PS-00302-2017

(2)de octubre, 4,8,10,12,15 y 20 de noviembre de

2. Los correos electrónicos contienen información comercial referente a productos y servicios de diferentes anunciantes, como servicios de telefonía, seguros de salud, viajes y alojamientos, muebles, etc.
3. Los correos electrónicos disponen de un enlace donde pueda ejercitarse el derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 a oponerse al tratamiento de sus datos con fines promocionales. También informa de que pueden ejercerse los derechos de acceso, rectificación, cancelación o revocar el consentimiento escribiendo a LEAD CONVERSION S.L. a la dirección postal que se indica.
4. El rango de direcciones IP que figuran en los correo electrónicos constan asignados a la empresa NEXTRET S.L., a la cual se ha requerido información sobre el cliente que tenía asignada cada una de las direcciones IP que figura en cada uno de las comunicaciones comerciales. En su escrito de respuesta manifiestan que en las fechas requeridas el rango de direcciones IP que constan en el los correos estaban asignadas a la empresa INTERCOM FACTORY, S.L. Se ha requerido por la inspección de datos a INTERCOM FACTORY, S.L. la identidad del cliente que tuviera asignada cada una de las direcciones IP que figuran en las cabeceras de las comunicaciones comerciales en las fechas que consta en cada comunicación.
5. El dominio ***WEB.1 está registrado a través de Arsys Internet, S.L.U. entando restringido el acceso público a su titular. Se ha requerido por la inspección de datos al citado registrador de dominios información de la identidad de su titular, informando el mismo que es la entidad LEAD CONVERSION S.L.
6. La página ***WEB.1 contiene un formulario denominado “Unsuscribe” y un campo para introducir una dirección de correo electrónico. No consta información en la que se identifique al titular de la página web.
7. El denunciante aporta copia del escrito que le remite LEAD CONVERSION S.L. en respuesta al ejercicio de derecho de acceso de fecha 23 de septiembre de 2016, en el que le informa de lo siguiente: LEAD CONVERSION S.L. no es titular de ningún fichero en el que consten sus datos personales, ya que actúan como agentes publicitarios de diferentes entidades, siendo la entidad titular ENLARED AUTO10, S.L. (en lo sucesivo el denunciado) entidad con la que LEAD CONVERSION S.L. ha formalizado un acuerdo para la gestión promocional. Los datos personales del denunciante fueron registrados en la página web ***WEB.2 Aportan copia de los datos que manifiestan fueron registrados en dicha plataforma e incluyen una impresión de pantalla del acceso a la base de datos en la que consta los datos correspondientes a nombre y apellidos, e-mail, fecha de registro, código postal, URL accedida y dirección IP. “Sus datos han sido eliminados tanto de la base de datos de origen como de la remitida para las acciones de promoción. Por tanto sus datos se encuentran totalmente cancelados.”
8. Se ha requerido por la inspección de datos a LEAD CONVERSION S.L. información sobre el origen de la dirección electrónica del denunciante y sobre el consentimiento dado para la remisión de comunicaciones comerciales por vía electrónica, así como copia de los contratos suscritos con las empresas anunciantes, teniendo entrada en esta Agencia escrito de respuesta en el que manifiestan lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid Aportan copia del contrato celebrado entre LEAD CONVERSIÓN y el denunciado en virtud del cual la segunda encomienda a la primera los www.agpd.es sedeagpd.gob.es 3/13 servicios propios de intermediación comercial para que lleve a cabo la gestión de campañas publicitarias o acciones de marketing directo con datos de personas que se encuentran en el fichero del que es titular RED AUTO10, S.L., siendo posible realizar las campañas por medios propios o con los servicios de un tercero. En la cláusula TERCERA del contrato se establece que será LEAD CONVERSION S.L. quien designe los destinatarios finales de la campaña informando de la segmentación específica a la que desea enviar su publicidad respetándose, en todo caso, el número de registros acordados. TERCERO: Con fecha 30 de marzo de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06010/2016, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. CUARTO: Presentado Recurso de Reposición por el denunciante fundamentándolo en: <<…
9. No realicé ninguna comunicación de datos personales a Enlared Auto10, SL. En consecuencia algunos de los datos registrados por la dicha mercantil son falsos o inventados: (…) IP Oviedo: C.C.C. • El día 3 de abril de 2015 me encontraba fuera de la provincia de Asturias, por lo que es imposible que a las 6:47 de la mañana hubiera comunicado ningún dato personal desde una IP de Oviedo. El 29 de marzo salí de Oviedo en autobús con destino a Santander, como demuestra la copia de billete nominativo que adjunto: (…) • Adicionalmente, la dirección IP C.C.C. está asignada a la empresa HUNOSA (Hulleras del Norte SA), desde el año 2010 (véase ***WEB.3) Dicha empresa jamás me ha proporcionado acceso a Internet. Para cualquier comprobación autorizo expresamente a la Agencia Española de Protección de Datos a que consulte a dicha empresa si el 3 de abril de 2015 me proporcionó acceso mediante dicha IP…>> Esta Agencia ha resuelto el mismo acordando estimar el citado recurso de reposición interpuesto por D. A.A.A. contra la resolución de esta Agencia dictada con fecha 30 de marzo de 2017, en el expediente de actuaciones previas de inspección E/06010/
10. QUINTO: En fecha 26/06/2017 la Directora de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Datos, acordó iniciar procedimiento sancionador al denunciado por la posible infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) tipificada como grave en el artículo 44.3.b) de la citada Ley. Estableciendo una sanción de 3000 € a los efectos previstos en el art. 64.2.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y art. 127 letra b) del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD). Se intentó la notificación de dicho acuerdo al denunciado, mediante la remisión al domicilio del mismo que figura en el Registro Mercantil Central y en el Aviso Legal de su página web en fechas 4 de julio siendo devuelta por el Servicio de Correos por desconocido. Por todo ello, el citado acuerdo fue remitido para su publicación en el Boletín Oficial del Estado, lo que se produjo el 13/07/
11. Sin que a la fecha de hoy se haya recibido escrito de alegación alguno. SEXTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que se procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, de conformidad con los artículos 64.2.f) y 85 de la LPACAP. HECHOS PROBADOS PRIMERO: Con fecha de 5 de octubre de 2016 tiene entrada en esta Agencia denuncia interpuesta por el denunciante cuyos aspectos más relevantes se describen a continuación: Recibe correos electrónicos en su cuenta B.B.B. con origen en la dirección ***EMAIL.
12. No ha solicitado o autorizado previamente los envíos. Con fecha 31 de enero de 2016 solicitó acceso a sus datos personales a la empresa LEAD CONVERSION S.L., ante su negativa solicitó el amparo de la Agencia Española de Protección de Datos que estimó su solicitud dictando resolución R/2222/2016, recibiendo respuesta a la solicitud de acceso. En el escrito de respuesta a su solicitud, cuya copia adjunta, le informan de que sus datos han sido eliminados. La denuncia aporta copia de los correos electrónicos recibidos junto con sus cabeceras completas y respuesta recibida de LEAD CONVERSION S.L. a la solicitud de acceso, en la que le informan de que sus datos han sido eliminados de la base de datos origen. Manifiesta que dicha respuesta la recibió con fecha 28 de septiembre de
13. SEGUNDO: El denunciante recibe en su cuenta de correo B.B.B. 17 correos electrónicos remitidos desde la cuenta ***EMAIL.1 en las fechas 8,9,14,15,18,20,22,25,26 y 30

(2)de octubre, 4,8,10,12,15 y 20 de noviembre de 2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Los correos electrónicos contienen información comercial referente a productos y servicios de diferentes anunciantes, como servicios de telefonía, seguros de salud, viajes y alojamientos, muebles, etc. Los correos electrónicos disponen de un enlace donde pueda ejercitarse el derecho a oponerse al tratamiento de sus datos con fines promocionales. También informa de que pueden ejercerse los derechos de acceso, rectificación, cancelación o revocar el consentimiento escribiendo a LEAD CONVERSION S.L. a la dirección postal que se indica. TERCERO: El denunciante aporta copia del escrito que le remite LEAD CONVERSION S.L. en respuesta al ejercicio de derecho de acceso de fecha 23 de septiembre de 2016, en el que le informa de lo siguiente: LEAD CONVERSION S.L. no es titular de ningún fichero en el que consten sus datos personales, ya que actúan como agentes publicitarios de diferentes entidades, siendo el denunciado, entidad con la que LEAD CONVERSION S.L. ha formalizado un acuerdo para la gestión promocional. Los datos personales del denunciante fueron registrados en la página web ***WEB.2 Aportan copia de los datos que manifiestan fueron registrados en dicha plataforma e incluyen una impresión de pantalla del acceso a la base de datos en la que consta los datos correspondientes a nombre y apellidos, e-mail, fecha de registro, código postal, URL accedida y dirección IP. “Sus datos han sido eliminados tanto de la base de datos de origen como de la remitida para las acciones de promoción. Por tanto sus datos se encuentran totalmente cancelados.” CUARTO: Se ha requerido por la inspección de datos a LEAD CONVERSION S.L. información sobre el origen de la dirección electrónica del denunciante y sobre el consentimiento dado para la remisión de comunicaciones comerciales por vía electrónica, así como copia de los contratos suscritos con las empresas anunciantes, teniendo entrada en esta Agencia escrito de respuesta en el que manifiestan lo siguiente: - Aportan copia del contrato celebrado entre LEAD CONVERSIÓN y el denunciado en virtud del cual la segunda encomienda a la primera los servicios propios de intermediación comercial para que lleve a cabo la gestión de campañas publicitarias o acciones de marketing directo con datos de personas que se encuentran en el fichero del que es titular RED AUTO10, S.L., siendo posible realizar las campañas por medios propios o con los servicios de un tercero. En la cláusula TERCERA del contrato se establece que será LEAD CONVERSION S.L. quien designe los destinatarios finales de la campaña informando de la segmentación específica a la que desea enviar su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 publicidad respetándose, en todo caso, el número de registros acordados. QUINTO: Presentado Recurso de Reposición por el denunciante fundamentándolo en: <<…1. No realicé ninguna comunicación de datos personales a Enlared Auto10, SL. En consecuencia algunos de los datos registrados por la dicha mercantil son falsos o inventados: (…) IP Oviedo: C.C.C. • El día 3 de abril de 2015 me encontraba fuera de la provincia de Asturias, por lo que es imposible que a las 6:47 de la mañana hubiera comunicado ningún dato personal desde una IP de Oviedo. El 29 de marzo salí de Oviedo en autobús con destino a Santander, como demuestra la copia de billete nominativo que adjunto: (…) • Adicionalmente, la dirección IP C.C.C. está asignada a la empresa HUNOSA (Hulleras del Norte SA), desde el año 2010 (véase ***WEB.3) Dicha empresa jamás me ha proporcionado acceso a Internet. Para cualquier comprobación autorizo expresamente a la Agencia Española de Protección de Datos a que consulte a dicha empresa si el 3 de abril de 2015 me proporcionó acceso mediante dicha IP…>> FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 El concepto de dato de carácter personal aparece definido en el artículo 3.
2. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
3. f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante (RLOPD), como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
4. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” Expuesto lo anterior, y en relación con los hechos que se imputan en el presente procedimiento, se hace necesario definir diversos conceptos que, junto con los ya transcritos, permitirán analizar si la dirección de correo electrónico objeto de estudio constituye, o no, datos de carácter personal conforme a la LOPD. Para ello se acude a las definiciones recogidas en los apartados b), c), y
5. e)del artículo 3 de dicha norma en relación con los siguientes conceptos: “
6. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” “
7. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”, “
8. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
9. c)del presente artículo.” III A la vista de las definiciones anteriores, y en relación con la primera cuestión planteada, se deduce que la dirección de correo electrónico, considerando que contiene información de su titular, o en la medida en que permita proceder a la identificación del mismo sin realizar esfuerzos desproporcionados para ello, ha de ser considerada como dato de carácter personal, estando su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado afectado no ha dado su consentimiento para ello. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, atendiendo al grado de identificación del titular de la cuenta de correo que proporcione la dirección de que se trate. Así, existirán supuestos en los que no existe duda sobre que la dirección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 correo electrónico es un dato de carácter personal al contener información identificativa de su titular. También habrá otros supuestos en los que aunque la dirección de correo electrónico no parezca mostrar datos relacionados con la persona titular de la cuenta, sin embargo, en la medida en que el titular de dicha dirección de correo electrónico sea una persona física nos encontraremos ante un dato de carácter personal. Debe añadirse, evidentemente, que si junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como, su nombre y apellidos, su número de teléfono, su domicilio, puesto de trabajo, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante un supuesto de tratamiento de datos de carácter personal. Ahora bien, no podrán considerarse datos de carácter personal las direcciones cuyo titular no pueda asignarse a una persona física por referirse a un colectivo, como pueden ser las formadas con expresiones como “Información”, “Atencióncliente”, etc. Al hilo de lo ya expuesto, conviene traer a colación la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2015, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la dirección de correo profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN de 23 de marzo 2006 (Rec. 911/2003), 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen Jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002 )". Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 En el caso de autos, la dirección de correo electrónico que la Asociación recurrente tenía registrada en sus ficheros era YYYYYYYYY que, en contra de lo alegado por la recurrente, no es una dirección de correo electrónico de una persona jurídica, en concreto de los Laboratorios YYYYYYYYYY, sino de una persona física, el denunciante Don FL A mayor abundamiento, en el presente caso la dirección aparece conformada por el nombre de la persona física titular de la misma. Se trata de la dirección de correo de una persona física en los laboratorios donde presta sus servicios, viene referida a dicha persona física, tratándose de su dirección profesional. Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la citada Ley Orgánica 15/1999, SAN, Sec. 1ª de 3 de octubre de 2007 (Rec. 163/2006). Además, cabe señalar que el tratamiento que hizo la Asociación recurrente de la citada dirección de correo para remitir el video y comunicado en cuestión, no guarda relación con la actividad de los citados laboratorios, sino que hace referencia a una cuestión referente a un ámbito distinto, estrictamente privado o personal que trasciende el ámbito de la citada entidad y de la actividad profesional del denunciante.” Con arreglo al citado criterio de la Audiencia Nacional, no cabe duda de que, la dirección de correo electrónico del denunciante contenía información que identificaba o permitía identificar, sin esfuerzos desproporcionados, al titular de la misma. IV El artículo 43.1 de la vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, concepto que debe integrarse con la definición que de los mismos realiza el artículo 3.
10. d)de la LOPD al entender como “Responsable del fichero o tratamiento” a “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”, por lo que ambas figuras están sujetas al régimen sancionador de la LOPD. Por su parte, el artículo 5.1.
11. q)del RDLOPD considera como tal a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” De acuerdo con los preceptos de la normativa de protección de datos transcritos, el denunciado, resulta responsable del tratamiento automatizado efectuado con los datos de carácter personal del denunciante, incluidos en la base de datos que comercializó según la entidad LEAD CONVERSION S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 V En el presente procedimiento sancionador se imputa al denunciado una infracción a lo previsto en el artículo 6.1 de la LOPD, que consagra el principio del consentimiento del afectado o autodeterminación, dispone lo siguiente: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” Es decir, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, excepción hecha de la existencia de legitimación legal para ello o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6, definiéndose en el apartado
12. h)del artículo 3 de la LOPD como “Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en genera. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente supuesto, el denunciado no ha acreditado contar con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 consentimiento previo e inequívoco del denunciante. VI El artículo 44.3.
13. b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso se cumple el supuesto de hecho que tipifica el citado precepto, toda vez que ha quedado razonado que el denunciado no ha justificado contar con el consentimiento inequívoco del denunciante. De conformidad con lo indicado, el denunciado resulta responsable, a título de culpa, de la comisión de la infracción grave descrita al incumplir en la forma descrita el principio general del consentimiento previsto en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
14. b)de la citada Ley Orgánica. VII El artículo 45 de la LOPD, en sus aparatados 1 a 5, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 supuestos:
25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente caso, se considera de conformidad con el art. 45.5.
30. a)LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso: - 45.4.
31. d)volumen de negocio, ya que se trata de una microempresa. 45.4.
32. b)volumen de los tratamientos, ya que la infracción se refiere al tratamiento de un único registro del fichero del denunciado. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, - 45.4.
33. c)la vinculación de la actividad del infractor con la realización de tratamiento de datos de carácter personal, pues su actividad es la explotación de bases de datos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENLARED AUTO 10, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
34. b)de la LOPD, una multa de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENLARED AUTO 10, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
35. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es