PS-00290-2015

1/45 Procedimiento Nº PS/00290/2015 RESOLUCIÓN: R/02873/2015 En el procedimiento sancionador PS/00290/2015, instruido por la Agencia Española de Protección de Datos a las entidades MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA y ROIANDCO 2012, S.L., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de enero de 2015 tiene entrada en esta Agencia un escrito de Don A.A.A., (en lo sucesivo el denunciante), indicando que en diciembre de 2011 ejerció su derecho de oposición ante MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA, (en adelante la MUTUA o MM), manifestando su negativa a recibir cualquier comunicación con fines comerciales. Aporta copia de la solicitud y la contestación de la MUTUA. En enero de 2012, además inscribió los datos de sus números de teléfono y sus direcciones de correo electrónico ....@gmail.com y .....@wanadoo.es en Lista Robinson, con objeto de no recibir correos ni llamadas no solicitadas. A pesar de ello, desde diciembre de 2011 hasta julio de 2013, recibió 11 correos publicitarios de la MM, que fueron objeto de denuncia ante la Agencia y que finalizaron con la Resolución R/2803/2014, en la que se determinó la prescripción de la posible infracción por el envío de los correos publicitarios. Con fecha 10 de octubre de 2014, ha recibido en su dirección de correo ....@gmail.com, (en adelante también dirección de GMAIL), dos comunicaciones comerciales con contenido publicitario de la MM que procedían de la dirección ...@....info, cuya copia adjunta. Con fecha 5 de diciembre de 2014, ha recibido en su dirección de correo electrónico de GMAIL otro envío publicitario de la MM remitido desde la dirección usuarios@....... Con fecha 24 de abril de 2015, se recibe en esta Agencia un correo electrónico del denunciante presentando otro correo electrónico recibido con fecha 16 de abril de 2015 en su dirección de GMAIL con publicidad de la MM, que figura remitido desde la cuenta info@.... El denunciante aporta copia de los dos últimos correos recibidos, en cuyo texto se publicitan productos de MM. Estos envíos contienen un enlace para acceder a la página web http://tusegurodelamutua.com en los que se informa de que “Mutua Madrileña es totalmente ajena a este envío no asumiendo ninguna responsabilidad por el mismo”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: - C/ Jorge Juan, 6 28001 – Madrid A través de internet se verifica que el dominio ofertondeldia.com pertenece a la empresa ROIANDCO 2012 S.L. www.agpd.es sedeagpd.gob.es 2/45 1 - Respecto al dominio ofreceparasalvar.com, no se ha podido averiguar su titular. Se encuentra registrado por un registrador de ARIZONA (EE.UU.) - Con fecha 4 de mayo de 2015 se realiza una inspección a la MUTUA en relación con los hechos denunciados, a excepción de los envíos de octubre de 2014 ya prescritos en esa fecha. Durante la Inspección se pone de manifiesto lo siguiente: Los representantes de MM han realizado las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Los correos electrónicos mostrados no han sido remitidos desde ninguna dirección de correo electrónico perteneciente a empresa. b. MM ha suscrito un contrato de prestación de servicios con DATONO BUSINESS PROCESS OUTSOURCING S.L. ( en adelante EL AGENTE o DATONO) con fecha 8 de enero de 2013, según el cual EL AGENTE actúa como Agente de Seguros. c. Con fecha 18 de septiembre de 2013, se suscribió entre ambas entidades un Anexo al citado contrato, según el cual EL AGENTE se encargará de la generación, optimización y tratamiento de registros. Para ello utilizará bases de datos de terceros para realizar envíos de e-mail y así generar contactos útiles. MM es totalmente ajena a la obtención y generación de estos contactos, siendo responsabilidad del AGENTE el cumplimiento de todos los aspectos derivados de protección de datos de carácter personal. Los datos obtenidos y utilizados por parte del AGENTE serán por tanto obtenidos con su consentimiento válidamente prestado y si fueran a realizar envíos de e-mails, para dichos envíos se deberá contar con el consentimiento expreso de sus destinatarios. En la Inspección han aportado copia del citado contrato y de sus anexos. d. A su vez EL AGENTE, contrata con otras empresas, la realización de campañas publicitarias. En el caso de los dos correos mostrados remitidos desde los dominios ofertondeldía.com y ofreceparasalvar.com, las campañas han sido realizadas por LINKEMANN S.L., la cual a su vez ha podido contratar con otras empresas. En este caso MM tiene conocimiento de que ambos dominios pertenecen a ROIANDCO 2012 S.L. e. En todos los correos de campañas publicitarias de MM que se realizan por el AGENTE se incluye la leyenda “Mutua Madrileña es totalmente ajena a este envío no asumiendo ninguna responsabilidad por el mismo. El presente e-mail publicitario es remitido directa y únicamente por la entidad indicada más abajo. Es dicha entidad la única responsable por su remisión y a quien deberá dirigirse en caso de querer ejercitar sus derechos de protección de datos”. f. C/ Jorge Juan, 6 28001 – Madrid En ningún caso MM facilita datos de sus ficheros a las empresas encargadas de la realización de los envíos publicitarios. Tampoco les facilita ningún dato de las personas que han solicitado la cancelación de sus datos ni han manifestado su oposición a recibir publicidad de la MUTUA. www.agpd.es sedeagpd.gob.es 3/45 2 En el fichero de clientes de MM se han realizado las siguientes comprobaciones: a. Se verifica que entre los datos asociados al denunciante consta la dirección de correo electrónico .....@wanadoo.es , (en adelante también dirección de WANADOO), y que en las opciones de publicidad por medios electrónicos y no electrónicos, cesión de datos y tratamiento de datos/estudio de clientes, se encuentran marcadas con “NO”. b. A la vista de las comprobaciones realizadas, los representantes de LA MUTUA manifiestan que la dirección de correo electrónico a la que se han remitido los correos mostrados no consta en sus ficheros, ante esta manifestación, los inspectores de la Agencia muestran a los representantes de MM la Resolución del Director de la Agencia del Procedimiento Sancionador PS/00545/2014, en cuyos antecedentes consta que el denunciante remitió un correo electrónico de fecha 23 de octubre de 2012 a la MM, mediante el cual solicita que dejasen de enviarle correos publicitarios a sus direcciones .....@wanadoo.es y ....@gmail.com. c. Ante esta información, los representantes de MM manifiestan que no disponen de ningún fichero del tipo “Lista Robinson” en el que se incluyan los datos de las personas que han solicitado su oposición, ya que utiliza el sistema de marcas en su propio fichero de clientes, no obstante en este caso, no se ha incluido en la ficha del cliente la otra dirección de correo aportada ya que no se solicitaba expresamente. 3 ROIANDCO 2012, S.L. (en adelante ROIANDCO) ha remitido a esta Agencia en su nombre y en nombre de LINKEMAN S.A., la siguiente información en relación con el correo electrónico recibido el 5 de diciembre de 2014 por el denunciante: a. RIOANDCO ostenta la titularidad del sitio web www.ofertondeldia.com, que tiene como único objetivo remitir a los usuarios registrados publicidad y comunicaciones comerciales sobre las ofertas y promociones relativas y/o servicios prestados por terceras empresas. b. El titular de la dirección de correo electrónico ....@gmail.com se registró en el sitio web mediante el formulario de registro en el que facilitó su dirección de correo electrónico y aceptó mediante la casilla correspondiente, la Política de privacidad del sitio. c. En dicha Política de privacidad se informa de la existencia de un fichero, de la identidad de su responsable, de la finalidad de publicidad y prospección comercial etc. Asi mediante la inscripción del usuario y la aceptación de la Política de privacidad presta su consentimiento expreso e inequívoco para que ROIANDCO le remita publicidad y comunicaciones comerciales y promocionales. Aportan copia impresa del formulario de registro. d. Aportan copia de la factura expedida a LINKEMANN S.L. , (en adelante LINKEMANN) , por la realización de la campaña de la MM. e. La comunicación comercial recibida por el denunciante, incluía la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/45 posibilidad de que se revocara el consentimiento prestado mediante una dirección de correo electrónico y de un link (enlace) que permitía al usuario darse de baja directamente. Aportan copia de dicho correo. f. Con fecha 11 de enero de 2015, se dio de baja en el sistema al titular de la citada dirección de GMAIL, cuando su titular solicitó la baja del mismo, y a partir de esa fecha no se ha remitido ningún correo a dicha dirección. Aportan copia impresa de la gestión de la baja. g. Han aportado una orden de trabajo recibida de LINKEMMAN S.L. con fecha 29 de noviembre de 2014 para la promoción de la MM. h. También han aportado copia del contrato suscrito por DATONO y LINKEMANN . de fecha 12 de agosto de 2014, con objeto de realizar una campaña promocional de la Compañía Mutua Madrileña por parte de la segunda. Corresponde a LINKEMANN la generación, optimización y tratamiento de registros, para lo que utilizará bases de datos propias o de terceros para realizar envíos de email. i.El dominio ofreceparasalvar.com, NO es titularidad de la entidad, según han comprobado TERCERO: Con fecha 26 de mayo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA por presunta infracción del artículo 30.4 en su relación con el artículo 51.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. e)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. Igualmente se acordó iniciar procedimiento sancionador a ROIANDCO 2012, S.L. por presunta in fracción del artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
2. d)de dicha norma, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1.
3. c)de dicha Ley. Consta que el acuerdo de inicio se notificó a la MM y al denunciante con fecha 1 de junio de 2015 y a ROIANDCO con fecha 3 de junio de 2015. CUARTO: Con fecha 27 de mayo de 2015 se levanta Diligencia de incorporación al procedimiento de la siguiente documentación: 1) Copia de la reclamación presentada con fecha 26 de enero de 2011 por el denunciante ante la AEPD en relación con la solicitud del ejercicio del derecho de acceso del mismo ante la MUTUA que dio lugar al procedimiento de Tutela de Derechos TD/00268/2011; 2) Copia de diversos documentos incorporados en el PS/00545/2014 instruido por la AEPD a la MM en los que aparece información relativa al tratamiento de los datos de carácter personal del denunciante por parte de dicha Mutua. Con fecha 9 de junio de 2015 se registra de entrada escrito del denunciante personándose como interesado en el procedimiento. QUINTO: Con fecha 17 de junio de 2015 se registra de entrada escrito de alegaciones del representante de la MM en el que, en síntesis, se aduce lo siguiente: Primera, la MUTUA C/ Jorge Juan, 6 28001 – Madrid es totalmente ajena a la remisión de la publicidad www.agpd.es sedeagpd.gob.es 5/45 denunciada en virtud del contrato de Agencia de Seguros firmado con la entidad DATONO, en el que la entidad encargada de la “generación de leads”, (contactos útiles), se compromete a la obtención y generación de los consentimientos previstos para la realización de las campañas y cumplir la Ley de Servicios de la Sociedad de la Información. No ha contratado la campaña con la otra entidad denunciada ni mantiene ninguna relación con la misma. La campaña se ejecutó por la otra empresa en base al consentimiento válidamente prestado por el denunciante a la misma, sin que la MUTUA haya participado en dichos envíos publicitarios, incluyéndose cada envío publicitario una leyenda informativa para que los receptores conozcan al responsable de la remisión para poder ejercer los derechos de protección de datos. En el presente caso el denunciante autorizó la recepción de envíos publicitarios, entre otros sectores, de los de seguros y automoción cuando se registró de alta en la página web “ofertondeldia.com” de ROIANDCO, facilitando el correo electrónico ....@gmail.com, que fue en el que recibió la información publicitaria previa y expresamente solicitada a dicha entidad. Aducen que si bien el denunciante se opuso ante la MM, con posterioridad otorgó su consentimiento expreso para que ROIANDCO le remitiera información publicitaria en los términos que figuraban en el Aviso Legal de la mencionada web. Se señala el PS/00730/2013 a efectos probatorios, en el que la AEPD valoró la realización de campañas publicitarias a través de la mercantil DATONO, con el matiz diferenciador de que en este caso la campaña publicitaria se ha dirigido a un cliente de la MM que había ejercitado su derecho de oposición ante la misma. Segunda, se insiste en que en los ficheros de la entidad únicamente consta la cuenta .....@wanadoo.es, sin que la dirección de GMAIL a la que se dirigió el correo publicitario haya estado registrada en los mismos o haya sido facilitada por el denunciante, mutualista de la entidad, para ser objeto de tratamiento. Aportan documentación acreditativa del cumplimiento por parte de la empresa de la tramitación del derecho de oposición ejercitado por el denunciante, aduciendo que éste desde el 3 de febrero de 2012 no ha recibido ninguna campaña publicitaria procedente de la compañía al figurar registrado en el sistema de gestión de marcas de la entidad con el estado N, que permite excluir el registro del mutualista de cualquier campaña publicitaria de la entidad (lista Robinson de exclusión publicitaria) al no estar asociado al modo S . Alegan que conforme a lo previsto en los artículos 17 y 30 de la LOPD el derecho de oposición está necesariamente ligado a determinados tratamientos de datos realizados por el responsable (no por otros), debiendo darse de baja los mismos por ese responsable como destinatario de la petición. La Ley no ha querido hacer extensibles esos efectos a otras entidades o terceros que también pudieran estar tratando esos mismos datos. Se afirma que de las previsiones recogidas en el artículo 25 del RDLOPD no se infiere “que el responsable deberá trasladar todas las oposiciones recibidas a lo largo de su historia a todos aquellos terceros a los que encomiende determinadas campañas publicitarias.”, añadiendo que el artículo 35 del Reglamento define el contenido y alcance del derecho de oposición, estableciendo que la obligación de excluir del tratamiento los datos del afectado que ejercita su derecho de oposición o denegar tal petición afecta únicamente al responsable del fichero, “sin extensión jurídica del alcance del derecho a terceros salvo en el concreto caso de lo establecido en el último punto del artículo 51 del Reglamento”, precepto, este último, cuyo punto cuarto fija el término de la obligación, caso a caso y con un plazo de diez días desde la recepción de la oposición, lo que apoya el análisis legal del alcance de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/45 los mencionados artículos efectuado por la MM Las actuaciones de la entidad en materia de protección de datos tienden, en beneficio de sus clientes, a evitar que terceros entren en contacto con los datos de sus mutualistas. De los términos de la solicitud de oposición del denunciante se desprende que lo que éste manifestó “es que ningún tercero conociese sus datos, salvo que fuese imprescindible para el desarrollo de la relación contractual”. Se afirma que la cesión de sus datos identificativos a los terceros a los que se encomendasen campañas comerciales , además de ir en contra de su voluntad, sería denunciable por haber comunicado sus datos a terceros conforme a lo dispuesto en el artículo 47 del Reglamento. Tercera, se alega falta de responsabilidad en la recepción de publicidad en la dirección de GMAIL del denunciante. El email de fecha 23/10/2012 no consta en sus ficheros ni en sus bases de datos, y por tanto, la dirección de GMAIL no se encontraba registrada en MM. De acuerdo con el artículo 17.4 las personas físicas se pueden oponer a los tratamientos de datos que les conciernan, por lo que MM no puede dar de baja un tratamiento asociado a un email que no existe en sus ficheros y que nunca ha sido objeto de tratamiento a efectos de protección de datos de carácter personal, como ocurre con la dirección de correo electrónico de GMAIL a la que afectaba la solicitud de oposición ejercida por el denunciante el 23/10/2012. La finalidad del procedimiento de oposición es dar de baja una serie de tratamientos de datos que se están realizando, no lo contrario. La Agencia pretende utilizar el derecho de oposición con una finalidad no prevista por la norma. Un derecho de oposición no puede ser utilizado para incorporar nuevos datos en los ficheros del responsable que generan, sobre esos datos, unas obligaciones legales para ese responsable. La oposición es sobre un tratamiento de datos que un responsable está realizando de la persona que ejercita ese derecho. Cuarta, No obstante que el derecho de oposición ejercitado por el denunciante se tramitó en tiempo y forma, para el caso de entenderse que no se atendieron las peticiones de oposición del denunciante se estaría ante infracciones prescritas con arreglo a lo previsto en el artículo 47 de la LOPD. Teniendo en cuenta que la infracción imputada se produce en el momento en que no se atiende la petición de oposición dentro del plazo legal establecido, la fecha del supuesto incumplimiento sería cuando el denunciante ejerció su derecho de oposición el 23/10/2012, si se va al último email del denunciante, habiendo transcurrido más de dos años desde la misma hasta el día 1 de junio de 2015 en el que se interrumpió la prescripción con la notificación del inicio del procedimiento sancionador, sin mediar, además, hasta la actualidad ninguna petición nueva del denunciante. SEXTO: Con fecha 18 de junio de 2015 se registra de entrada escrito de alegaciones del representante de ROIANDCO solicitando el sobreseimiento de las actuaciones seguidas contra la entidad con fundamento, sustancialmente, en los siguientes argumentos: - A través del formulario de registro del sitio web www.ofertondeldia.com la empresa recaba los datos de los usuarios que se utilizan, entre otras finalidades, para remitirles por distintos medios, entre ellos correo electrónico, comunicaciones comerciales sobre ofertas y promociones relativas a productos y/o servicios prestados por terceras empresas de los sectores de actividad en los que pudieran estar interesados, entre los que se encuentra el sector financiero: préstamos de entidad financieras y seguros, obteniéndose el consentimiento de los mismos para ello mediante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/45 la cumplimentación de casilla de verificación no marcada por defecto que antecede a la leyenda “He leído y acepto el Aviso Legal”, siendo el texto subrayado un link que redirige al documento de política de privacidad en el que se advierte al usuario de la utilización de sus datos por parte de ROIANDCO con la finalidad indicada. - La dirección de correo electrónico ....@gmail.com se obtuvo cuando el denunciante se registró en el citado sitio web mediante el procedimiento citado, autorizando en forma expresa e inequívoca a ROIANDCO la remisión de comunicaciones comerciales por correo electrónico de terceras empresas. Se adjunta captura de pantalla del formulario de registro del reseñado sitio web sin cumplimentar. También se aporta Informe Pericial Informático en el que se concluye que el sistema impide registrarse en el servicio sin validar que se ha leído y aceptado el aviso legal, documento que permite acceder a la política de privacidad. - El denunciante procedió con fecha 11 de enero de 2015 a darse de baja utilizando el link a la dirección de correo electrónico facilitada en la comunicación comercial remitida al denunciante el 05/12/2014, procediéndose a inhabilitar del sistema de envíos de comunicaciones comerciales el correo ....@gmail.com. Se adjunta certificación expedida por la empresa que gestiona la herramienta de control de envíos comerciales y bajas certificando dicha circunstancia y el cese de los envíos a esa cuenta. - El dominio www.ofertarparasalvar.com es completamente ajeno a ROIANDCO, por lo que no es responsable de las comunicaciones comerciales que la compañía titular de ese sitio web haya podido remitir al denunciante con publicidad de la aseguradora MUTUA. Se adjunta escrito que muestra que dicho dominio como oculto. - La política de privacidad del sitio web informa al usuario de los extremos recogidos en la LOPD, estando declarado ante la AEPD el fichero “Usuarios registrados”, de acuerdo a los registros que se obtienen a través del sitio web www.ofertondeldia.com. SÉPTIMO: Con fecha se inició el período de práctica de pruebas, en el que se acuerda dar por reproducidos, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante las entidades MM y ROIANDCO, el Informe de actuaciones previas de Inspección que forman parte del expediente E/01722/2015, las alegaciones al acuerdo de inicio PS/00290/2015 presentadas por las dos entidades anteriormente mencionadas y la documentación que a ellas acompaña, la documentación incorporada al procedimiento reseñada en el Antecedente Cuarto así como copia anonimizada de la Resolución dictada por la AEPD en el procedimiento sancionador número PS/00730/2013 en aceptación de la señalización de dicho expediente a efectos probatorios solicitada por MM, impresión del resultado de la información obtenida en Internet en los accesos efectuados en distintas fechas a los sitios web www.mutua.es, www.ofertondeldia y www.ofreceparasalvar.com. Con esa misma fecha se solicita a MM la práctica de la prueba consistente en remitir copia de la siguiente documentación: contrato de fecha 7 de diciembre de 2012 suscrito entre esa entidad y DATONO BUSINESS PROCESS OUTSOURCING, S.L., ( en adelante DATONO), al que se refiere el Anexo Cuarto, suscrito el 18 de septiembre de 2013, del citado contrato; contrato y cláusula contractual concreta del mismo en función de la cual EL AGENTE, en este caso DATONO, puede contratar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/45 con otras empresas, que a su vez han podido contratar con otra empresa, la realización de campañas publicitarias en las que MM es la beneficiaria de la publicidad. Asimismo, se solicita a dicha entidad acreditación de la forma exacta y momento concreto en que el denunciante facilitó la dirección de correo electrónico que figura en sus sistemas y acreditación de las manifestaciones efectuadas durante la inspección de fecha 4 de mayo de 2015 relativas a que el dominio ofreceparasalvar.com pertenece a ROIANDCO, indicando, en todo caso, la identidad de la persona física o jurídica que remitió al denunciante el envío de fecha 16 de abril de 2015. Asimismo, con esa misma fecha se solicita a ROIANDCO la práctica de la prueba consistente en aportar la documentación acreditativa de que el denunciante se registró en el sitio web www.ofertondeldia.com , con justificación de la fecha exacta del alta y detalle de los datos personales facilitados al cumplimentar el formulario de registro. Se acompañarán los registros informáticos obrantes en poder de esa entidad que acrediten fehacientemente tal inscripción, la fecha de la misma, aceptación de la “Política de Privacidad” que se mostraba en la fecha del registro y áreas de actividad de interés seleccionadas por el registrante. Se solicita remisión de copia del documento de “Política de Privacidad” vigente en la fecha del registro. También con fecha 23 de junio de 2015 se solicita al denunciante la práctica de la prueba consistente en : 1) presentar medios de prueba que muestren el momento y forma exactas en que se comunicaron a la MUTUA MADRILEÑA las cuentas de correo electrónico ....@gmail.com y .....@wanadoo.es , con expresión de finalidades concretas para las que fueron entregadas; 2) justificación del registro por su parte en la Lista Robinson de las dos cuentas de correo electrónico anteriormente señaladas, y fecha del alta de dicha información en dicho fichero de exclusión. Se solicitaba indicación de los intereses legítimos individuales concretos que podían resultar afectados por la resolución final en los que sustentaba su solicitud. En idéntica fecha, se requiere a DATONO la práctica de la prueba consistente en aportar la siguiente información: 1) Vinculación de esa entidad con LA MUTUA a los efectos de la realización de campañas publicitarias a favor de esa compañía de seguros, enviando la documentación contractual correspondiente; Identificación de los titulares de los dominios ofertondeldia.com y ofreceparasalvar.com, desde los que se han remitido correos electrónicos publicitarios de MM con fechas 5 de diciembre de 2014 y 16 de abril de 2015 con los asuntos “Tu seguro de moto o coche al 50%” y “Tu seguro a la mitad de previo y además llévate 100 uros”, adjuntando documentación acreditativa de la relación existente entre DATONO , o terceros contratados, para la realización de la publicidad de la MUTUA y dichos titulares (contratos, facturas, ordenes etc…); Condiciones y Parámetros a los que MM ajusta la realización de las campañas publicitarias, con aclaración de los siguientes extremos: si los ficheros que se usan para la realización de las campañas son titularidad de MM o de terceros, tipo de información facilitada por esa aseguradora relativa a los datos personales que no pueden ser usados con fines publicitarios, si se hace algún tipo de advertencia respecto del acceso a la Lista Robinson con anterioridad a los envíos y forma en que se exige la existencia de consentimiento previo y expreso del titular de los datos receptor de la publicidad. Igualmente, y con esa misma fecha, se solicita a la entidad LINKEMANN, S.L. la práctica de pruebas consistente en contestar la siguiente información y/o documentación: 1) Copia del contrato suscrito por esa entidad con DATONO para la realización de campañas publicitarias de MM ; 2) Identificación de os titulares de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/45 dominios ofertondeldia.com y ofreceparasalvar.com, desde los que se han remitido correos electrónicos publicitarios de LA MUTUA con fechas 5 de diciembre de 2014 y 16 de abril de 2015 con los asuntos “Tu seguro de moto o coche al 50%” y “Tu seguro a la mitad de previo y además llévate 100 uros” , adjuntando documentación acreditativa de la relación existente entre esa compañía y dichos titulares (contratos, facturas, ordenes etc…). ; 3) Vinculación de esa entidad con la mercantil ROIANDCO 2012, S.L., indicando si dicha mercantil ha participado en las campañas publicitarias de LA MUTUA citadas en el punto anterior , en cuyo caso se solicita remisión de la documentación contractual correspondiente. Con fecha 15 de julio se reitera contestación a dichos extremos en un nuevo domicilio. OCTAVO: Con fecha 29 de junio de 2015 se registra de entrada escrito de contestación del denunciante indicando lo siguiente: 1) La primera vez que utilizó la cuenta de correo de .....@wanadoo.es con MM fue a través del envío de un email a la dirección siniestrostotales@mutua-mad.es el día 24/09/2009, cuya copia adjunta; 2) El primer correo enviado a la MUTUA desde la cuenta ....@gmail.com del que tiene referencia lo remitió a la cuenta .......@mutua.es, el 23/10/2012 solicitando expresamente que no mandaran ningún correo publicitario a las dos direcciones de correo electrónico de su titularidad. Señala que en la actualidad la cuenta de GMAIL figura en la aplicación que MM pone a disposición de los mutualistas a través de su web, aportando pantallazo, aunque ignora la fecha de alta ; 3) Adjunta correo que confirma la inscripción de los dos correos mencionados con anterioridad en Lista Robinson con fecha 16/01/2012; 4) Afirma que el procedimiento seguido afecta al derecho fundamental a la protección de sus datos personales, existiendo indicios razonables de la vulneración de algunos de sus derechos fundamentales por parte de las empresas denunciadas, estimando que le han causado unos perjuicios que pudieran originar una reclamación ante la jurisdicción civil. El 7 de junio de 2015 manifestó a ROIANDCO que era falso que se hubiese registrado de alta en su página web , añadiendo que ha ejercitado su derecho de acceso ante dicha empresa a través de las direcciones info@....... y lopd@ofertondeldia.com . Con fecha 8 de julio de 2015 se registra de entrada escrito de contestación de MM indicando lo siguiente: 1) Con fecha 7 de diciembre de 2012 no existía relación jurídica con DATONO. Se trata de una errata , siendo la fecha correcta la que figura en la copia del contrato que se adjunta nuevamente; 2) Se transcribe la estipulación que figura en el Anexo al Contrato que, según señala MM, recoge expresamente la utilización de terceras bases de datos en las campañas publicitarias y que DATONO utilizará bases de datos de terceros para la realización de esos emails, señalándose que la regulación de la LOPD relativa a ese Anexo se encuentra en la estipulación quinta del contrato principal. Adjuntan certificado del proveedor ROIANDCO de fecha 30 de abril de 2015 respecto del cumplimiento por su parte de la normativa de protección de datos en relación con la información contenida en sus ficheros, tratándose de datos personales facilitados por los propios titulares, a los que se les informó de la posibilidad de que dichos datos fueran cedidos a terceras empresas y de los que se obtuvo su consentimiento expreso para finalidades explícitas y legítimas relacionadas con la actividad de publicidad y prospección comercial, habiendo sido informados debidamente sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad de los productos y/o servicios de terceras empresas; 3) La cuenta de correo electrónico de WANADOO se dio de alta el 11 de febrero de 2008 con motivo, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/45 señalan, de su alta en una campaña comercial. Aportan un extracto del log de su sistema. El denunciante modificó el 17 de junio de 2015 el registro de su dirección de correo electrónico de WANADOO por su dirección de correo electrónico de GMAIL, fecha a partir de la cual dicha dirección se incorpora en sus ficheros; 5) LINKEMANN les indicó a través de DATONO, que el dominio ofreceparasalvar.com estaba relacionado con la mercantil. Adjuntan documento justificativo Con fecha 14 de julio de 2015 se remite a la MM copia de la documentación que constaba en el procedimiento en contestación a la petición realizada en el escrito de respuesta a las pruebas requeridas. Consta como recibida el 17 de julio de 2015. Con fecha 9 de julio de 2015 se registra de entrada escrito de contestación de ROIANDCO indicando lo siguiente: 1) Adjuntan captura de pantalla del sistema de gestión del CRM del proveedor de servicios de la empresa que señalan muestra el registro llevado a cabo por el denunciante a través de “OfertonDelDia” el 03/06/2014 facilitando la dirección de correo electrónico de GMAIL; 2) Adjuntan la política de privacidad íntegramente aceptada por el usuario al registrarse al marcar el “opt in”. Con fecha 21 de julio de 2015 se registra de entrada escrito de contestación de LINKEMANN, al que adjunta copia de la siguiente documentación: certificación de fecha 30/04/2015 expedida por ROIANDCO, contrato de prestación de servicios suscrito el 12/08/2014 entre DATONO y LINKEMANN, escrito de esa empresa señalando que su proveedor de base de datos ROIANDCO es titular de los dominios ofertondeldia.com y ofreceparasalvar.com . Con fecha 28 de julio se registra de entrada escrito de contestación de DATONO indicando lo siguiente: 1) se aporta copia del contrato de agencia suscrito con MM el 8 de enero de 2013; Señalan que los titulares de los dominios sobre los que se ha solicitado información corresponden a LINKEMANN, entidad con la que DATONO suscribió con fecha 12 de agosto de 2014 un contrato de prestación de servicios , en cuyo Pacto Primero se recoge que LINKEMANN es la empresa responsable de todo el tratamiento de datos, cumplimiento de la LOPD-LSSI y envío de las comunicaciones comerciales de la Campaña Mutua Madrileña. Las bases de datos utilizadas por LINKEMMAN corresponden a la empresa ROlANDCO, que ha certificado la legalidad de las mismas con fecha 30 de abril de 2015, aportándose también comunicación de LINKEMANN informando que ROIANDCO es su proveedor de bases de datos para dichos dominios y orden de compra entre ambas empresas de fecha 29/11/2014. Se aclara que los ficheros utilizados pertenecen a la empresa ROlANDCO; en virtud del contrato suscrito LINKEMANN se hace responsable “del cumplimiento de todos los aspectos derivados de la protección de datos de carácter personal, así como en la LSSI”, entendiéndose que tiene en cuenta la Lista Robinson; la MM exige en el contrato de agencia el cumplimiento de la LOPD-LSSI, incluido lo referente a Listas Robinson; la exigencia de existencia del consentimiento previo y expreso del titular de los datos receptor de la publicidad se detalla por LINKEMANN y ROIANDCO en el acervo documental aportado. NOVENO: Con fecha 28 de octubre de 2015 se formula propuesta de resolución en el siguiente sentido: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/45 - “Que por la Directora de la Agencia Española de Protección de Datos se sancione a MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA con multa de 40.001 € (Cuarenta mil un euros) por la infracción de los artículos 17.1 y 30.4 de la LOPD en su relación con lo dispuesto en los artículos 34.b, 48 y 51.1 del RDLOPD, tipificada como grave en el artículo 44.3.
4. b)de la LOPD, de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de dicha norma.” - “Que por la Directora de la Agencia Española de Protección de Datos se sancione a ROIANDCO 2012, S.L. con multa de 600 € (Seiscientos euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
5. d)de dicha norma, de conformidad con lo establecido en los artículos 39.1.
6. c)y 40 de la citada LSSI.” La propuesta de resolución se notificó a ambas entidades con fecha 28 de octubre de 2015 y al denunciante con fecha 3 de noviembre de 2015 DÉCIMO: Apreciado un error material subsanable en la propuesta de resolución referida a MUTUA MADRILEÑA, de acuerdo con lo dispuesto en el artículo 105.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en adelante LRJ-PAC, que regula la rectificación de oficio por parte de la Administración de los errores materiales de sus actos, procede corregir el error de transcripción advertido al transcribir la letra de la infracción grave imputada, de tal modo que donde decía “tipificada como grave en el artículo 44.3.
7. b)de la LOPD” debe decir “tipificada como grave en el artículo 44.3.
8. e)de la LOPD”. UNDÉCIMO: Con fecha 12 de noviembre de 2015 se registra de entrada escrito de alegaciones del representante de la MM a la propuesta de resolución, en el que se reiteran anteriores argumentos ya defendidos y se hace hincapié en los siguientes: - Conforme al artículo 46 del RDLOPD MM no fue la responsable de la realización de la campaña de email marketing en la que se enmarca el envío recibido por el denunciante , ya que los parámetros identificativos de los destinatarios de la campaña se determinaron por ROIANDCO como responsable material del envío publicitario. De los folios 77, 85, 86 y 489 del expediente se despende que MM se ha limitado a realizar unas creatividades publicitarias que remitió a su Agente para que a través de terceras entidades con las que éste mantiene relación comercial se enviase publicidad a las direcciones que constaban en los ficheros de estas últimas, todo ello sin fijar parámetros identificativos de los destinatarios de la publicidad y previa realización de las verificaciones apropiadas y exigencia del cumplimiento de la LOPD y LSSI, en especial en lo relativo al consentimiento de los destinatarios para la remisión de publicidad y con exigencia de que en los envíos se informe sobre la identidad del tercero responsable del envío. - La imputación de una infracción a lo dispuesto en el artículo 44.3.
9. b)de la LOPD en la Propuesta de Resolución formulada a MM supone una modificiación de la tipificación inicialmente notificada que, además de causar indefensión, no tiene lógica al pasar de una obstaculización de un derecho de oposición a un afectado a un tratamiento de datos sin consentimiento. Aun manteniendo que la actuación de MM ha sido ajustada a derecho, la única infracción que podría imputarsele se ajustaría a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/45 tipificado en el artículo 44.3.
10. e)de la LOPD. La remisión de una comunicación comercial por vía electrónica sin contar con el consentimiento del destinatario del dato no puede sancionarse a dos entidades distintas por normativas diferentes, debiendo prevalecer la ley especial aplicada a ROIANDO que fue la remitente del correo electrónico comercial en cuestión. Por otro lado, al no haberse incoado a MM ningún procedimiento por infracción leve a la LSSI se estaría ante una infracción prescrita al haberse superado el plazo de prescripción de 6 meses establecido en esa norma, al igual que se reitera que si la infracción fuera por incumplimiento de la obstaculización de un derecho de oposición también estará prescrita. - Se reitera en que el derecho de oposición del denunciante al tratamiento publicitario de sus datos fue atendido en forma y plazo, resaltando que la dirección de GMAIL en el que el denunciante recibió información publicitaria no constaba en sus ficheros de clientes, por lo que no se puede extralimitar el derecho de oposición reconocido en el artículo 17 de la LOPD a datos que no son objeto de tratamiento. Defiende que no se puede hacer extensible un derecho de oposición a tratamientos que son realizados por parte de terceras entidades que se dedican a obtener consentimientos de terceros para la realización de campañas publicitarias. La opción de oponerse a recibir publicidad en un email que no consta en los ficheros de MM sólo cabe cuando el afectado se dirige a un fichero sectorial o general de exclusión publicitaria; Se aduce también que el cauce utilizado por el denunciante no fue el adecuado, ya que pudo modificar su email anterior a través de los canales adecuados como hizó con el email de GMAIL en el año 2015, después de la inspección realizada en MM. Considera que incorporar nuevos datos objeto de tratamiento con motivo de una oposición con finalidades publicitarias ignorando la existencia de los procedimientos habilitados resulta peligroso para el mantenimiento adecuado de las bases de datos de una gran empresa. MM defiende que la falta de comunicación de las oposiciones de sus clientes a los terceros independientes (contratados directamente y subcontratados) que realizan los tratamientos publicitarios obedece a la defensa de los derechos de sus asegurados. Frente a la interpretación de la Agencia relativa a que cabría una habilitación legal para dichas comunicaciones, MM entiende que sus clientes “bajo ninguna circunstancia querrían que pasáramos sus datos a todas aquellas entidades de email marketing con la que la compañía pudiera trabajar en el tiempo.” . Asimismo, evitando que los datos salgan de la esfera de control del responsable minimiza riesgos de seguridad al impedir que estas terceras entidades que realizan las actividades de publicidad puedan llevar a cabo usos no consentidos o no autorizados de los datos que pudieran recibir. HECHOS PROBADOS PRIMERO: Don A.A.A., (en adelante el denunciante), es cliente de la MM en su condición de tomador de tres pólizas de seguro, dos de las cuales, suscritas con fechas 08/01/1998 y 27/11/2006, respectivamente, se encuentran en vigor. La tercera, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/45 suscrita con fecha 30/01/2011, está suspendida desde el 12/12/ 2013. (folios 58 al 67, 279, 316 al 325, 442 y 443). SEGUNDO: El denunciante es titular de las cuentas de correo electrónico .....@wanadoo.es y ....@gmail.com, ambas inscritas en el Servicio de Lista Robinson desde el 16 de enero de 2012 (folios 58, 65, 61, 238, 410) TERCERO: Con fecha 20 de diciembre de 2011 el denunciante ejerció, entre otros, su derecho de oposición al tratamiento de sus datos personales ante MM, entidad que recibió el día 9 de enero de 2012 el escrito de solicitud de dicho derecho, en el que el denunciante exponía “que sólo autorizo a la compañía Mutua Madrileña a que utilice los datos personales recabados sobre mí que sean imprescindibles para el desarrollo de la relación contractual. Por supuesto, no autorizo el uso fraudulento de mis datos personales para cometer delitos de falsedad documental, ni para realizar tratamientos con fines publicitarios o de prospección comercial, no autorizo la realización de segmentaciones, ni estudios de marketing, ni campañas publicitarias, etc. No autorizo ninguna comunicación ni cesión de mis datos personales excepto las imprescindibles para el desarrollo de la relación contractual o las amparadas por la legislación.” (folios 3 y 234) MM contestó con fecha 3 de febrero de 2012 al denunciante que “conforme a la solicitud que nos ha remitido sobre el ejercicio de derecho de oposición de sus datos le informamos que hemos procedido a dar cumplimiento a su petición.” (folios 5 y 236) CUARTO: Con fecha 23 de octubre de 2012 el denunciante remitió desde su cuenta de correo de WANADOO a “B.B.B.”, empleado de MM el siguiente mensaje en relación con la reclamación del expediente ****/12: “Ustedes deben cumplir la ley y no hacer uso de los datos personales. Estoy recibiendo correos con campañas de Mutua Madrileña a pesar de estar dado de alta en la Lista Robinson desde hace 9 meses. Le ruego que indique a cualquier compañía con la que contraten sus campañas publicitarias que comprueben la Lista Robinson y que-independiente o además de la lista- NO MANDEN ningún correo publicitario a las direcciones .....@wanadoo.es y ....@gmail.com pues están vulnerando mis derechos.” (folios 161, 185) QUINTO: Consta que el denunciante envió a MM los siguientes mensajes desde la dirección de correo electrónico ....@gmail.com :(folios 245 al 250) Con fecha 30 de diciembre de 2013 remitió solicitud a la dirección .....@mutuamad.es ejercitando el derecho de acceso a la información y grabaciones de dos llamadas que indica recibió en su teléfono. Con fecha 21 de enero de 2014 envío un nuevo correo electrónico a la cuenta.....@mutua-mad.es adjuntando su DNI en respuesta al correo postal recibido de MM para subsanar la petición de acceso. Con fecha 16 de febrero de 2014 remitió un correo electrónico a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/45 dirección.....@mutua-mad.es reiterando determinada información solicitada al ejercer el derecho de acceso, el cual fue contestado por MM por correo certificado el 27 de febrero de 2014. SEXTO: A fecha 4 de mayo de 2015 se comprueba que la cuenta de correo electrónico .....@wanadoo.es figuraba registrada en el fichero de clientes de la MM y que estaban marcados con la opción “NO” los apartados correspondientes a los tratamientos opcionales de envío de publicidad por medios electrónicos y no electrónicos, cesión de datos y tratamiento de datos/estudios de clientes asociados al denunciante (folios 30, 58, 65, 68, 335) SÉPTIMO: Con fecha 17 de junio de 2015 el denunciante incorporó el correo electrónico de GMAIL a través del “Area personal” del sitio web www.mutua.es, que es un servicio que permite a los mutualistas de MM gestionar, con contraseña, sus pólizas de seguro y consultar y actualizar sus datos de cliente vía online. (folios 405, 409 y 415) OCTAVO: Durante la inspección realizada por la AEPD el día 4 de mayo de 2015 en las instalaciones de la MM, los representantes de dicha entidad manifestaron que no disponen de ningún fichero del tipo “Lista Robinson” en el que se incluyan los datos de las personas que han solicitado la oposición al tratamiento de sus datos personales, ya que utilizan un sistema de marcas en su propio fichero de clientes. También afirmaron que no facilitan a las empresas encargadas de la realización de los envíos publicitarios ningún dato de las personas que han solicitado la cancelación de sus datos o han manifestado su oposición a recibir publicidad de MM (folios 30 y 31). NOVENO: Con fecha al 8 de enero de 2013 MM y DATONO suscribieron “Contrato de Agencia” en virtud del cual DATONO actuaba como Agente de Seguros de MM. El objeto del contrato, según figura en el apartado I de la cláusula primera del mismo era “regular las condiciones en las que EL AGENTE, en este caso DATONO, como Agencia de Seguros Vinculada, comercializará en territorio español los diferentes productos de seguros de MUTUA referidos en el presente contrato y sus Anexos.“. Los tres Anexos adjuntados al mismo, de fecha 8 de enero de 2012, relativos a la Condición suspensiva, Campaña de Captación y Condiciones Económicas, se entendían como parte del contrato, gozando de la misma fuerza jurídica. En el apartado II de esa misma cláusula aparece que “El AGENTE se compromete a prestar a MUTUA el servicio de mediación entre los solicitantes de información derivados por MUTUA y ésa última entidad, en particular, en el asesoramiento preparatorio y en su caso, la celebración de contratos de seguro privado referente a “los productos “ a suscribir por MUTUA. “(folios 34 al 50) DÉCIMO: Con fecha 18 de septiembre de 2013 MM y DATONO suscribieron un Anexo al Contrato firmado entre ambas empresas en cuya cláusula primera se señalaba como objeto del mismo: (folios 51 al 54) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/45 “Por medio del presente Anexo las partes acuerdan ampliar el objeto del Contrato mediante la contratación por parte de MUTUA de los servicios del AGENTE para que lleve a cabo las campañas que a continuación se detallan: Campaña 2: Generación de leads El AGENTE se encargará de la generación, optimización y tratamiento de registros. Para ello utilizará bases de datos de terceros para realizar envíos de email y así generar esos leads (contactos útiles). MUTUA es totalmente ajena a la obtención y generación de esos Ieads, siendo responsabilidad del AGENTE el cumplimiento de todos los aspectos derivados de protección de datos de carácter personal . Únicamente podrá utilizar datos de contactos en los términos previstos en la normativa de protección de datos de carácter personal, así como en la Ley de Servicios de la Sociedad de la Información (LSSI). Los datos obtenidos y utilizados por parte del AGENTE serán por tanto obtenidos con su consentimiento válidamente prestado, y si se fueran a realizar envíos de emails, para dichos envíos se deberá contar con el consentimiento expreso de sus destinatarios. El AGENTE garantizará la Indemnidad patrimonial de MUTUA en caso de cualquier incumplimiento por parte del AGENTE de los términos aquí recogidos. El AGENTE una vez obtenidos esos leads, llamará a las personas interesadas, y les ofrecerá exclusivamente los seguros de MUTUA tanto de coches como de motos. Para ello utilizará los argumentarios, así corno las cláusulas informativas en materia de LOPD recogidas en el contrato y sus Anexos.” UNDÉCIMO: Con fecha 12 de agosto de 2014 DATONO y LINKEMANN suscribieron un “Contrato de Prestación de Servicios”. En la parte expositiva del mismo se indicaba que DATONO es una entidad que presta, entre otros, servicios auxiliares en la mediación de seguros privados que deseaba realizar una campaña de publicidad de productos o servicios, tanto propios, como en nombre de los clientes con los que colabora, señalándose también que LINKEMAN tiene como actividad la difusión de campañas publicitarias utilizando ficheros de carácter personal propios o de empresas colaboradoras que cumplen la normativa aplicable. En el Pacto Primero del contrato se señalaba (folios 483 al 485) “El objeto del contrato es la realización por parte de Linkemann de la “Campaña Mutua Madrileña” dirigida a las personas o usuarios que estén interesadas mediante la generación de leads. Corresponde a Linkemann la generación, optimización y tratamiento de registros. Para ello utilizará bases de datos propias o de terceros para realizar los envíos de email y así generar esos leads (contactos útiles interesados en la contratación de un seguro de coches o motos de Mutua Madrileña). DATONO es totalmente ajena a la obtención y generación de esos leads, siendo responsabilidad de Linkemann el cumplimiento de todos los aspectos derivados de protección de datos de carácter personal, así como en la Ley de Servicios de la Sociedad de la Información (LSSI). Los datos recabados y utilizados por Linkemann para la presente campaña serán por tanto obtenidos con su consentimiento válidamente prestado, y garantizando tener autorización expresa para el envío de comunicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/45 comercial por correo electrónico. Linkemann garantizará la indemnidad patrimonial de DATONO en caso de cualquier incumplimiento por parte de Linkemann de los términos aquí recogidos. Linkemann una vez obtenidos esos Leads remitirá la comunicación comercial de Mutua Madrileña.” En el Pacto Tercero, relativo al “SUMINISTRO DE SERVICIOS Y CONTENIDOS”, se indicaba: “DATONO suministrará, a partir de la vigencia del presente contrato y según vaya teniendo disponibles, parte del material necesario para el desarrollo del contrato. Linkemann se encargará de realizar las adaptaciones tecnológicas necesarias para implantar los JPEG para su comercialización utilizando su plataforma tecnológica.” En el Pacto QUINTO, relativo a “ BASES DE DATOS” se señalaba: “1 .De conformidad con lo dispuesto en el artículo 30 de la Ley Orgánica 15/1999, de 3 de diciembre, de Protección de Datos de Carácter Personal, en relación con el artículo 3
11. d)y concordantes del mismo cuerpo legal, Linkemann se hace responsable del tratamiento de los datos incluidos en los ficheros de su propiedad. 2. Respecto a las bases de datos cedidas por terceros y utilizadas para difusión publicitaria por Linkemann, ésta únicamente se hace responsable de la correcta comunicación de los mismos, de conformidad con lo dispuesto en el art. 11 de la Ley de Protección de Datos, siendo en todo caso responsable de la calidad de los mismos la entidad propietaria, a efectos lel art. 3
12. d)y 4 de la Ley 15/1999. Linkemann informará a DATONO de los procedimientos e informaciones legales utilizados para la correcta recogida de los ciatos que forman parte de las bases de datos de las cuales es titular, y que deberán en todo caso de cumplir con las exigencias establecidas en la LOPD y su Reglamento de desarrollo.” DUODÉCIMO: ROIANDCO ha manifestado que fue contratada por LINKEMANN, S.L. para realizar la campaña de MUTUA MADRILEÑA a la que corresponde el correo electrónico comercial enviado el día 5 de diciembre de 2014 al denunciante. (folios 78 y 79) DÉCIMO TERCERO: Con fecha 5 de diciembre de 2014 el denunciante recibió en su dirección de correo electrónico ....@gmail.com procedente de la cuenta usuarios@...... una comunicación comercial ofertando seguros de coche y moto comercializados por la aseguradora Mutua Madrileña. La comunicación ofrece un enlace para darse de baja directamente a través del mismo y la dirección de correo .....@ofertondeldia.com Al pie del mensaje se informa de que “Mutua Madrileña es totalmente ajena a este envío no asumiendo ninguna responsabilidad por el mismo. El presente email publicitario es remitido directa y únicamente por la entidad indicada más abajo. Es dicha entidad la única responsable por su remisión y a quien deberá dirigirse en caso de querer ejercitar sus derechos de protección de datos”. Más abajo se informa al destinatario que la información ha sido enviada por Ofertondeldia y que los datos personales no han sido enviados al anunciante. (folios 14, 15, 79, 364) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/45 DÉCIMO CUARTO: Con fecha 11 de enero de 2015 ROIANDCO dio de baja sistema la dirección de correo ....@gmail.com (folios 79, 83, 345 Y 365). del DÉCIMO QUINTO: ROIANDCO, empresa titular del sitio web www.ofertondeldia.com, desarrolla su actividad en el campo del permission e-mail marketing, marketing directo, publicidad on, marketing de resultados y de afiliación. (folios 100, 389 al 392). DÉCIMO SEXTO: El sitio web www.ofertondeldia.com dispone de un formulario de recogida de datos personales para que los usuarios que cumplimentan y envían el mismo reciban información sobre diversas ofertas y promociones del “OfertónDel Día”, previa marcación de la casilla en blanco que aparece al pie del formulario acompañada por el texto “He leído y acepto el Aviso Legal” . En dicho formulario se recaba la siguiente información: nombre, apellidos, teléfono, email, código postal, país y fecha de nacimiento . (folio 80 ) DÉCIMO SÉPTIMO: El apartado correspondiente al “Tratamiento de Datos” del Aviso Legal del sitio web www.ofertondeldia.com, documento al que se puede acceder a través del enlace contenido en el formulario de recogida de datos, informa de lo siguiente: “El Usuario acepta expresamente la presente Política de Privacidad y otorga su consentimiento expreso al tratamiento automatizado de los datos personales facilitados. Le informamos de que sus datos personales recabados a través de cualesquiera formularios de recogida de datos del Sitio Web, serán incorporados a un fichero titularidad de ROIANDCO 2012, S.L. inscrito en el Registro General de la Agencia Española de Protección de Datos (…)
13. a)Finalidad del tratamiento: Los datos facilitados por los usuarios serán tratados para (
14. i)prestar los servicios del Sitio Web en concreto, (
15. ii)prestación de servicios de publicidad y prospección comercial, (iii) gestionar la navegación y configuración de alertas, así como la participación y adhesión, en su caso, a distintas promociones y/o sorteos, (
16. iv)enviar formularios de encuestas que el Usuario no estará obligado a contestar, (
17. v)recibir llamadas automáticas (con y/o sin intervención humana) o mensajes SMS para finalidades tales como venta directa, publicitarios, o relacionados con el servicio contratado o cualquiera de sus finalidades. Asimismo, el usuario consiente el tratamiento de sus datos para la elaboración de perfiles, así como para la segmentación de sus datos. Los citados tratamientos pueden tener como finalidad tanto el análisis y realización de estadísticas para conocer el tráfico y utilización del Sitio Web por parte de los Usuarios, como la determinación de sus gustos y preferencias para remitirle información promocional de los patrocinadores o de terceras empresas acorde con sus intereses. Al amparo de lo establecido en el artículo 45.1.
18. b)del RLOPD, en relación con los envíos de publicidad y prospección comercial, los datos facilitados por el usuario serán utilizados para remitirle comunicaciones comerciales y promocionales por parte del TITULAR, mediante carta, teléfono, correo electrónico, SMS/MMS, o por otros medios de comunicación electrónica, información y/o publicidad sobre productos y servicios relacionada con las áreas de interés que éste haya podido señalar, en su caso, y/o de los sectores de actividad en los que pudiera estar interesado, los cuales se relacionan a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/45 o Financiero: Préstamos de entidades financieras y Seguros. o (…). o Automoción: Productos y Servicios relacionados con el Automóvil, Motocicletas y Camiones.(…) DÉCIMO OCTAVO: No ha quedado acreditada la vinculación de ROIANDCO con el dominio ofreceparasalvar.com. (folios 96 y 366 ) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
19. g)en relación con el artículo 36 de la LOPD y conforme a lo dispuesto en el párrafo segundo del artículo 43.1 de la LSSI. II En primer lugar señalar que como el presente procedimiento sancionador se ha incoado a dos personas jurídicas por infracciones a normativas diferentes, a efectos expositivos se analizará en primer lugar la infracción a la LOPD imputada a la MUTUA MADRILEÑA para, después, continuar con el estudio de la infracción a la LSSI imputada a ROIANDCO. Si bien, en lo que respecta a MUTUA MADRILEÑA deben aclararse dos cuestiones antes de entrar en el fondo del asunto, que son las relativas al cambio de tipificación de la infracción inicialmente imputada producido en la propuesta de resolución y la segunda la prescripción de la infracción imputada . En cuanto al primer asunto, en la propuesta de resolución no se ha producido ninguna modificación de la imputación de la infracción grave a la LOPD señalada a MM en el acuerdo de inicio del procedimiento, sucediendo únicamente, tal y como se ha indicado en el Antecedente de Hecho Décimo de esta resolución, un error material al transcribir la letra correspondiente a la tipificación de la infracción que la Instructora consideraba cometida por MM, y que resulta subsanable conforme a lo dispuesto en el artículo 105.2 de la LRJ-PAC que dispone que: ”2. Las Administraciones públicas podrán, asimismo, rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho o aritméticos existentes en sus actos.”. Por consiguiente, mediante esta resolución se corrige de oficio el error de transcripción advertido al señalar la letra de las infracción grave imputada, de tal modo que donde decía “tipificada como grave en el artículo 44.3.
20. b)de la LOPD” debe decir “tipificada como grave en el artículo 44.3.
21. e)de la LOPD”. Este planteamiento coincide con el criterio mantenido en la Sentencia del Tribunal Supremo de 2 de junio de 1995 (RJ 1995/4619) al señalar en relación con los errores materiales que: «En efecto, la doctrina jurisprudencial de esta Sala, plasmada, entre otras, en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/45 Sentencias de 18 de mayo de 1967 (RJ 1967/2488), 24 de marzo de 1977 (RJ 1977/1809), 15 y 31 de octubre y 16 de 103 noviembre de 1984 (RJ 1984/5099, RJ 1984/5172 y RJ 1984/5776), 30 7/10 de mayo y 18 de septiembre de 1985 (RJ 1985/2325 y RJ 1985/4196), 31 de enero, 13 y 29 de marzo, 9 y 26 de octubre y 20 de diciembre de 1989 (RJ 1989/619, RJ 1989/2655, RJ 1989/2353, RJ 1989/7247 y RJ 1989/8981), 27 de febrero de 1990 (RJ 1990/1521), 16 y 23 de diciembre de 1991 (RJ 1991/9760) y 28 de septiembre de 1992 (RJ 1992/8022), tiene establecido que el error material o de hecho se caracteriza por ser ostensible, manifiesto e indiscutible, implicando, por sí sólo, la evidencia del mismo, sin necesidad de mayores razonamientos, y exteriorizándose prima facie por su sola contemplación (frente al carácter de calificación jurídica, seguida de una declaración basada en ella, que ostenta el error de derecho), por lo que, para poder aplicar el mecanismo procedimental de rectificación de errores materiales o de hecho, se requiere que concurran, en esencia, las siguientes circunstancias: 1) que se trate de simples equivocaciones elementales de nombres, fechas, operaciones aritméticas, o transcripciones de documentos; 2) que el error se aprecie teniendo en cuenta exclusivamente los datos del expediente administrativo en el que se advierte; 3) que el error sea patente y claro, sin necesidad de acudir a interpretaciones de normas jurídicas aplicables; 4) que no se proceda de oficio a la revisión de actos administrativos firmes y consentidos; 5) que no se produzca una alteración fundamental en el sentido del acto (pues no existe error material cuando su apreciación implique un juicio valorativo o exija una operación de calificación jurídica); 6) que no padezca la subsistencia del acto administrativo (es decir, que no genere la anulación o revocación del mismo, en cuanto creador de derechos subjetivos, produciéndose uno nuevo sobre bases diferentes y sin las debidas garantías para el afectado, pues el acto administrativo rectificador ha de mostrar idéntico contenido dispositivo, sustantivo y resolutorio que el acto rectificado, sin que pueda la Administración, so pretexto de su potestad rectificatoria de oficio, encubrir una auténtica revisión, porque ello entrañaría un fraus legis constitutivo de desviación de poder); y, 7) que se aplique con un hondo criterio restrictivo.» Con arreglo a esa doctrina jurisprudencial, basta decir que de la simple lectura de los Fundamentos de Derecho V al VIII de la propuesta de resolución notificada a MM se evidencia que la conducta imputada ha sido la comisión de una infracción grave a lo previsto en el artículo 44.3.
22. e)de la LOPD, por lo que estamos ante un error material susceptible de rectificación por ser ostensible, manifiesto, indiscutible y evidente por si mismo, sin necesidad de mayores razonamientos que los ya expresados, sin que la rectificación efectuada suponga una alteración sustancial del contenido del acto rectificado. Por otro lado no se ha producido la indefensión alegada, ya que dicho error no ha causado ninguna situación de indefensión de carácter material que haya limitado el derecho de defensa o generado un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio ;212/1994, de 13 de julio ,;137/1996, de 16 de septiembre ;89/1997, de 5 de mayo ; 78/1999, de 26 de abril , entre otras). Circunstancia que no concurre en el caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/45 examinado, pues MM no sólo no ha concretado en qué forma se le ha privado o menoscabado su derecho de defensa, sino que ha formulado alegaciones a la propuesta de resolución contestando tanto a la infracción del apartado
23. b)como del apartado
24. e)del artículo 44.3. de la LOPD . Puntualizado lo anterior, respecto del segundo asunto no cabe entrar a estudiar si la posible infracción leve a lo previsto en el artículo 38.4.
25. d)de la LSSI por vulneración del artículo 21.1 de esa norma ha prescrito por no haber sido objeto de imputación en el presente procedimiento sancionador. En cuanto a la posible prescripción de la infracción del artículo 44.3.
26. e)de la LOPD imputada a MM en este procedimiento hay que señalar que el artículo 47 de la LOPD establece lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Por otra parte, el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), señala que “El plazo de prescripción de las infracciones comenzará a contarse desde el día que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable”. En consecuencia, el plazo de dos años establecido para la prescripción de la presunta infracción que motiva las actuaciones se computa desde el día en que dicha infracción se hubiera cometido, y se interrumpe con la apertura del correspondiente procedimiento sancionador con conocimiento del interesado. MUTUA MADRILEÑA, entendiendo que la comisión de la infracción imputada se produce en el momento en que no se atiende la petición de oposición dentro del plazo legal establecido, defendió en las alegaciones al acuerdo de inicio que la fecha de referencia del supuesto incumplimiento sería cuando el denunciante ejerció su derecho de oposición el 23/10/2012, fecha desde la que han transcurrido más de dos años hasta el día 1 de junio de 2015 en el que se interrumpió la prescripción con la notificación del inicio del procedimiento sancionador. Por tanto, la supuesta infracción estaría prescrita dado que desde la fecha de su supuesta comisión hasta la actualidad no ha habido ninguna petición nueva del denunciante. Además, señala que en el procedimiento sancionador PS/00545/2014 la Agencia no abrió expediente sancionador a ninguna entidad, por entender que las infracciones como consecuencia de los envíos publicitarios al denunciante estaban prescritas, lo que supone que estimó que no había incumplimiento por la MM del derecho de oposición o que esa infracción se encontraba prescrita. Pues bien, en contra de la tesis sustentada por MM en este supuesto la fecha del inicio del cómputo no se sitúa en el momento en el que el denunciante comunica a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/45 dicha entidad su oposición a la recepción de campañas publicitarias contratadas por esa entidad en las dos direcciones de correo de su titularidad de tanta cita, que es el que se corresponde con la fecha citada por MM, sino que la obstaculización o impedimento del ejercicio del derecho de oposición se consuma en cada ocasión en que el denunciante recibe comunicaciones publicitarias anunciando productos comercializados por MM en su dirección de correo electrónico de GMAIL, ya que dicho envío se remite con posterioridad al ejercicio de dicho derecho por parte del denunciante lo que obstaculiza e impide, en la práctica, el desarrollo efectivo y real del mismo. Por lo tanto, en lo que respecta a la infracción imputada en el procedimiento sancionador que nos ocupa cabe afirmar que entre el 5 de diciembre de 2014, fecha de la comisión de la infracción, y el 1 de junio de 2015, fecha en que se notificó el acuerdo de inicio del presente procedimiento sancionador , no ha transcurrido el plazo de prescripción de dos años que establece el artículo 47.1 de la LOPD para las infracciones graves. Por otra parte, el procedimiento sancionador PS/00545/2014 que cita MM, según consta en la documentación del mismo incorporada al presente procedimiento sancionador, se tramitó por infracción grave a lo previsto en el artículo 10 de la LOPD (folios 260 al 270), sin que en el mismo se valorasen los hechos derivados de la recepción por parte del denunciante de once correos electrónicos comerciales con publicidad de MM con fechas 13/12/2011, 26/12/2011, 2/1/2012, 8/1/2012, 8/9/2012, 5/10/2012, 19/12/2012, 4/4/2013, 18/4/2013, 15/5/2013 y 12/7/2013 por haberse producido la prescripción de la posible infracción leve del artículo 21 de la LSSI que tal conducta pudiera suponer, ello de conformidad con lo previsto en el artículo 45 de la LSSI y una vez aplicado el principio de retroactividad de las normas administrativas sancionadoras contemplado en el artículo 128.2 de la Ley 30/1992, de 26 de noviembre, a la vista de las modificaciones introducidas por la Disposición final Segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones en el régimen sancionador de la LSSI. En esa documentación se observa que los siete primeros envíos citados se recibieron en la cuenta de GMAIL del denunciante, no figurando la cuenta de correo de recepción en los cuatro últimos envíos citados al aparecer en su lugar el nombre y apellidos del denunciante (folios 170 al 180). Todas estas circunstancias son conocidas por MM al haber recibido con fechas 24 de octubre de 2014 y 17 de julio de 2015 copia de esa documentación, según figura en los folios 151 al 153 del PS/00545/2014 revisado a estos efectos y en el folio 471 de este expediente. Así, cuando con fecha 11 de enero de 2015 se registró en esta Agencia denuncia del afectado comunicando la recepción de nuevas comunicaciones comerciales en su cuenta de correo electrónico de GMAIL, entre las que se encontraba el correo de fecha 05/12/2014, resulta que la infracción al artículo 44.3.
27. e)de la LOPD que pudiera derivarse de la posible obstaculización del derecho de oposición por el tratamiento publicitario de ese dato personal del afectado con motivo del tratamiento del mismo en los siete envíos comerciales recibidos con fechas 13/12/2011, 26/12/2011, 2/1/2012, 8/1/2012, 8/9/2012, 5/10/2012 y 19/12/2012 ya estaba prescrita, puesto que habían transcurrido más de dos años desde el tratamiento de la reseñada cuenta en cada una de esas fechas. En consecuencia, con arreglo a las razones expuestas, debe rechazarse la prescripción de la infracción que se invoca, así como que su conculcación se habría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/45 producido únicamente en el momento en que se remitió la primera comunicación publicitaria como se reitera en el escrito de alegaciones a la propuesta de resolución, máxime cuando con fecha 13/12/2011 MM ya había recibido la solicitud de fecha 20/11/2011 del denunciante oponiéndose al tratamiento publicitario de sus datos personales, lo que incluía su dato de correo electrónico. III Ya analizando las cuestiones sustanciales a la infracción imputada a MUTUA MADRILEÑA, conviene indicar que vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
28. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
29. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. A su vez el artículo 3.
30. c)de la LOPD define como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. El artículo 3.
31. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
32. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. En el presente caso, conforme a las definiciones expuestas y las normas reseñadas en los Fundamentos de Derecho siguientes, MM interviene como responsable del fichero y del tratamiento. Así, dicha entidad es responsable del fichero de clientes en el que se encuentran registrados los datos personales del denunciante. Se destaca que en la fecha en que se firmó por MM y DATONO el Anexo Contractual reseñado en el Hecho Probado nº 10), MM era perfectamente conocedora de la voluntad del denunciante de que no se usasen sus cuentas de correo electrónico para remitirle publicidad de productos y servicios de MM bien directamente o a través de terceros. Así lo prueban la recepción, con fecha 9 de enero de 2012, por MM del escrito de solicitud de oposición al uso publicitario de sus datos personales, que en esa fecha afectaba, entre otros, al dato personal de su cuenta de correo electrónico de WANADOO, y también ratifica el envío del email de 23 de octubre de 2012 del denunciante en el que solicitaba a MM que no le mandasen ningún correo electrónico publicitario a las direcciones de GMAIL y de WANADOO de su titularidad. Téngase en cuenta que el tratamiento acontecido del dato personal del correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/45 electrónico del denunciante de GMAIL tiene como finalidad generar leads o contactos útiles para el envío de publicidad de MM, los cuales se obtenían de bases de datos de emails de terceros, circunstancia que obligaba a MM, como entidad que contrató la campaña a un tercero a adoptar las medidas necesarias en orden a hacer efectiva tal negativa de la forma más completa y beneficiosa para el afectado, quien no debió recibir el día 5 de diciembre de 2014 en su cuenta de correo electrónico de GMAIL la comunicación comercial con ofertas de seguros de MM remitida por ROIANDCO. En consecuencia, aunque MM no realice materialmente el tratamiento de esos datos, al encomendar a un tercero (DATONO como agente mediador) la realización de una campaña de email marketing de generación de leads a los que remitir publicidad de sus seguros y en la que, por cláusula contractual, los envíos debían efectuarse empleándose correos electrónicos registrados en bases de datos de titularidad de terceros, resulta que MM decidió la finalidad, el contenido y uso del tratamiento de los datos de carácter personal de los contactos útiles (correos electrónicos ) empleados para los envíos de las comunicaciones comerciales. Estos correos electrónicos, en tanto que constituyen información concerniente a personas físicas identificadas o identificables sin esfuerzos desproporcionados, responden a la definición de datos personales contenida en el artículo 3.
33. a)de la LOPD, que en este supuesto está asociada a la persona del denunciante como titular de las cuentas de correo electrónico de GMAIL y WANADOO de tanta cita, y quien en su condición de cliente de MUTUA MADRILEÑA se había opuesto, con anterioridad a los hechos denunciados, al específico tratamiento publicitario de las mencionadas cuentas con esa finalidad específica, tal y como prueban los Hechos Probados 4) y 5) contenidos en el Antecedente de Hecho Noveno. De este modo, el 18 de septiembre de 2013 MUTUA MADRILEÑA suscribió con DATONO (EL AGENTE) el Anexo IV al contrato de agencia firmado con fecha 8 de enero de 2013 entre las reseñadas empresas, que ampliaba el objeto del mismo a la realización de una campaña publicitaria de Generación de los referidos Leads empleando para ello bases de emails de terceros, Para su ejecución DATONO, con fecha 12 de agosto de 2014, subcontrató a LINKEMANN la realización de la “Campaña Mutua Madrileña” dirigida a personas o usuarios (contactos útiles o leads) interesados en la contratación de un seguro de coches o motos de Mutua Madrileña (folios 483 y 484), servicio que LINKEMANN prestó subcontratando a ROIANDCO la realización de la mencionada campaña con los datos de los correos electrónicos contenidos en el fichero de esta última empresa. Conviene señalar que en el PS/00730/2013 se sancionó a la entidad GRUPOPSCOM SCP por infracción del artículo 21 de la LSSI, mientras que la infracción también imputada a MM al citado precepto fue archivada, no guardando por tanto ninguna similitud con el procedimiento actual en el que se imputa una infracción grave a lo previsto en el artículo 44.3.
34. e)de la LOPD. Se puntualiza que ROIANDCO no ha acreditado contar con el consentimiento del denunciante al que se refiere MM para remitir comunicaciones comerciales al denunciante, tal y como se justificará al analizar la infracción a la LSSI imputada a la empresa remitente del envío comercial de fecha 05/12/2014. Además, se observa que de haber resultado probada tal autorización, que la entidad manifiesta se realizó el 03/06/2014, la misma no hubiera liberado a MM de la obligación de hacer efectiva la oposición manifestada por su cliente al tratamiento publicitario de sus cuentas de correo electrónico, entre las que se encuentra el correo de GMAIL del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/45 Todo ello dota del estatus de responsable del fichero y del tratamiento a MM, y por tanto susceptible de generar responsabilidad por infracción de la LOPD de conformidad con el artículo 43 de esa norma. IV La hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (en lo sucesivo LORTAD), delimitaba su ámbito de aplicación en torno al concepto de fichero automatizado (artículo 2), que figuraba definido como “todo conjunto organizado de datos de carácter personal que sean objeto de tratamiento automatizado (...)”. Congruentemente con dicha configuración legal, la LORTAD se limitaba a definir la figura del responsable del fichero (artículo 3.
35. b)y d)). Por el contrario, la vigente LOPD ha modificado el ámbito de aplicación objetivo de la norma circunscribiéndola a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero y diferencia las figuras del responsable del fichero y del responsable del tratamiento (artículo 3.b y d). Asimismo delimita con precisión la figura del encargado del tratamiento (artículo 12). Efectivamente, el artículo 3 de la LOPD establece lo siguiente: “
36. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
37. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Esta modificación es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro derecho, conforme a la cual, en el caso de los datos personales susceptibles de tratamiento automatizado, la Ley se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros o no sean titulares de los ficheros que se usan en el tratamiento, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables (art. 12.4). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su Sentencia de 26/01/2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/45 nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
38. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
39. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
40. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Dentro de la doctrina expuesta, en el Fundamento de Derecho anterior ha quedado acreditado que el tratamiento de la cuenta de correo electrónico de GMAIL del denunciante tiene su origen en un Anexo Contractual suscrito entre MM y DATONO en la que la primer encargaba a la segunda la realización de una campaña publicitaria de generación de leads, siendo MM beneficiaria de la publicidad. Por lo tanto, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/45 envío realizado por ROIANDCO no puede desvincularse del proceso contractual que tuvo como origen la contratación citada entre MM, que contrataba la prestación de la campaña publicitaria, y DATONO que gestionaba la generación, optimización y tratamiento de registros, servicio de naturaleza publicitaria cuya realización DATONO subcontrató a la mercantil LINKEMANN, la cual acabó subcontratando a ROIANDCO la realización de la campaña publicitaria de Mutua Madrileña destinada a obtener contactos útiles entre los registros de la base de datos titularidad de ROIANDCO. Documentación contractual que vincula en forma concluyente la relación directa existente entre MM y la recepción de publicidad con productos y servicios de esa Mutua al denunciante, sin que la inexistencia de relación contractual directa entre MM y ROIANDCO modifique la obligación que incumbe a MM de hacer efectivo el derecho de oposición de los afectados. De este modo, el tratamiento de los datos personales del afectado ha supuesto la conculcación del derecho de oposición ejercido por el denunciante ante MM, afirmación que trae razón en la falta de adopción de medidas por parte de MM para evitar el envío de publicidad a las mencionadas cuentas de correo electrónico de GMAIL y WANADOO del denunciante en el marco de la campaña publicitaria de generación de leads desarrollada a instancia de esa empresa con bases de datos de terceros, si bien únicamente consta la recepción de publicidad en la cuenta de GMAIL . Esta cautela hubiera respondido a la obligación que recae en MM de arbitrar medidas tendentes a hacer efectivo el derecho de oposición ejercitado por sus clientes respecto de aquellos datos personales concretos en relación con los cuales sus titulares han comunicado, como ocurrió en el caso del denunciante, su expreso deseo de que únicamente sean tratados en el marco propio del mantenimiento de la relación contractual, motivo por el que el responsable del fichero y/o tratamiento debió arbitrar los mecanismos necesarios para excluir cualquier tipo de tratamiento publicitario asociado a esos datos personales sobre los que se concreta el derecho de oposición ejercido, y que obliga, entre otras medidas, a efectuar en sus ficheros todos los registros necesarios para tener identificados la totalidad de los datos a los que afecta el derecho de oposición ejercitado a fin de cesar todos los tratamientos publicitarios asociados a los mismos . En relación con este asunto conviene traer a colación artículo 48 del RDLOPD, que en lo referente a los “ Ficheros de exclusión del envío de comunicaciones comerciales” dispone que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad. “ Este precepto reconoce la legitimación del tratamiento de datos personales de aquellas personas que hayan manifestado su negativa a recibir publicidad y habilita para el tratamiento de los datos de aquellas personas que no desean recibir publicidad, por ejemplo creando un fichero de exclusión o adoptando otras medidas que como el sistema de marcas empleado por MM posibiliten identificar a dichas personas. Dicha habilitación, se justifica como medida necesaria para hacer efectiva la negativa a recibir publicidad, y ello en atención a que deben prevalecer los derechos ejercidos por los afectados. Es decir, si MM no registró el correo electrónico de GMAIL en sus ficheros y no lo trató a los efectos de la oposición solicitada fue debido a un decisión que recae bajo la órbita de su exclusiva responsabilidad. Del contenido del email de 23/10/2013, dirigido al empleado de esa entidad “B.B.B.”, localizable en el expediente de reclamación ****/12, según obra incorporado en el folio 161 del procedimiento, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/45 evidenciaba la clara voluntad del afectado de que no se usasen sus datos personales para fines de publicidad, haciendo éste hincapié en que no se mandase ningún correo publicitario a las direcciones de GMAIL y WANADOO de su titularidad citadas en el envío. Por otra parte, parece razonable que los clientes de MM que han manifestado su negativa al tratamiento publicitario de sus datos personales exijan a esa entidad la adopción de medidas que garanticen que sus datos personales van a dejar de ser tratados para enviar publicidad de esa empresa, tanto cuando las campañas publicitarias se realicen con los ficheros de clientes titularidad de MM como cuando se lleven a cabo con bases de datos de terceras entidades contratadas directamente por esa aseguradora o mediando los servicios de agente colaborador que subcontrata la realización de las campañas promocionales encomendadas. Cuestión distinta es que, para hacer efectiva la exclusión de ese tipo de tratamiento, MM deba arbitrar los mecanismos contractuales necesarios que permitan un acceso con esa concreta finalidad por esos terceros a su fichero de exclusión, interpretación acorde con la oposición expresa manifestada por los clientes afectados que, además, regularía las condiciones de uso y medidas de seguridad exigibles respecto del tratamiento de esa información personal y no resulta contraria a lo previsto en los apartados 2 al 4 del artículo 46 del RDLOPD, que disponen respecto del tratamiento de datos en campañas publicitarias lo siguiente: . “2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
41. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
42. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
43. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En esta misma línea, en la Sentencia de la Audiencia Nacional, Sala de lo Contencioso, de fecha 14 de mayo de 2014, Rec- 164/2013, se señalaba que “Pues bien, parece claro que si el denunciante ejerció su derecho de oposición ante la entidad recurrente para que sus datos no fueran tratados- por lo que aquí nos interesa- con fines comerciales, solicitud que la recurrente se comprometió a atender, debió adoptar las medidas necesarias para garantizar que sus datos no van a ser tratados con fines comerciales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/45 A tal fin dispone el artículo 48 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica de Protección que datos (RLOPD) que “ (…)”. Por tanto, no puede aceptarse lo alegado por la actora respecto a que no podría guardar información de los clientes transmitidos, pues el citado precepto la habilitaba para conservar los mínimos datos imprescindibles al objeto de evitar el envío de publicidad o, lo que es igual, el tratamiento de sus datos con fines comerciales.” De acuerdo con lo expuesto en el presente Fundamento de Derecho y el que precede, no pueden estimarse las alegaciones planteadas por MM, que pretenden ser eximida de responsabilidad por el solo hecho de haber contratado con otra entidad la materialización de la campaña promocional o por no ser responsables del fichero utilizado para la misma. V Dicho lo anterior, conviene señalar que el procedimiento sancionador se centra en determinar si la conducta mostrada por MM ha supuesto una obstaculización o impedimento al ejercicio del derecho de oposición mostrado por el afectado, que se tipifica como infracción grave en el artículo 44.3.
44. e)de la LOPD. De esta forma se entiende que teniendo esta aseguradora conocimiento de la oposición del denunciante al tratamiento publicitario de cualquiera de las dos cuentas de correo electrónico de su titularidad señaladas en su solicitud de fecha 23 de octubre de 2012, sin embargo, no adoptó las medidas que le resultaban exigibles para evitar que esos datos del denunciante fueran tratados como contactos útiles en la campaña de email marketing contratada a DATONO, con fecha 18 de septiembre de 2013, en caso de figurar registrados en las bases de datos de terceros usadas para generar , optimizar y tratar los leads a los que se remitían los envíos de email con publicidad de la MUTUA. Es decir, MM, no contempló que en esas bases de datos de terceros pudieran estar registrados los correos electrónicos del denunciante ni adoptó prevención alguna para contrarrestar que, en el supuesto de que se produjera tal circunstancia, no se usaran dichos datos por el titular de la base de datos empleada en la campaña encargada, lo que dio lugar a la utilización del dato del correo electrónico de GMAIL del afectado con origen en la base de datos de ROIANDCO. El derecho fundamental a la protección de datos en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Para estudiar el presente supuesto, y en lo que respecta al derecho de oposición, resulta de aplicación la siguiente normativa de protección de datos: El artículo 17.1 de la LOPD dispone que ”1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/45 establecidos reglamentariamente. “ El artículo 30.4 de la LOPD establece en relación a los tratamientos con fines de publicidad y de prospección comercial, que: “4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” El artículo 34.
45. b)del RDLOPD dispone que: El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
46. b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación. El artículo 35.3 del Real Decreto 1720/2007, determina sobre el ejercicio de dicho derecho que: “3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” El artículo 48 del RDLOPD, establece en relación con los “Ficheros de exclusión del envío de comunicaciones comerciales” que : “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad. “ El artículo 51.1 del mismo Reglamento establece respecto de derecho de oposición en tratamientos para actividades de publicidad y prospección comercial que: “1. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. La oposición a la que se refiere el párrafo anterior deberá entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos.” Así pues, en desarrollo del artículo 18.4 de la Constitución Española y dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, la mencionada normativa establece como una garantía del derecho fundamental a la protección de datos personales el poder ostentado por el titular para negarse al uso publicitario de sus datos personales, teniendo, en consecuencia, el responsable del fichero o tratamiento la obligación de adoptar las cautelas y medidas oportunas para dar de baja de ese tipo de tratamiento los datos del afectado mientras se mantenga su negativa. Esta exclusión publicitaria afecta tanto a las campañas que desarrolla directamente como a las contratadas o encargadas a terceros, y tanto si los envíos se efectúen con datos personales obrantes en sus ficheros como si se realizan con datos anotados en bases de datos de terceros. De esta manera, no podrán utilizarse con finalidades publicitarias los datos de las personas que hayan manifestado su oposición a dicho tratamiento, siendo obligación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/45 del responsable del fichero o tratamiento que las medidas adoptadas alcancen también a los tratamientos publicitarios que contrate o encomiende a terceros y/o se realicen con bases de datos distintas de las propias. Lo contrario, de conformidad con las normas expuestas, supondría no tomar en consideración las obligaciones derivadas del ejercicio del derecho de oposición a la utilización de los datos con fines promocionales que pesan sobre el responsable del fichero o tratamiento en los supuestos en los que el tratamiento se lleve a cabo en el marco de una campaña publicitaria externalizada. VI De la valoración conjunta de los elementos fácticos obrantes en el procedimiento, ha quedado probado, por una parte, que MM no anotó en sus sistemas el dato del correo de GMAIL del denunciante a los efectos de excluir del tratamiento publicitario de dicha información personal, a pesar de que esa empresa conocía la negativa del denunciante a ese específico tratamiento referido al uso publicitario tanto de esa cuenta como de la del correo electrónico de WANADOO, este último figurando en sus ficheros con marca de exclusión con fecha 4 de mayo de 2015. Por otra parte, aunque estaba obligada a tratar dicha información personal en la forma autorizada por su titular, MM no proporcionó a DATONO, entidad a la que encomendó la realización de la campaña de generación de leads ningún fichero de exclusión creado con arreglo a lo previsto en el artículo 48 del RDLOPD con los correos electrónicos que no podían ser tratados con la finalidad señalada, entre los que hubieran debido figurar las cuentas de GMAIL y de WANADOO del denunciante. Consta en el Acta de Inspección levantada en las instalaciones de esa empresa, de fecha 4 de mayo de 2015, que MM no facilita a las empresas encargadas de la realización de los envíos publicitarios datos de las personas que han manifestado su oposición a recibir publicidad de LA MUTUA. En este caso, esa falta de comunicación a la empresa a la que contrató la campaña publicitaria estudiada de los datos que debían ser excluidos del tratamiento publicitario junto con la falta de previsión en el Anexo Cuarto de los servicios que podían ser objeto de subcontratación a terceras empresas o autorización para ello, obstaculizó, en la práctica la negativa manifestada por el afectado a este tipo de tratamiento, puesto que impidió que, con anterioridad a la realización de los envíos publicitarios, pudiera comprobarse si los datos correspondientes a las dos cuentas de correo electrónico del denunciante figuraban en las bases de datos de terceros utilizadas para el desarrollo de la campaña publicitaria, dando lugar a que ROIANDCO remitiese una comunicación comercial a la cuenta de GMAIL del denunciante que figuraba registrada en su base de datos. Así las cosas, la inactividad mostrada por MM para evitar el tratamiento de las cuentas de correo del afectado en la campaña de email marketing contratada a un tercero para la publicidad de sus productos supone obstaculizar el “poder de disposición y control” que éste ostenta sobre dichos datos. Situación producida, no obstante que MM tenía la obligación de establecer los mecanismos de exclusión que impidiesen el mencionado tratamiento en orden a garantizar el ejercicio efectivo del derecho de oposición manifestado por su cliente. Todo ello, sin perjuicio del cumplimiento del resto de obligaciones que conforme a la LOPD y LSSI deban cumplir MM y las entidades a las que ésta encargó la realización material de la campaña, en particular las asociadas a la obtención de un consentimiento válidamente prestado por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/45 los contactos obrantes en las reseñadas bases de datos. Alega MM que obligar a remitir todos los datos de los clientes que se hubieren opuesto de forma acumulativa en los supuestos en que se produzcan encomiendas concretas de campañas publicitarias a un tercero generaría una nueva obligación para los responsables que no tiene encuadre legal en la norma, generando, además una vulneración a lo recogido en el artículo 47 del citado Reglamento, puesto que se estaría produciendo una cesión de datos con la finalidad de excluir a sus clientes de los ficheros de los clientes de la entidad a la que se encomiende la campaña. Frente a lo anterior, baste decir que las normas que han sido expuestas obligan a tomar en consideración las solicitudes de oposición, sean o no acumulativas, a la utilización de sus datos personales con fines promocionales que puedan formular los afectados, motivo por el que no se entiende la alegación realizada por MM en el sentido de que se está exigiendo una obligación que la normativa de protección de datos no exige a los efectos de adoptar procedimientos que eviten que las personas que han ejercido su derecho de oposición reciban publicidad. Ejemplo de ello se encuentra en el artículo 48 del RDLOPD anteriormente transcrito y en el artículo 51.4 del RDLOPD que dispone que: “4. Si el derecho de oposición se ejercitase ante una entidad que hubiera encomendado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho del afectado en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado. Lo dispuesto en el párrafo anterior se entenderá sin perjuicio del deber impuesto a la entidad mencionada en el apartado anterior, en todo caso, por el párrafo segundo del artículo 5.5 de la Ley Orgánica 15/1999, de 13 de diciembre. “ En cuanto a la posible cesión inconsentida de datos personales que MM afirma supondría la comunicación por su parte a terceros de los datos personales que no deben ser tratados en las campañas publicitarias que encarga, resulta que no estamos ante una cesión de datos en los términos del artículo 47 del RDLOPD ni resulta exigible el consentimiento exigido en el artículo 11.1 de la LOPD, toda vez que la información que afecta al derecho de oposición se encuadra en una prestación de servicios que tiene por objeto, precisamente, la realización de publicidad a favor de MM, tratamiento no autorizado por los afectados al manifestar a la entidad de la que son clientes su negativa al mismo, tal y como ocurrió en el caso del denunciante al comunicar su negativa a este tipo de tratamiento publicitario de sus datos personales. Los apartados 1 y 2 del artículo 11 de la LOPD disponen respecto de “La comunicación de datos” lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2 . El consentimiento exigido en el apartado anterior no será preciso:
47. a)Cuando la cesión está autorizada en una ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/45
48. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
49. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
50. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
51. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
52. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. “ En este supuesto se considera que la excepción a la necesidad del consentimiento para la cesión de datos se ampara en el artículo 11.2.c), toda vez que en este caso existe una relación jurídica en virtud de la cual obran en poder de MM, responsable del fichero y tratamiento, datos personales del afectado que no pueden ser tratados con finalidades publicitarias. Por lo que la comunicación de estos datos responde a una relación libre y legítimamente aceptada por el interesado que manifestó su oposición al uso publicitario de los mismos, comportando que tales datos salgan del círculo de dicha relación jurídica dado que el desarrollo, cumplimiento y control de la misma requiere la necesaria conexión de dicho tratamiento con los ficheros de los terceros que realizan las campañas publicitarias encargadas por esa aseguradora . Es decir, se produce una comunicación de dicha información a terceros para impedirles que traten los datos del denunciante que ha ejercitado el derecho de oposición al tratamiento publicitario de los mismos, negativa que justifica el acceso a dichos datos con esa exclusiva finalidad por los terceros que intervienen en la acción publicitaria. Interpretación que, por otra parte, resulta acorde con lo dispuesto en el citado artículo 51.4 del RDLOPD. A su vez, el artículo 47 del RDLOPD invocado por MM establece respecto de la “Depuración de datos personales” que : “Cuando dos o más responsables por sí mismos o mediante encargo a terceros pretendieran constatar sin consentimiento de los afectados, con fines de promoción o comercialización de sus productos o servicios y mediante un tratamiento cruzado de sus ficheros quiénes ostentan la condición de clientes de una u otra o de varios de ellos, el tratamiento así realizado constituirá una cesión o comunicación de datos. “ De la lectura del mismo se evidencia que el supuesto de hecho que nos ocupa no es el regulado por el artículo 47 del RDLOPD invocado, puesto que la depuración de los datos a la que se refiere dicho precepto es un procedimiento que consiste en contrastar o cruzar bases de datos de clientes de dos empresas, sin consentimiento de los afectados, para determinar la identidad de los clientes que no figuran en sus respectivas bases de datos a fin de considerarlos como potenciales nuevos clientes para remitirles publicidad de sus productos y servicios. Sin embargo, la comunicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/45 que nos ocupa tiene la pretensión contraria al tener como finalidad excluir del tratamiento publicitario los datos de los afectados que se han opuesto a ese tipo de tratamiento. Es decir, en este caso, no se pretende un tratamiento cruzado de los ficheros de clientes de ambas empresas para la promoción de los productos de las mismas. Por ello, de conformidad con lo previsto en las normas transcritas, los correos electrónicos del denunciante debieron ser excluidos de la acción publicitaria analizada. Téngase en cuenta que ROIANDCO usó el dato personal de la cuenta de correo electrónico de GMAIL del denunciante que obraba en su fichero para para remitir al afectado una comunicación comercial enmarcada en la “Campaña Mutua Madrileña” en su condición de supuesto contacto útil interesado en la recepción de publicidad de servicios de seguros y automoción. Este uso indebido se produjo porque ninguna de las empresas que participaron en la cadena de contratos mencionados estaba advertida, por estipulación contractual y habiéndose arbitrado las previsiones necesarias que ofrece la LOPD y su normativa de desarrollo, de que no podían usarse las cuentas de correo del denunciante para finalidades de publicidad y prospección comercial. VII El tratamiento objeto de imputación fue contrario a la voluntad expresamente manifestada por el afectado, bastando la simple negligencia o incumplimiento de los deberes que la Ley impone para considerar cometida la infracción imputada a título de culpa, situación que se produce en este caso en el que MM no extremó la diligencia que le resultaba exigible para evitar que, en el marco de la campaña publicitaria de tanta cita, se tratasen los correos electrónicos del denunciante, tal y como éste había expresamente solicitado. Baste recordar que cuando el denunciante ejerció su derecho de oposición con fecha 20 de diciembre de 2011 manifestó “Que sea atendido mi ejercicio del derecho de oposición en los términos anteriormente expuestos y que Mutua Madrileña notifique dicha oposición a todos aquellos a quien haya comunicado mis datos personales, encaminada a que no se sometan a tratamiento dichos datos personales o cesen en el tratamiento de los mismos de conformidad con el artículo 34 del Real Decreto 1720/2007, de 21 de diciembre, enviándome comunicación cuando se haya realizado.” (folio 3) Además, si esa entidad consideraba que el cauce utilizado por el denunciante para manfiestar su oposición no era el adecuado debió proceder a comunicarselo, no constando que MM solicitará subsanación de la solicitud de oposición de fecha 23 de octubre de 2012, de conformidad con lo dispuesto en el los apartados 2 y 3 del artículo 25 del RDLOPD que disponen: “2. El responsable del tratamiento deberá contestar la solicitud que sele dirija en todo caso, con independencia de que figuren o no datos personales del afectado e sus ficheros. 3. En el caso de que la solicitu no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solcitar la subsanación de los mismos.” Esta conducta responde a una interpretación restrictiva del poder de disposición de uso de los datos del afectado, a pesar de que en materia de derechos fundamentales debe realizarse una interpretación que redunde en beneficio de los derechos del titular del dato. No cabe duda que la desatención por MM del derecho de oposición ejercido por el denunciante en la forma descrita en anteriores Fundamentos constituye un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/45 impedimento al ejercicio del mismo, ya que lo hace inútil o ineficaz, siendo precisamente el hecho de no adoptar las medidas precisas para que no se usaran los correos electrónicos del denunciante con fines publicitarios en la mencionada campaña de Mutua Madrileña, lo que configura en este supuesto la obstaculización del ejercicio del derecho de oposición que reconoce el artículo 17 de la LOPD y se completa con el resto de normativa citada en el procedimiento. Además, desde las fechas en que el denunciante manifestó y reiteró su negativa al tratamiento publicitario de sus datos personales, MM dispuso de tiempo suficiente para articular los mecanismos correctores necesarios para evitar que se siguiera mandando publicidad comercial al denunciante. En definitiva, no pude concluirse que MM, en lo que respecta a la conducta analizada, pusiera todos los medios y cautelas a su alcance para asegurarse de que la reseñada campaña se realizase atendiendo una de las más elementales reglas de la normativa de protección de datos, que conlleva la exclusión de la acción publicitaria de aquellas personas que, como el denunciante, hubiesen manifestado su oposición al tratamiento de sus emails con dicha finalidad. VIII El artículo 44.3.
53. e)de la LOPD, califica como infracción grave: “El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición.” En el presente caso, se considera que MM ha obstaculizado el ejercicio del derecho de oposición que le fue manifestado por el denunciante respecto del uso publicitario de sus cuentas de correo electrónico al no haber adoptado, en el contrato suscrito con DATONO, ninguna medida tendente a garantizar la exclusión de las dos cuentas de correo electrónico del denunciante de la campaña de email marketing de generación de contactos útiles, de la que MM era beneficiaria de la publicidad y en cuya ejecución se usarían bases de datos de terceros respecto de las cuales MM no establecía ninguna obligación para que aquella empresa, o en su caso las terceras mercantiles con las que DATONO pudiera subcontratar el servicio, comprobasen con anterioridad a la remisión de los envíos publicitarios si los ficheros a utilizar contenían registros de personas que se habían opuesto al uso publicitario de sus correos electrónicos, conforme ocurrió con la dirección de GMAIL del denunciante que obrante en el fichero titularidad de ROIANDCO que ésta usó para enviarle la comunicación denunciada. Esta conducta de MM supone la vulneración por su parte de lo previsto en el artículo 30.4 de la LOPD en su relación con lo dispuesto con el artículo 17.1 de la LOPD y artículos 34.b), 48 y 51.1 del RDLOPD, que encuentra su tipificación en el mencionado artículo 44.3.
54. e)de la LOPD. IX El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/45 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
55. a)El carácter continuado de la infracción.
56. b)El volumen de los tratamientos efectuados.
57. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
58. d)El volumen de negocio o actividad del infractor.
59. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
60. f)El grado de intencionalidad.
61. g)La reincidencia por comisión de infracciones de la misma naturaleza.
62. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
63. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
64. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
65. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
66. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
67. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
68. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
69. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/45 señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. X Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar d