ***TELEFONO.1, el cual aceptó su uso dando el consentimiento en la solicitud de una compra de vehículo. Con su escrito de respuesta, ADGOALS aportó la siguiente documentación: . Factura de compra de la base de datos de la empresa Iahorro Businnes Solutions, S.L. (emisor de la factura) por parte de Zen Media Internacional OU (Cliente), fechada el 18/12/2017. A este respecto, los Servicios de Inspección destacan en su Informe de Actuaciones que Zen Media Internacional OU y ADGOALS tienen el mismo administrador. . Aportan copia de un contrato, de fecha 18/12/2017, suscrito por Zen Media Internacional OU (identificado en el contrato como EL COLABORADOR) y Iahorro Businnes Solutions, S.L. (el CLIENTE), en virtud del cual EL COLABORADOR presta un servicio de acciones de marketing y generación de leads por cuenta del CLIENTE, cuyo destinatario (EL BENEFICIARIO) será la sociedad que figure en la correspondiente orden de compra (en la que se especificaran cada uno de los servicios a prestar por el COLABORADOR, en cada caso). La fotocopia aportada incluye una “Orden de compra” de 18/12/2017, en la que se encarga la realización de una campaña mediante “Acción SMS List Broker” para los días “Entre el 19 y 22”. Entre otras estipulaciones, en el mencionado contrato se conviene lo siguiente: Cláusula PRIMERA -objeto y servicios: Los servicios que el COLABORADOR prestara a IAHORRO consistirán en campañas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 de captación de leads para EL CLIENTE, a través de (

  1. i)campañas de display, (
  2. ii)campañas de emailmarketing, (iii) campañas de afiliación y otros servicios especificados en la orden de compra correspondiente. Cláusula SEPTIMA- Protección de Datos y cookies, 7.2 Datos captados por el colaborador y cesión de datos, figura lo siguiente: (…) el COLABORADOR, podrá recabar directamente datos personales de usuario y cederlos a IAHORRO y/o al BENEFICIARIO. EL COLABORADOR declara actuar y se compromete a cumplir conforme a los principios establecidos por la legislación vigente en materia de protección de datos personales y, en concreto, por la LOPD y RDLOPD, la LSSI y la LGT. Específicamente, el COLABORADOR garantiza: (
  3. i)Que los datos de carácter personal han sido facilitados u obtenidos por los propios titulares de los datos con su consentimiento para la cesión de los datos a IAHORRO y/o al BENEFICIARIO, como cesionarios de los datos. (…) 7.3 BBDD generadas mediante Co-registro figura lo siguiente: (…) el COLABORADOR podrá llevar a cabo la generación de registros para IAHORRO y/o el BENEFICIARIO a través de la incorporación de la Política de Privacidad de IAHORRO y/o el BENEFICIARIO en fórmulas de captación de datos online, de forma que los usuarios acepten expresamente tanto la Política de Privacidad de IAHORRO como la del BENEFICIARIO, obteniendo así el co-registros de dichos datos. En estos casos, ambas partes declaran conocer y respetar las obligaciones establecidas en la LOPD, en su calidad de responsables del fichero. En caso de que la generación de registros se realice para el BENEFICIARIO a través de la incorporación de su Política de Privacidad en formularios de captación de datos online gestionados por el COLABORADOR, en este tipo de colaboración comercial IAHORRO tendrá la consideración de mero intermediario, y solo tratara los datos responsabilidad del BENEFICIARIO a los que, en su caso, pudiera tener acceso en su condición de encargado del tratamiento, conforme al art. 12 de la LOPD. (…) IAHORRO deberá facilitar al COLABORADOR la política de privacidad correspondiente para su implementación en la landing de captación. . Sobre el origen del dato de la línea telefónica citada y de los datos asociados a dicha línea: Aportan una comunicación sin ninguna identificación sobre su emisor ni del destinatario, en la que se detalla la captación de los datos personales relativos al denunciante mediante la cumplimentación de un formulario de contacto para la solicitud de información sobre un vehículo en la web auto10.com, en fecha 29-112017, con los siguientes registros Nombre: ***B Apellido: ***C Email: ***EMAIL.1 Teléfono: ***TELEFONO.1 En relación con dicha web, se indica expresamente lo siguiente: “En sus condiciones legales… tenemos incluido que estos datos los podemos ceder a terceros para el uso y la explotación para canales como el SMS”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 Y se añade: “(…) solo hacemos optim del Email, por lo que no hay validación del teléfono (…)”. Al pie de este escrito incluye un “http://www.auto10.com/estatica/condiciones-legales”. enlace a la url 7- La página web www.auto10.com es titularidad de ENLARED AUTO10, S.L. En el sitio web http://www.auto10.com/estatica/condiciones-legales figura la política de privacidad de la entidad, que consta incorporada a las presentes actuaciones. TERCERO: Con fecha 19/06/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a RAPIDO por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  4. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2. CUARTO: Notificado el acuerdo de inicio, RAPIDO mediante escrito de fecha 06/07/2018 formuló en síntesis las siguientes alegaciones: su ausencia de responsabilidad; la mala fe de la entidad Adgoals; la adopción de medidas para que el denunciante no recibiera comunicaciones comerciales y productos de Adgoals, solicitando el archivo del expediente. QUINTO: Con fecha 29/08/2018 se inició el período de práctica de pruebas, acordándose las siguientes: Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00881/2018. Dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00271/2018 presentadas por RAPIDO. Todo ello con su correspondiente documentación adjunta. Solicitar al denunciante copia de la documentación que obrara en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia o cualquier otra manifestación en relación con los hechos denunciados. SEXTO: En fecha 22/10/2018, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a RAPIDO por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  5. b)de dicha norma, con multa de 1.500 € (mil quinientos euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de RAPIDO solicito copia del expediente; copia que le fue remitida con relación a los documentos que no obraban en su poder. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 La representación de RAPIDO en escrito de 15/11/2018 presento escrito reiterando lo alegado con anterioridad y, además: la ausencia de culpabilidad de su representada en los hechos denunciados y el archivo de las actuaciones. HECHOS PROBADOS PRIMERO. En fecha 21/12/2017 tiene entrada en la AEPD escrito del denunciante en el que manifiesta que ha recibido un SMS publicitario cuyo remitente es “LunaCredit” sin que tenga relación alguna con la citada entidad, desconociendo de donde han podido sacar la información acerca de su móvil, puesto que la línea asociada al mismo en la que ha recibido el SMS (***TELEFONO.1) figura inscrita en el Servicio de Lista Robinson, por lo que es un claro supuesto de publicidad no deseada. SEGUNDO. El denunciante ha aportado impresión de captura de pantalla de móvil en el que figura el nombre del remitente: LunaCredit, el día y hora: miércoles 20/12/2017, a las 16:44, señalando “Hola, Lunacredit te presta hasta 1000eur para que tengan las mejores Navidades http://bit.ly/PrestamosLunaCredit. ¡Este año los regalos pídeselos a la luna!” TERCERO. Telefónica Móviles España, S.A.U en escrito de 02/03/2018 ha confirmado que el 20/12/2017 la línea de telefónica móvil asociada al número ***TELEFONO.1 recibió un SMS con identificación del emisor “LunaCredit”. CUARTO. ADIGITAL, Asociación Española de la Economía Digital, entidad que gestiona el fichero de exclusión denominado Lista Robinson ha señalado: “Que el denunciante, con DNI… se dio de alta en el Servicio de Lista Robinson en las fechas que se relacionan a continuación: En el canal para no recibir llamadas Móvil ***TELEFONO.2 con fecha 26/06/2012 Fijo ***TELEFONO.3 con fecha 28/06/2012 En el canal para no recibir sms/mms Móvil ***TELEFONO.1 con fecha 28/06/2012 En el canal para no recibir correo postal (…) En el canal para no recibir correo electrónico gi_nrok@hotmail.com con fecha 28/06/2012 QUINTO. Consta diligencia del inspector actuante de 24/01/2018 en la que adjunta información obtenida de internet relacionada con la denuncia relativa a LunaCredit en la que se señala que “RAPIDO es la compañía española con NIF número B93.366.862 y domicilio en la calle Plaza Carlos Trías Bertrán, 4, 28020 Madrid, España (…) titular de la web LunaCredit.es. A través del Sitio Web LunaCredit ofrece sus servicios de préstamos online a consumidores a los usuarios de Internet” (folio 17). Asimismo, consta que su objeto social es la concesión bajo la forma de pago aplazado y por cualquier importe de préstamos, de dinero a crédito, apertura de crédito, etc. (folio 37). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 SEXTO. RAPIDO en escrito de 14/03/2018 ha manifestado que los datos personales del denunciante fueron obtenidos de la plataforma gestionada por ADGOALS, empresa con la que RAPIDO tiene suscrito un contrato de acceso a datos, prestándole un servicio de intermediación, adquiriendo la condición de encargado de tratamiento de RAPIDO, como responsable del tratamiento, de fecha 12/12/2017, de acuerdo con los procedimientos definidos por ADGOALS y de acuerdo a los términos y política de privacidad de la misma. En su Estipulación 1. Objeto se señala que: “El presente Contrato tiene por objeto definir las condiciones conforme a las cuales el Encargado del Tratamiento accederá a datos personales titularidad del Responsable del Fichero, de conformidad con lo dispuesto en el art. 12 de la LOPD y normativa de desarrollo. Dicho tratamiento se realizará sobre datos personales que serán registrado en ficheros de los que el Responsable del Fichero es titular (en adelante los “Datos Personales” y/o el “Fichero”), con motivo de la prestación de servicios descrita en el Contrato de Prestación de Servicios suscrito entre el Encargado del Tratamiento y el Responsable del Fichero” (folio 45). RAPIDO ha manifestado que en sus bases de datos no consta ningún dato relativo al denunciante y que ADGOALS le ha informado que los datos del titular de la línea a la que se refiere la denuncia se inscribieron en sus bases de datos el 17/01/2017, antes de que se iniciara la relación entre RAPIDO y ADGOALS. SEPTIMO. ADGOALS en escrito de 16/05/2018 ha aportado información del registro del origen de los datos de la línea asociada al número ***TELEFONO.1 y que fueron captados al rellenar un formulario de contacto para un coche nuevo en la web auto10.com; figuran los datos relativos al nombre (***B), apellidos (***C), email (***EMAIL.1) y teléfono (***TELEFONO.1), se incorporó a la base de datos en fecha de 17/02/2017 desde www.1credito.es, (cuya página web es un afiliado de ADGOALS), aceptando la política de privacidad en zen.creditozen.es/template/privacy. Informan que no utilizan verificación. OCTAVO. RAPIDO no ha aportado prueba alguna que acredite el consentimiento inequívoco del denunciante para el tratamiento de sus datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. El artículo 6. 1 y 2 de la LOPD, determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento del titular de los mimos, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 III La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  7. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  8. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
  9. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
  10. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  11. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  12. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  13. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 La representación de RAPIDO ha alegado la ausencia de culpabilidad al considerar que no es el responsable del tratamiento de los datos, ya que no decidió sobre los criterios y parámetros identificativos de los destinatarios, sino que tal actividad fue determinada por ADGOALS y formalizada de manera verbal entre ambas entidades. Sin embargo, tales manifestaciones no pueden ser admitidas a la luz de los hechos considerados probados en el procedimiento. En primer lugar, porque tal como consta en el informe de actuaciones las conversaciones aportadas por RAPIDO acerca de la formalización y concreción de la campaña prestada por ADGOALS no acredita la determinación concreta respecto del origen de los datos que iba a tratar ésta por cuenta del responsable, ni la obligación de consultar los ficheros de exclusión publicitaria. En segundo lugar, consta que el denunciante recibió un SMS publicitario de RAPIDO en su terminal móvil, asociado al número ***TELEFONO.1 en el que se ofertaba un microcrédito sin que se desprenda de la documentación aportada que el denunciante fuera cliente de la entidad, ni incluir mecanismo alguno de oposición o de baja y sin que el número receptor conste en su base de datos y, además, habiéndose acreditado que el afectado registró en el año 2012 el número en el fichero común de exclusión del servicio Lista Robinson de ADIGITAL tanto a efectos de llamadas como de sms. Además, fue el propio denunciante como el mismo señala y consta acreditado, el que a través de su perfil Facebook contacto con RAPIDO, quien en su respuesta de 14/03/2018 señalaba que había tenido conocimiento de la solicitud de oposición el 20/12/2017 a través de un mensaje privada con el perfil corporativo de la red social Facebook, gestionándose con celeridad la solitud efectuada. Tras verificar que los datos no constaban en la base de datos se dio traslado a ADGOALS a fin de garantizar el derecho de oposición del titular de la línea, siendo gestionada su solicitud en el plazo de 24 horas. RAPIDO ha aportado contrato de prestación de servicios suscrito con ADGOALS. En su expositivo se señala que el Responsable del Fichero (RAPIDO) es una entidad dedicada a la oferta y comercialización de créditos al consumo, mientras que el Encargado del Tratamiento (ADGOALS) es una entidad dedicada a la prestación de servicios de comparación de entidades crediticias dedicadas a la prestación de microcréditos; dichas entidades alcanzaron un acuerdo para la oferta de los servicios comercializados por el responsable del fichero a través de la plataforma titularidad del encargado del tratamiento, comprometiéndose este último a realizar el tratamiento de los datos ajustándose a las instrucciones que en cada momento le indicara el responsable del fichero, así como lo dispuesto en la normativa de protección de datos personales; el encargado podrá acceder y procederá al tratamiento de determinados ficheros de titularidad del responsable del fichero y que con el fin de dar cumplimiento a la normativa sobre protección de datos y en concreto el artículo 12 de la LOPD ambas partes firman el presente contrato de encargo del tratamiento. En la estipulación primera se señala que “El presente Contrato tiene por objeto definir las condiciones conforme a las cuales el Encargado del Tratamiento accederá a datos personales titularidad del Responsable del Fichero, de conformidad con lo dispuesto en el art. 12 de la LOPD y normativa de desarrollo. Dicho tratamiento se realizará sobre datos personales que serán registrado en ficheros de los que el Responsable del Fichero es titular (en adelante los “Datos Personales” y/o el “Fichero”), con motivo de la prestación de servicios descrita en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 Contrato de Prestación de Servicios suscrito entre el Encargado del Tratamiento y el Responsable del Fichero”. Asimismo, se indica que en encargado se compromete a guardar bajo su control y custodia el fichero y/o los datos personales titularidad del responsable del fichero, a los que acceda con motivo de la prestación del servicio y a no divulgarlos, comunicarlos o transferirlos, etc. prohibiéndose expresamente la subcontratación de terceros para la prestación del servicio descrito salvo que exista autorización expresa del responsable. ADGOALS en escrito de 16/05/2018 ha aportado email sobre el origen de los datos de la línea asociada al número ***TELEFONO.1 y que habían sido captados al rellenar un formulario de contacto para la adquisición de un coche nuevo en la web auto10.com; en el documento constan los datos relativos al nombre (***B), apellidos (***C), email (***EMAIL.1) y teléfono (***TELEFONO.1); el formulario se rellenó el 29/11/2017, indicándose que “Como sabes solo hacemos optim del Email, por lo que no hay validación del teléfono”. Los datos fueron incorporados a la base de datos en fecha de 17/02/2017 desde www.1credito.es, (cuya página web corresponde a un afiliado de ADGOALS), aceptando la política de privacidad en zen.creditozen.es/template/privacy. Datos que fueron utilizados con la finalidad de nutrir la base de datos de ADGOALS y que son ajenos al denunciante con la excepción del número de móvil, por lo que no se acredita que el denunciante hubiera registrado sus datos en web alguna, ni evidencia que acredite los registros indicados. Además, RAPIDO señala que en la campaña publicitaria llevada a cabo no fue utilizado el fichero de su titularidad sino que fue ADGOALS el que obtuvo el fichero utilizado, por lo que en este caso no estaría actuando como encargado del tratamiento al separarse de las instrucciones del responsable. Pues bien, de lo estipulado en el contrato sobre el tratamiento de datos no se excluye, como pretende RAPIDO su responsabilidad en el tratamiento de los datos. En efecto, se olvida dicha entidad que en el apartado 3 del art. 46 del RDLOPD, no ha probado qué medidas necesarias adoptó para asegurarse de que ADGOALS había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. En cuanto a la diligencia desplegada por RAPIDO debe tenerse en cuenta lo recogido en la Sentencia de la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, que analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 Hay que señalar esta materia es especialmente sensible porque afecta de manera directa a derechos constitucionales protegidos y que las personas jurídicas que intervienen en estas operaciones o procedimientos relativos al tratamiento de datos personales no pueden destender sus obligaciones. En el presente caso RAPIDO debió haberse interesado sobre la procedencia de los datos personales tratados en la campaña publicitaria realizada en su beneficio y poner los medios necesarios para impedir que dichos datos fueran objeto de tratamiento. En el expediente no consta medida alguna que permita afirmar que RAPIDO tomo cautela alguna para que el tratamiento de los datos del denunciante se hiciera conforme a la LOPD. IV La representación de RAPIDO ha insistido en la ausencia de culpabilidad de su representada en los hechos denunciados y, en todo caso, estaríamos ante un supuesto ilícito cometido por un tercero, ADGOALS. Cabe señalar al respecto, entre otras, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
  14. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En el presente caso, atendiendo a lo estipulado en el contrato de prestación de servicio de 12/12/2017, ADGOALS es encargado del tratamiento de RAPIDO, que es el responsable del tratamiento. En dicho contrato se establece que: “1. Objeto. El presente Contrato tiene por objeto definir las condiciones conforme a las cuales el Encargado del Tratamiento accederá a datos personales titularidad del Responsable del Fichero, de conformidad con lo dispuesto en el art. 12 de la LOPD y normativa de desarrollo. Dicho tratamiento se realizará sobre datos personales que serán registrado en ficheros de los que el Responsable del Fichero es titular (en adelante los “Datos Personales” y/o el “Fichero”), con motivo de la prestación de servicios descrita en el Contrato de Prestación de Servicios suscrito entre el Encargado del Tratamiento y el Responsable del Fichero. 2. Finalidad del tratamiento El tratamiento de dos que el Encargado del Tratamiento se compromete a realizar se limitará a las actuaciones que resulten necesarias para prestar el Responsable del Fichero los Ser vicios contratados, de conformidad con lo establecido en el Contrato de Prestación de Servicios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 En concreto, el Encargado del Tratamiento se compromete a realizar el tratamiento de los Datos Personales ajustándose a las instrucciones que, en cada momento, le indique el Responsable del Fichero, así como a lo dispuesto en la normativa que le resulte aplicable en materia de protecci0on de datos personales. Asimismo, el Encargado del Tratamiento se compromete a no realizar ningún otro tratamiento sobre los Datos Personales, ni a aplicar o utilizar los datos con una finalidad distinta a la prestación del Servicio al que se hace referencia en el presente Contrato” (…) En la estipulación 16 se señala que “El presente Contrato recoge la totalidad de los pactos existentes entre las partes, y anula y revoca, en su caso, cuantos otros pactos o acuerdos, verbales o escritos que estuvieren vigentes a la fecha de su suscripción en lo relativo al tratamiento de datos personales”. RAPIDO ha manifestado que las campañas emitidas por ADGOALS son diseñadas y gestionadas exclusivamente por la citada empresa, por lo que se le solicitó el documento que justificara el tratamiento de datos objeto de análisis, es decir el Contrato de Prestación de Servicios en el que se recogiera, en especial, el envío de SMS y la obligación de identificar como remitente a RAPIDO, así como las garantías contractuales que ADGOALS ofrecía a aquella y las órdenes de trabajo o instrucciones que se hubiesen dictado en ejecución del mencionado contrato. El 29/05/2018, RAPIDO informó que no existe tal contrato de prestación de servicios que regule con detalle los servicios prestados; que para cada campaña se mantienen conversaciones privadas mediante las cuales son concretados los aspectos básicos de la misma. También se señalaba en el fundamento anterior que como consta en el informe de actuaciones las conversaciones aportadas por RAPIDO acerca de la formalización y concreción de la campaña prestada por ADGOALS no acredita la determinación concreta respecto del origen de los datos que iba a tratar ésta por cuenta del responsable, ni la obligación de consultar los ficheros de exclusión publicitaria. Hay que señalar que el SMS que trae causa el presente procedimiento fue remitido el miércoles 20/12/2017, a las 16:44, es decir, con posterioridad a la fecha del contrato suscrito el 12/12/2017 entre RAPIDO y ADGOALS, de donde se desprende que lo manifestado por el responsable del tratamiento contradice lo estipulado en el contrato que anula, de conformidad con la estipulación 16, cualquier pacto que hubiera sido suscrito a la fecha del mismo. Por otra parte, ADGOALS ha manifestado que el origen de los datos del denunciante es su incorporación a su base de datos en fecha de 17/02/2017 desde www.1credito.es, (cuya página web corresponde a un afiliado de ADGOALS), quien habría utilizado dicha base de datos para la realización de la campaña publicitaria, no ajustándose a lo estipulado en el contrato. En este sentido, interpreta el art. 12.4 de la LOPD la sentencia de 14/03/2007 de la A.N. señalando que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <(…) será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 Por lo que el término “también” que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento, que incumpla lo estipulado, se le atribuya “también” la consideración de responsable del tratamiento. V En el presente caso, se valora un supuesto de tratamiento de datos personales para fines publicitarios y de prospección comercial, sin consentimiento del titular. Así las cosas, el art. 30.4 de la LOPD relativo a tratamientos con fines de publicidad y de prospección comercial dispone que: “4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. El artículo 46.3 señala “3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento”. Por su parte el art. 49 del RDLOPD trata de los Ficheros comunes de exclusión del envío de comunicaciones comerciales, señalando en su apartado 4 que: “Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”. Ha quedado acreditado que el denunciante causó alta en el fichero de exclusión para fines publicitarios, Lista Robinson, y que con posterioridad a la inscripción se ha utilizado su número de línea de telefonía móvil para enviar un sms publicitario y por tanto sin el consentimiento de aquel y, además, sin que se le ofreciera la posibilidad de oponerse al mismo. Tal como se desprende del artículo 30.4 de la LOPD, 46.3 y 49 del RDLOPD, todo ello en relación con lo dispuesto en el art. 6 de la LOPD, RAPIDO no puede efectuar el tratamiento de los datos de carácter personal sin el consentimiento “inequívoco“ del interesado. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, y negado por el interesado, dicho consentimiento inequívoco, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. Asimismo, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. VI Acreditado el tratamiento de datos personales del denunciante, RAPIDO no ha presentado ninguna prueba que pueda explicar la razón por la que se utilizan sus datos y evidenciar que contaba con su consentimiento; procede citar la Sentencia de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Sin embargo, el origen del dato de la línea telefónica citada así como los datos asociados a dicha línea han sido aportados al procedimiento por ADGOALS, en una comunicación sin identificar el emisor ni el destinatario, en la que se detalla la captación de los citados datos a raíz de la cumplimentación de un formulario para la solicitud de información sobre un vehículo en la web auto10.com, en fecha 29-11-2017, con los siguientes registros nombre (***B), apellidos (***C), email (***EMAIL.1) y teléfono (***TELEFONO.1); en la citada comunicación se señala que “Como sabes solo hacemos optim del Email, por lo que no hay validación del teléfono”, datos que fueron utilizados con la finalidad de nutrir la base de datos de aquella entidad y que son ajenos al denunciante con la excepción del número de móvil. Además, la propia entidad denunciada señala en escrito de 14/03/2018 que en sus bases de datos no consta ningún dato relativo al denunciante. Por tanto, correspondía a RAPIDO estar en condiciones de acreditar que había obtenido el consentimiento del denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. VII De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  15. b)tipifica como infracción grave “
  16. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En este caso, la entidad RAPIDO ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 VIII Procede a continuación abordar si la conducta observada por RAPIDO que se estima vulnera el artículo 6.1 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3
  17. b)y si, en tal caso, dicha infracción es imputable a la citada entidad. A) Respecto a la primera de las cuestiones planteadas, una vez constatado que la entidad realizó la acción típica – infracción del principio de consentimientos-, debemos analizar si concurre en el elemento subjetivo de la culpabilidad. La presencia del elemento subjetivo es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “…el ilícito administrativo previsto en el artículo 44.3.
  18. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva...” Por lo que atañe a la diligencia que es exigible en estos casos, la STAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Respecto a la ausencia de culpa alegada por la entidad denunciada, resulta fundamental recordar que el Tribunal Supremo, Sentencia de 23 de enero de 1998,advierte que “...aunque la culpabilidad de la conducta también puede ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquella forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de ausencia de culpa”. El ilícito administrativo que se imputa a RAPIDO del artículo 44.3.
  19. b)de la LOPD, requiere la existencia de culpa como elemento integrante del tipo sancionador. La presencia de este elemento ha sido acreditada por la propia vulneración del principio de consentimiento implícito en el artículo 6 de la LOPD y la propia exigencia que se establece en el apartado 3 del artículo 46 del RDLOPD, cuando requiere que el responsable del tratamiento adopte medidas que garanticen el cumplimiento de la LOPD. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. En este caso la infracción es imputable a RAPIDO en su condición de responsable del fichero y tratamiento, de conformidad con lo dispuesto en el artículo 43 de la LOPD. IX El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de la denunciada ha solicitado el archivo del expediente al considerar que no ha vulnerado la LOPD; sin embargo, tal alegación ha de ser desestimada. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que RAPIDO vulneró el artículo 6.1 de la LOPD, en relación con el artículo 46 del Reglamento de la LOPD, al tratar los datos del denunciante sin su consentimiento materializado, como se señalaba anteriormente, en el envío a través de un SMS publicidad relativa a un microcrédito en su terminal móvil asociado al número ***TELEFONO.1, línea que de conformidad con lo señalado en los hechos probados no figuraba en los ficheros de la entidad y que además, estaba incluida en la lista de Robinson y por tanto excluida de recibir tanto llamadas como sms de tipo comercial o publicitario. No obstante, se estima que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, al operar la atenuante privilegiada del supuesto previsto en el artículo 45.5.
  35. a)por apreciarse una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de algunos de los criterios enunciados en el apartado 4 de este artículo, en particular el apartado
  36. h)La ausencia de perjuicios, al no existir otros que los que son los propios derivados de la comisión de la infracción y
  37. b)volumen de tratamientos efectuados ya que solo consta acreditada un solo SMS de carácter publicitario, lo que permite establecer una sanción de "la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Por otra parte, en relación con los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, se aprecia la concurrencia de las siguientes circunstancias agravantes: - El apartado
  38. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, ya que la actividad de la denunciada exige un tratamiento de datos de carácter personal tanto de clientes como de terceros que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. Por tanto, de conformidad con los criterios de graduación establecidos en el artículo 45.4, tanto favorables como adversos, se propone una sanción de 1.500 euros de la que RAPIDO debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad RAPIDO FINANCE S.L.U. con NIF B93366862, por una infracción del artículo 6.1 de la LOPD de la LOPD, tipificada como grave en el artículo 44.3.
  39. b)de la LOPD, una multa de 1.500 € (mil quinientos euros), de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a RAPIDO FINANCE S.L.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  40. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  41. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.