PS-00304-2016

1/32 Procedimiento Nº PS/00304/2016 RESOLUCIÓN: R/00628/2017 En el procedimiento sancionador PS/00304/2016, instruido por la Agencia Española de Protección de Datos a las entidades MACRO SELECT PRINT, S.L., MEYDIS, S.L. y PLENISAN, S.L., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 1 de junio de 2016 la Directora de la Agencia Española de Protección de Datos firmó la Resolución R/01284/2016, en el marco del procedimiento sancionador PS/00190/2016, en la que se resolvía archivar dicho procedimiento sancionador en relación con la entidad MACRO SELECT PRINT, S.L. (en adelante entidad denunciada o indistintamente MSP), por caducidad de las actuaciones previas de investigación E/04767/2015, en relación con la denuncia presentada por D. A.A.A. (en adelante el denunciante); así como, al no haber prescrito la presunta infracción cometida, ordenar a la Subdirección General de Inspección de Datos de esta Agencia realizar la correspondiente investigación en el marco del expediente de actuaciones previas de investigación E/02738/2016. SEGUNDO: En el escrito de denuncia ya citado el denunciante vino a declarar lo siguiente: <<Hace un tiempo (17 Feb) que he envié dos cartas idénticas, a dos empresas que disponen de mis datos personales. “Macro Select Print” y “Sistemas Médicos Aplicados”, aparecen como conocedores de mi nombre y dirección en una carta que he recibido en mi domicilio. (Adjunto copia) Ambas empresas aparecen en un escrito publicitario, la primera como gestora del fichero de datos y la segunda es la que me convoca a una reunión, supongo que de carácter médico-comercial. Me he dirigido a las dos solicitando el acceso a toda la información que disponen sobre mi persona y a la procedencia origen de sus datos sobre mí, así como si han cedido los mismos a otros terceros. “Sistemas Médicos Aplicados” ha contestado adecuadamente a mi escrito (adjunto copia de su carta), y me informa que no gestionan ninguna base de datos, pero que han tenido contratos con “Macro Select Print” para que les realizaran campañas publicitarias. Me dijeron también en su carta, que iban a informar del asunto a Macro Select Print. Sin embargo, esta empresa no ha dado señales de ningún tipo, desde hace ya sobrado tiempo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/32 …, que este escrito sirva ya de denuncia contra “Macro Select Print” por tener datos míos sin que yo sepa cómo los han conseguido y también por negarse a facilitarme la información que les he solicitado. Me pongo a disposición de la AEPD por si precisan cualquier cosa y les ruego tengan la amabilidad de informarme del proceso>> Aportaba documentación: el denunciante, para acreditar estos hechos, la siguiente - Copia del envío citado, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convoca a al denunciante a una demostración comercial a realizar en el HOTEL MELIÁ XXXX (en adelante el HOTEL) en A Coruña el día 19 de febrero 2015. El documento exhibe el logotipo de SISTEMAS MEDICOS PROFESIONALES, cuya denominación actual es PLENISAN, S.L. (en adelante PLENISAN). - Escrito de fecha 17/2/2015 remitido por el denunciante a PLENISAN, en el que ejercitaba el derecho de acceso, indicando expresamente que deseaba saber el origen del que habían obtenido sus datos personales. - Escrito de la misma fecha remitido a MACRO SELECT PRINT S.L. con idéntico contenido al remitido a PLENISAN. - Copia de una carta fechada el 26/2/2015 mediante la cual PLENISAN informaba al denunciante no disponer de sus datos personales, que MSP realizaba campañas publicitarias para PLENISAN, entendiendo que los datos del denunciante obraban en poder de MSP, a quien habían dado traslado de la solicitud del denunciante de no recibir más comunicaciones comerciales. Informaba de igual modo el denunciante que MSP no había dado respuesta alguna a su solicitud. TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades relacionadas con la denuncia y se llevan a cabo las correspondientes acciones al respecto, teniendo conocimiento de lo siguiente, tal como consta en el informe de actuaciones previas de investigación E/02738/2016: 1. <<Solicitada información al HOTEL, ésta ha proporcionado: a. Correo electrónico de fecha 4/11/2014 mediante el que, desde la cuenta T.T.T.@sistemas-medicos.com se solicitaba disponibilidad de salas para la realización de una reunión de exposición y venta. Entre las fechas solicitadas está los días 17 a 19/2/2015. b. Documento de fecha 11/11/2014 mediante el cual se realiza la reserva de sala para los días 17 a 19/2/2015. c. Carta de abono por transferencia, según la cual en fecha 13/2/2015 se realizó el abono de los servicios contratados. d. Factura de fecha 19/2/2015 por los servicios contratados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/32 2. De la información y documentación aportada por Correos respecto del apartado de correos número ***** de Madrid se desprende: a. Mediante contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual del apartado de correos citado, el domicilio aportado fue en la calle (C/...1) Madrid. Aportaban igualmente como teléfono de contacto del administrador el número de línea móvil Q.Q.Q.. b. Junto a la documentación se incluye copia del DNI del administrador de la entidad, en el que figura como domicilio la calle L.L.L. de Madrid. c. Aporta igualmente Correos copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014. En dicha escritura figura D. D.D.D., quien crea la misma actuando en su propio nombre, suscribiendo la totalidad de las acciones emitidas de dicha sociedad constituyéndose como socio único y administrador de la misma. En dicha escritura D. D.D.D. cita como domicilio propio la calle (C/...1) 8 de Madrid, que coincide con la sede social de la entidad constituida. d. Entre la documentación aportada por Correos, figuran como autorizados a recoger la correspondencia de MSP dos empleados de MEYDIS, C.C.C. y F.F.F., según se ha podido acreditar mediante la información aportada por la Tesorería General de la Seguridad Social. 3. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle (C/...1) de Madrid, sede social de MACRO SELECT PRINT S.L., llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono Q.Q.Q., teléfono conocido del administrador único de la entidad, que no es contestada. - A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el interior. Durante la espera se realiza una nueva llamada al número de teléfono Q.Q.Q., que no es contestada. - Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo D. D.D.D., administrador de MACRO SELECT PRINT S.L. Pese a ser el domicilio conocido de MACRO SELECT PRINT S.L. no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. C/ Jorge Juan, 6 28001 – Madrid Se intenta acceder a la calle (C/...1) 18, pero se observa que no existe dicho www.agpd.es sedeagpd.gob.es 4/32 número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/...1) 8 que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle J.J.J., y tras llamar a dicho domicilio, atiende una persona de origen …, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a D. D.D.D.. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee K.K.K. indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con D. D.D.D., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>>. Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones profesionales, solicitan ponerse en contacto con D. D.D.D., la persona que les atiende, que se identifica como D. G.G.G., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a D. D.D.D. que se ponga en contacto con el mismo. El gerente de ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. 4. Mediante escrito con fecha 28 de octubre de 2015 el administrador de MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/32 utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> 5. Se ha solicitado al administrador de MSP que informe de la dirección efectiva de administración y gestión de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos. 6. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. c. Aportan copia del contrato y la factura de servicios profesionales prestados a PLENISAN. 7. Solicitada información al BANCO BILBAO VIZCAYA ARGENTARIA, S.A. respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, se ha podido comprobar que entre el 10/9/2015 y el 2/2/2015 se han realizado un total de 20 accesos desde la dirección IP N.N.N., que está asignada a MEYDIS. 8. Mediante la correspondiente diligencia se ha podido comprobar que en la URL http://es.slideshare........... aparece una presentación publicitaria de MEYDIS en la que se anuncia que la entidad dispone de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos: - persona de contacto (titular del teléfono), - dirección postal completa, - nivel socioeconómico de la unidad familiar, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/32 - edad del titular del teléfono, - nivel cultural del titular del teléfono. 9. La Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda ha informado que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección IP N.N.N.. Dicha IP está asignada a MEYDIS. 10. Solicitada información a MEYDIS por correo postal, la información aportada a través de la sede electrónica de la Agencia presentaba fallos en una serie de documentos que había sido escaneados erróneamente. 11. En fecha se realizó visita de inspección a MEYDIS, en fecha 8/4/2016. Durante la misma los inspectores comunican al representante de MEYDIS S.L. que su visita tiene relación con la denuncia presentada con motivo de un envió publicitario impreso por la entidad. Manifiestan los representantes de la entidad que actualmente existen abiertos un total de siete procedimientos sancionadores contra la misma por idénticos hechos a los que van a ser objeto de la presente inspección, sobre los cuales se ha solicitado la acumulación ante la Agencia y sobre los cuales no se ha abierto fase probatoria, por lo que la información que se obtenga en las presentes actuaciones podría vulnerar el derecho de defensa en dichos procedimientos. Igualmente desean manifestar que se están recabando mediante inspección información que se podría haber recabado igualmente por escrito, sin necesidad de interrumpir el funcionamiento de la empresa. También solicitan hacer constancia que la autorización en base a la cual se realiza la inspección el día de hoy fue concedida por la directora de la Agencia con fecha 21/1/2016, antes de que se incoaran contra MEYDIS los procedimientos sancionadores actualmente abiertos, lo cual entienden que puede afectar a la legalidad de la inspección. 12. Los representantes de MEYDIS S.L. realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Se informa a la entidad de la recepción en la Agencia de la respuesta a una solicitud de información relativa a la campaña SM3742 en la que una parte de los documentos no han sido adecuadamente escaneados, apareciendo recortados los documentos por un lado de la imagen, aportan los representantes de la entidad copia de los documentos. b. Solicitada a la entidad copia en soporte digital de la hoja Excel de la solicitud de información de la campaña por parte de PLENISAN, informan los representantes de MEYDIS que dicha información no está disponible en soporte electrónico solo en papel, además la empleada que se encargaba del tema está de baja desde el día 29/1/2015, mostrando a los inspectores copia de dicho documento, que no se recaba. Solicitado el acceso al ordenador en que se recibieron los correos electrónicos, los representantes de la entidad señalan que tienen permitido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/32 el uso privado a los empleados, por lo que consideran que se estaría vulnerando el secreto de la comunicaciones y no pueden dar acceso dichos correos. Señalado por los inspectores que existe jurisprudencia que permite a la empresa el acceso al correo del empleado, señalan los representantes de la entidad que es únicamente cuando no se permite a los empleados el uso privado, pero en MEYDIS si se permite dicho uso. Respecto al motivo por el que han podido aportar la documentación en posteriores solicitudes de información, los representantes de la entidad informan que se debe a que dicha documentación ha sido impresa y se encuentra archivada. Solicitada documentación relativa a la campaña aludida, manifiestan los representantes de la entidad que solicitemos los documentos que estimemos oportunos, que ellos los proporcionaran. Señalan los inspectores que desean obtenerlos, examinando el lugar en el que los documentos se encuentren, a lo que los representantes de la entidad se niegan, pues consideran que la información obtenida podría ser utilizada en perjuicio de su derecho de defensa en los procedimientos ya incoados por hechos idénticos. Se observa en el correo electrónico aportado por la entidad a través de la sede electrónica, que figura emitido en fecha 28 de enero de 2015 desde la cuenta S.S.S.@sistemas-medicos.com figurando entre los destinatarios I.I.I., con el asunto “a coruña” y un documento adjunto. Solicitado ir al puesto de I.I.I., a fin de que ésta pueda realizar la búsqueda de la documentación y obtener el soporte electrónico de los correos, los representantes de la entidad niegan el acceso al puesto de la misma, por las mismas razones invocadas en el párrafo anterior, afirmando además que los archivos y equipos se encuentran ubicados en locales que tienen la consideración legal de domicilio de la entidad y no ha dado MEYDIS consentimiento para acceder a ellos y carecer los inspectores actuantes de autorización judicial para ello. A tal efecto, invocan el apartado 2 del artículo 28 del Real Decreto 428/1993 por el que se aprueba el Estatuto de la Agencia, por el que se dispone que: <<2. El responsable del fichero estará obligado a permitir el acceso a los locales en los que se hallen los ficheros y los equipos informáticos previa exhibición por el funcionario actuante de la autorización expedida por el Director de la Agencia. Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá ajustarse además a las reglas que garantizan su inviolabilidad.>> Informan los inspectores al inspeccionado que, según señala el RLOPD: <<Artículo 124. Obtención de información. Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación, accediendo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/32 los lugares donde se hallen instalados.>> 13. De la documentación aportada por MEYDIS, tanto a través de la sede electrónica de la Agencia como durante la visita de inspección se desprende. a. Aporta la entidad correo electrónico recibido de PLENISAN con fecha de 28 de enero de 2015, por el que se ordena a MEYDIS la impresión de la publicidad, conforme a las condiciones que figuran en el documento adjunto a dicho e— mail (9 carátulas(Sartenes).xlsx) y que también se aporta junto a este escrito. Examinado dicho documento, se observa que se trata de un correo electrónico de fecha 28 de enero de 2015 desde la cuenta S.S.S.@sistemas-medicos.com con destino a M.M.M. y a I.I.I., con el asunto “a coruña” y un documento adjunto. En la impresión de lo que se supone sería el documento adjunto se muestra: DATOS CARTA: <entidad hostelera> <dirección> <población> Que contrasta con aportaciones anteriores de similar documento en otras actuaciones de inspección, en donde, según la entidad, aparecía: ENVIAR DATOS CARTA: <entidad hostelera> <dirección> <población> E igualmente contrasta con el formato de similar documento obtenido durante la inspección realizada en MEYDIS en fecha 11/1/2016, en donde, para un caso similar se encontró que el formulario remitido por PLENISAN a MEYDIS tenía el formato: ENVIAR DATOS CARTA: - Una x domicilio <entidad hostelera> -Hombres y Mujeres <dirección> - Preferente Mujeres <población> - Eliminar: Analfabetos SocioEconómico: Bajo Por lo que se comprueba que la entidad ha ido cambiando la versión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/32 proporcionada del documento, según actuaciones previas de inspección. han avanzado las diversas b. Correo electrónico de 29 de enero de 201 5, enviado desde MEYDIS a PLENISAN, mediante el que se envía la carta publicitaria impresa para que PLENISAN diese su conformidad, así como prueba anonimizada del documento publicitario de la campaña SMP3724. Examinado el correo, se observa que es emitido por I.I.I. con destino a S.S.S. SMP. c. Correo electrónico de 2 de febrero de 2015, remitido por PLENISAN a MEYDIS dando su conformidad con las pruebas de impresión. d. Correo electrónico de 4 de febrero de 2015 desde MEYDIS a PLENISAN con la carta ya personalizada, para que ésta de su conformidad. Aportan igualmente copia de la carta. e. Correo electrónico de 5 de febrero de 2015 enviado desde PLENISAN a MEYDIS, dando la conformidad final con todo lo anterior. f. Solicitada documentación acreditativa de la fecha en que MSP puso a disposición de MEYDIS el fichero para la confección de la impresión publicitaria, la entidad manifiesta: <<… la empresa MSP no nos informaba de que un fichero estaba disponible para confeccionar la impresión de la publicidad. Simplemente, cada vez que recibíamos una orden de trabajo de nuestro cliente Plenisan, accedíamos al FTP en el que MSP colocaba los ficheros y ya nos encontrábamos colocado ahí el que debía utilizarse para esa concreta carta publicitaria. Como también se ha indicado a esa Agencia en ocasiones anteriores, en la actualidad, ya no conservamos en nuestros sistemas los registros de actividad.>> Sin embargo, la entidad no aporta documentación alguna que acredite dicho hecho. g. Respecto de la facturación de los servicios, aporta la entidad: - Factura emitida por MEYDIS a MSP que incluye servicios de impresión y manipulado realizados. La factura, emitida en fecha 31/3/2015 muestra en concepto de trabajos realizados: <<SERVICIO MAQUETACION, PERSONALIZACION OTROS PROCESOS ERVICIO DE DISEÑO, PERSONALIZACION DE CARTAS EDITORIALES, GRABACION Y OTROS PROCESOS REALIZADOS PARA SUS CLIENTES… >> - C/ Jorge Juan, 6 28001 – Madrid Factura emitida por MEYDIS a PLENISAN con fecha de 28 de febrero de 2015. Esta factura incluye el depósito de esta campaña publicitaria. Se adjunta, además, un extracto del listado de trabajos realizados ese mes. www.agpd.es sedeagpd.gob.es 10/32 Examinada dicha factura, la entidad ha señalado como correspondiente a la campaña publicitaria SM3724 la orden de trabajo 920/15 por la que fueron impresas 76.419 unidades. Según el detalle, los servicios prestados fueron: <<Plegado de carta, ensobrado cierra de sobre, clasificación y preparación para su depósito en Correos (incluye materiales)>> Según el desglose aportado, se facturan un total de 1.074.467 unidades. h. Aporta la entidad en acreditación del pago de las facturas: - Cartas de abono por transferencia de fechas 11/5/2015 y 3/6/2015. El importe total de las transferencias aportadas no coincide con el facturado. - Impresión de pantalla de la cuenta de factoring que mantiene la entidad con Eurofactor, según la cual con fecha 28/2/2015 se giró una factura de vencimiento 25/4/2015 por importe coincidente con la factura emitida a PLENISAN. 14. Solicitada información a PLENISAN, a fecha del presente informe no ha sido recibida respuesta. 15. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversas actuaciones previas de inspección, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. c. Aportan copia del contrato y la factura de servicios profesionales prestados a PLENISAN. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, han resultado infructuosos. 16. De la información aportada por la Tesorería General de la Seguridad Social se ha podido saber que MSP ha tenido inscrita en Seguridad Social a como empleada a H.H.H.. Esta persona ha sido apoderada de DATA INTEGRAL ACTION, SL, entidad que, junto con PLENISAN han sido reiteradamente sancionadas por la Agencia con motivo idénticos a los aquí denunciados. 17. En el marco de las actuaciones previas de inspección de referencia E/00285/2015 por hechos similares, se solicitó información a PLENISAN, quien manifestó: a. La entidad manifiesta: <<Desconocemos los parámetros marcados por la entidad emisora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/32 publicidad para la selección del público objetivo del envío, puesto que dichos criterios son fijados unilateralmente por la tercera empresa a la que, en este caso, encargamos que llevara a cabo las campañas publicitarias de nuestros productos, según figura en el referido contrato. Las medidas adoptadas por nosotros para asegurarnos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas IV y V del contrato que adjuntamos a este escrito, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre de 2011.>> Sin embargo, no aporta documentación acreditativa. b. Aporta copia del contrato fechado el 16/7/2014, figurando en las clausulas citadas: <<IV.- LIST BROKER se compromete al cumplimiento de la Ley Orgánica de Protección de Datos en las campañas que realice para CLIENTE y manifiesta especialmente que no se utilizarán datos de personas inscritas en las Listas Robinson de ADIGITAL y que los datos estarán convenientemente actualizados. V.- LIST BROKER ofrece absoluta garantía de que los datos que se utilizarán se han obtenido exclusivamente de fuentes accesibles al público que estaban vigentes en el momento del tratamiento de los datos, conforme a lo establecido en la Ley de Protección de Datos. En caso de que no procedan de dichas fuentes, dichos datos habrán sido obtenidos con consentimiento de los afectados para e1 envío de comunicaciones comerciales de los productos o servicios de CLIENTE. Las partes están conformes en que estas manifestaciones y garantías ofrecidas por LIST BROKER son las determinantes de que CLIENTE realice las campañas de marketing utilizando las bases de datos del LIST BROKER. En caso de que, en algún momento, esas garantías dejasen de ser ciertas, el contrato se resolverá de pleno derecho. A modo de comprobación, CLIENTE podrá exigir a LIST BROKER que, antes de determinada campaña, le facilite un muestreo aleatorio de los datos a utilizar en ella, para que CLIENTE pueda verificar que figuran en las fuentes accesibles al público vigentes.>> Donde LIST BROKER se refiere a MSP. 18. En fecha 3 de noviembre de 2015 se realizó una visita de inspección a PLENISAN. Durante la misma los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Solicitada documentación acreditativa de la oferta comercial realizada por MSP en base a la cual se suscribió el contrato con dicha entidad, los representantes de PLENISAN manifiestan que ese asunto lo llevó el socio de la entidad D. E.E.E.. Solicitada la presencia de dicha persona, los representantes de la entidad tras realizar una llamada a la misma, informan que no está disponible, ya que un familiar se encuentra hospitalizado, por lo que el socio no puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/32 venir a la empresa. El conocimiento de la existencia de MSP y los servicios que presta fue a través de terceros, MEYDIS y otras empresas del sector. b. Respecto al funcionamiento de la entidad con MSP, informan que: - La entidad elige una localidad y contrata un hotel en la misma, donde se realizará la demostración comercial y captación de clientes. - Concertado el hotel, se comunica a MSP el lugar y fecha en que se realizará el evento, ya sea por teléfono, correo electrónico o fax. Dicha comunicación se hace por el socio de la entidad, por lo que no se puede concretar la forma precisa en que se hizo. - MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS. MSP también diseña la creatividad publicitaria. - MEYDIS realiza la impresión y ensobrado de la publicidad, así como su puesta en correos. - Posteriormente, Correos pasa factura a PLENISAN del envío realizado. c. Los inspectores actuantes solicitan a los representantes de la entidad que informen de cómo se controla que la comunicación sea fiable y no haya confusión en las fechas localidades. Los representantes de la entidad informan que MSP envía a PLENISAN copia de la carta publicitaria, previa a su envío a impresión tras la conformidad de PLENISAN. Los correos electrónicos se borran tras el envío, por lo que no se pueden aportar. d. Solicitada información de contacto en MSP, los representantes de la entidad informan que se relacionan con la entidad a través de dos personas, ***NOMBRE.1 y ***NOMBRE.2, con los que se ponen en contacto por medio del teléfono P.P.P.. Se realizan tres llamadas a dicho número de teléfono durante la inspección. En la tercera de ellas, una persona que no se identifica dice que ***NOMBRE.1 está reunida y que no pueden atender. Solicitada la identificación de la empresa, no es facilitada por el interlocutor. Se facilita el número de teléfono del inspector actuante para que ***NOMBRE.1 llame posteriormente. Aporta la entidad copia del contrato de servicios suscrito con MEYDIS. 19. Los inspectores de la Agencia solicitan al representante de PLENISAN que les permita el acceso a sus sistemas de información donde se realizan las siguientes comprobaciones: a. Se realiza un acceso al correo electrónico del ordenador del director comercial, comprobándose que en las papeleras de reciclaje de las diversas cuentas se encuentran la mayor parte de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/32 los correos electrónicos, y que en la bandeja de entrada solo aparecen unos pocos mensajes. b. Se hace una búsqueda con el criterio MACRO encontrándose 12 correos electrónicos en diferentes carpetas. Se imprime correo electrónico dirigido por PLENISAN a MSP solicitando una muestra de 50 registros. Analizado dicho correo, se comprueba que fue emitido en fecha 2/11/2015 desde la cuenta direccion@plenisan.com con destino a la cuenta O.O.O.@hotmail.com y en el mismo se pide: <<Como continuación a nuestra conversación telefónica necesito que me remitas a la mayor brevedad posible: - Una nuestra de 50 registros del fichero de Macro Select Print, SL que estén en los repertorios telefónicos de la ciudad de León, antes del 23-10-2014>> Informan los representantes de la entidad que dicha solicitud tenía como objeto la presentación de alegaciones ante la AEPD. Se imprime copia de la respuesta a la anterior solicitud, desde una cuenta ...@meydis.com anexando el fichero solicitado. Igualmente, se incluye una impresión del fichero Excel incluido en el correo. Analizado dicho correo, se comprueba que aparece remitido fecha 2/11/2015 desde direccion@plenisan.com con destino a la cuenta gestión@plenisan.com. En el mismo se redirige un correo electrónico del mismo día y remitido desde la cuenta ...@meydis.com con destino a direccion@plenisan.com con copia a otras dos cuentas del dominio meydis.com. Mediante la correspondiente diligencia se ha realizado un acceso a la web de la Comisión Nacional de los Mercados y la Competencia comprobándose que MEYDIS consta entre las entidades que tienen acceso al SGDA. Se adjunta un correo electrónico de fecha 17/9/2014 en que el emisor informa a la entidad no haber prestado nunca su consentimiento al tratamiento de sus datos por MSP ni por PLENISAN. c. Se realiza una consulta con el criterio BAJA DATOS, encontrándose 94 correos electrónicos que cumplen dicho criterio. d. Se realiza una consulta con el criterio PRINT, encontrándose numerosos correos electrónicos que cumplen dicho criterio. Se imprime uno de ellos relativo a una solicitud de baja dirigida a PRINT LASER SPAIN S.L. e. Se realiza una consulta con el criterio FALLECI, encontrándose 22 correos electrónicos que cumplen dicho criterio. Los representantes de la entidad informan que se limitan solicitar la cancelación de los datos a MSP por via telefónica, informando a los solicitantes que se ha procedido a comunicar al responsable del fichero la solicitud. f. C/ Jorge Juan, 6 28001 – Madrid Se imprime un correo electrónico fechado el 27/10/2015 en el que www.agpd.es sedeagpd.gob.es 14/32 se da respuesta a una persona que ha solicitado el ejercicio del derecho de cancelación, y por el que se le informan que su petición ha sido trasladada al responsable del fichero. g. Se solicita el acceso al sistema de contabilidad donde se realiza impresión de las cuentas de MSP y MEYDIS de 2014 y 2015. h. Solicitado el acceso al sistema de planificación de los eventos, los representantes de la entidad manifiesta que la planificación la lleva D. E.E.E., que no se encuentra en la entidad. 20. Tras la inspección a PLENISAN, en múltiples requerimientos de información posteriores, puntualiza lo manifestado durante la inspección: a. Manifiesta la entidad: <<Plenisan, S.L. no elige una localidad segmentando la geografía española, puesto que Plenisan, S.L. realiza acciones de venta en todo el territorio nacional. Cuando en el acta se dice que “la entidad elige una localidad” a lo que se refiere es a que elige una acción de ventas entre las propuestas por Macro Select Print (puesto que es esta la que prepara las acciones para Plenisan, tal y como figura en el contrato, las facturas y resto de documentos aportados ya a la AEPD) dependiendo de la lejanía, las fechas (no es lo mismo una acción la víspera de Nochebuena, cerca o lejos del domicilio del comercial, etc.), disponibilidad del hotel, disponibilidad de los comerciales, presupuesto del que se disponga (una acción en una gran ciudad requiere un presupuesto diferente de otra en una pequeña localidad), etc. Por eso, más que de elegir” una localidad, lo que hacemos es “descartar” las que no son idóneas de la propuesta de Macro Select Print, por determinadas circunstancias que hacen imposible hacer allí la acción comercial. Una vez conocida por Plenisan la localidad en la que se realizará la campaña, contrata al Hotel (entre los disponibles en esa localidad) y le confirma a Macro Select Print (habitualmente, por vía telefónica) el lugar y fecha del evento, pues podría darse el caso de no haber disponibilidad del hotel o cualquier otro inconveniente (fiestas, huelgas, coincidencia con empresas de la competencia, etc.). En cualquier caso, reiteramos, es Macro Select Print quien determina y prepara las acciones comerciales para Plenisan; como figura en el contrato y en los escritos que hemos remitido a la AEPD. En este sentido y respondiendo al requerimiento que nos hace la AEPD, tenemos que decir que, cuando el Acta de la inspección dice que “MSP también diseña la creatividad publicitaria”, se refiere a la creación de la acción comercial en concreto; es decir, si es conveniente o no que la carta vaya personalizada, si es mejor imprimir por las dos caras o sólo por una, si se debe adjuntar a la carta algún regalo promocional, si es conveniente o no adjuntar a la carta una hoja de respuesta, incluir en ella un teléfono de confirmación de asistencia, etc. Pero el mecanografiado de la carta y su arte definitivo lo hace Plenisan, en base a una serie de modelos de trabajo predefinidos que se utilizan para ello y que fueron facilitados en su momento por nosotros a la empresa Meydis, S.L., encargada de la impresión y envío de las cartas. Así, en cada campaña de marketing, una vez determinada la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/32 carta modelo que se va a utilizar en ella, Plenisan lo comunica a Meydis, S.L., que es quien se encarga de su impresión y ensobrado, para enviarla a sus destinatarios.>> b. Respecto de la creatividad utilizada para las campañas publicitarias, manifiesta la entidad: <<La solicitud para que se procediese a la impresión y envío de las cartas de esta campaña se la enviamos a la empresa Meydis, S.L. mediante correo electrónico de 5 de febrero de 2015. Dicho correo incluía un archivo adjunto con la orden de impresión de las cartas. Se acompaña a este escrito.>> Aporta en cada caso correos electrónicos la remitido a la entidad hostelera en que se realiza el evento, que contienen un fichero anexo en formato Excel así como la impresión del formulario de petición en el que aparece: ENVIAR DATOS CARTA: <entidad hostelera> <dirección> <población> El formato de dicho formulario contrasta con el encontrado durante la inspección realizada en MEYDIS en fecha 11/1/2016, en donde, para un caso similar se encontró que el formulario remitido por PLENISAN a MEYDIS tenía el formato: ENVIAR DATOS CARTA: - Una x domicilio <entidad hostelera> -Hombres y Mujeres <dirección> - Preferente Mujeres <población> - Eliminar: Analfabetos SocioEconómico: Bajo Aunque no se refiere al mismo envío origen de la presente denuncia, este formato contrasta con el aportado por PLENISAN en solicitudes por correo, en donde la columna de criterios de selección ha desaparecido. Además, los criterios de selección fijados están entre los que aparecen en la presentación publicitaria de MEYDIS encontrada en Internet>>. CUARTO: Con fecha 30 de septiembre de 2016 la Directora de esta Agencia acordó iniciar procedimiento sancionador a MACRO SELECT PRINT, S.L. por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica, pudiendo ser sancionada cada una de las citadas sociedades con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/32 Este Acuerdo de inicio fue notificado a MACRO SELECT PRINT, S.L. en fecha 17 de octubre de 2016 por D. D.D.D., con DNI. núm. R.R.R. en la correspondiente oficina de Correos, tras dos intentos de entrega con aviso en el buzón en fechas 11 y 10 de octubre de 2016, respectivamente. QUINTO: Con fecha 28 de noviembre de 2016 se inició el periodo de práctica de pruebas, dando por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A., los documentos obtenidos y generados por los Servicios de Inspección en el expediente de actuaciones previas de investigación E/02738/2016, con el informe de la Inspección de Datos de esta Agencia de fecha 10 de junio de 2016. También se incorporaron al expediente y, por tanto, dar por reproducido a efectos probatorios la documentación obrante en los archivos de esta Agencia, de manera especial, en los procedimientos sancionadores PS/00047/2016, PS/00053/2016, PS/00107/2016, PS/00121/2016, PS/00124/2016, PS/00190/2016 y PS/00417/2016. Todo ello con su correspondiente documentación adjunta. Este Acuerdo de inicio de práctica de pruebas fue notificado a MACRO SELECT PRINT, S.L. en fecha 29 de noviembre de 2016 por D. D.D.D., con DNI. núm. R.R.R. en la correspondiente oficina de Correos, tras dos intentos de entrega con aviso en el buzón en fechas 1 y 5 de diciembre de 2016, respectivamente. HECHOS PROBADOS PRIMERO: Que D. A.A.A. manifestó a esta Agencia Española de Protección de Datos que: “Hace un tiempo (17 Feb [de 2015]) que he envié dos cartas idénticas, a dos empresas que disponen de mis datos personales. “Macro Select Print” y “Sistemas Médicos Aplicados”, aparecen como conocedores de mi nombre y dirección en una carta que he recibido en mi domicilio. Ambas empresas aparecen en un escrito publicitario, la primera como gestora del fichero de datos y la segunda es la que me convoca a una reunión, supongo que de carácter médico-comercial”; ello sin su consentimiento, desconociendo el denunciante en relación con sus datos personales “como los han conseguido” y “también por negarse a facilitarme la información que les he solicitado” (folio 1), por no tener “ningún tipo de relación comercial ni de ninguna otra índole” con dichas entidades (folio 5). SEGUNDO: Que para acreditar estos hechos aportó copia del envío citado en el punto anterior, escrito con el logotipo de SISTEMAS MÉDICOS PROFESIONALES, en la actualidad PLENISAN, S.L., y ref. *********, en el que aparecen el nombre y apellidos del denunciante, así como su dirección postal completa, incluyendo el piso y la puerta; con la convocatoria para un acto de objeto indeterminado, con “nuestro reconocimiento a su fidelidad”, en el que se procedería al regalo de “Un juego de sartenes cerámicas de cinco piezas”, a realizar en el HOTEL MELIÁ XXXX en A Coruña el día 19 de febrero 2015 (folio 4). TERCERO: Que en lateral del escrito detallado el punto 2º anterior se recoge que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/32 datos personales tenían su origen en un fichero de MACRO SELECT PRINT, S.L., informando que los derechos de acceso, rectificación, cancelación u oposición podían ejercitarse en el Apartado de Correos núm. *****, Madrid (folio 15). CUARTO: Que MACRO SELECT PRINT, S.L. ha manifestado a esta Agencia, y como consta suficientemente acreditado en respuestas a múltiples requerimientos de información realizados en diversas actuaciones previas de inspección, que los datos personales para campañas publicitarias habían sido obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.), revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc; sin que nunca se haya aportado prueba acreditativa de ello y utilizando parámetros de identificación de los destinatarios de cada campaña, consistiendo en una segmentación por zona de ubicación del domicilio (folio 175). QUINTO: Que MACRO SELECT PRINT, S.L., aparte de las manifestaciones detalladas en el punto 4º anterior, no ha aportado documentación que acredite que dispusiese del consentimiento de D. A.A.A. para el tratamiento de sus datos personales que se ha descrito en los puntos 1º y 2º anteriores; así como que tuviesen con él algún tipo de relación comercial. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Tal como se consignaba en el Acuerdo de inicio del presente procedimiento sancionador, que de no efectuar alegaciones sobre el contenido de éste se podía considerar propuesta de resolución, según lo dispuesto en el artículo 13.2 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, de aplicación de acuerdo con lo establecido en la Disposición transitoria tercera de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), indicar que la entidad MACRO SELECT PRINT, S.L. no ha presentado alegaciones. En este sentido, hay que recordar que ese Acuerdo de inicio fue notificado a MACRO SELECT PRINT, S.L. en fecha 17 de octubre de 2016 por D. D.D.D., con DNI. núm. R.R.R. en la correspondiente oficina de Correos, tras dos intentos de entrega con aviso en el buzón en fechas 11 y 10 de octubre de 2016, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/32 III Antes de analizar el fondo de la cuestión es preciso precisar algunas cuestiones preliminares de concepto. Así, el artículo 43.1 de la LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, al disponer que: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley“. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
3. d)de la LOPD, el “Responsable del fichero o tratamiento” es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
4. q)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) se considera como “Responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” A su vez, los apartados b), c), y
5. e)del mencionado artículo 3 de la LOPD definen los siguientes conceptos: “
6. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
7. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
8. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
9. c)del presente artículo”. La LOPD, en su artículo 2, y en relación con el ámbito de aplicación objetivo de la norma, lo circunscribe a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. De acuerdo con esta delimitación, la LOPD establece la definición del fichero y diferencia las figuras de responsable del fichero y de responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
10. b)y
11. d)de ese artículo 3.
12. b)y
13. d)de la LOPD anteriormente transcritos. Ello es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro ordenamiento jurídico, y conforme a ella, en el caso de los datos personales susceptibles de tratamiento automatizado, se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Por otra parte, el Reglamento general de protección de datos, Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/32 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, establece en su artículo 2.1 que el objeto de la norma es el “tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”; norma en vigor y aplicable a partir del 25 de mayo de 2018. De acuerdo con lo que se ha señalado, el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros e, incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables conforme a lo previsto en el artículo 12.4 de dicha norma. Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su sentencia de 26 de enero de 2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
14. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se ha pronunciado la Audiencia Nacional en su sentencia de 3 de marzo de 2004, citada entre otras en su sentencia de 18 de enero de 2006, al señalar que: “El ámbito subjetivo del ilícito administrativo descrito son los <<responsables de los ficheros y los encargados de los tratamientos>>, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/32 de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al <<responsable del fichero>>, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
15. d)de la Ley Orgánica 15/1999, bajo la expresión <<responsable del fichero o tratamiento>>, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
16. d)y g), respectivamente, de la Ley Orgánica 15/1999”. En concordancia con la doctrina expuesta, en el presente caso concreto se produce un tratamiento de los datos personales de la persona denunciante para la realización de un envío de publicidad postal (pues no se acredita relación comercial, tal como se irá analizando con más detalle a continuación), en el que figuraban su nombre, apellidos y dirección postal con número de calle, piso y puerta; envío que se realizó utilizando un fichero de MACRO SELECT PRINT, S.L. En consecuencia, MACRO SELECT PRINT, S.L. se considera responsable de este específico tratamiento de datos personales. IV Expuesto lo que antecede, decir que el artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/32 saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Por otra parte, el artículo 6 del ya citado Reglamento general de protección de datos, Reglamento (UE) 2016/679 establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
17. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
18. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma en vigor y aplicable a partir del 25 de mayo de 2018. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En consecuencia, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006, por todas, viene a señalar que: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. En el presente caso concreto, con fecha de 14 de abril de 2015 D. A.A.A. manifestó a esta Agencia Española de Protección de Datos que: “Hace un tiempo (17 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/32 Feb) que he envié dos cartas idénticas, a dos empresas que disponen de mis datos personales. “Macro Select Print” y “Sistemas Médicos Aplicados”, aparecen como conocedores de mi nombre y dirección en una carta que he recibido en mi domicilio. Ambas empresas aparecen en un escrito publicitario, la primera como gestora del fichero de datos y la segunda es la que me convoca a una reunión, supongo que de carácter médico-comercial”; ello sin su consentimiento, desconociendo el denunciante en relación con sus datos personales “como los han conseguido” y “también por negarse a facilitarme la información que les he solicitado” (folio 1), por no tener “ningún tipo de relación comercial ni de ninguna otra índole” con dichas entidades (folio 5). En efecto, y tal como consta acreditado en el expediente, en el envío citado, un escrito con el logotipo de SISTEMAS MÉDICOS PROFESIONALES, en la actualidad PLENISAN, S.L., y ref. *********, aparecen consignados el nombre y apellidos del denunciante, así como su dirección postal completa, incluyendo el piso y la puerta; con la convocatoria para un acto de objeto indeterminado (con “nuestro reconocimiento a su fidelidad”, en el que se procedería al regalo de “Un juego de sartenes cerámicas de cinco piezas”), evento a realizar en el HOTEL MELIÁ XXXX en A Coruña el día 19 de febrero 2015 (folio 4). Y, aunque en ese escrito pudiera darse a entender que existía una relación comercial entre el denunciante y PLENISAN (con “nuestro reconocimiento a su fidelidad”) lo cierto es que se trata de una convocatoria con objeto indeterminado. De igual modo, hay que indicar que en lateral del escrito detallado anteriormente se recoge que los datos personales tenían su origen en un fichero de MACRO SELECT PRINT, S.L., informando que los derechos de acceso, rectificación, cancelación u oposición podían ejercitarse en el Apartado de Correos núm. *****, Madrid (folio 15). Por su parte, MACRO SELECT PRINT, S.L. ha manifestado a esta Agencia, y como consta suficientemente acreditado en respuestas a múltiples requerimientos de información realizados en diversas actuaciones previas de inspección, que los datos personales para campañas publicitarias habían sido obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.), revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc; sin que nunca se haya aportado prueba acreditativa de ello y utilizando parámetros de identificación de los destinatarios de cada campaña, consistiendo en una segmentación por zona de ubicación del domicilio (folio 175). Pese a ello, MACRO SELECT PRINT, S.L., aparte de estas diversas manifestaciones, vagas y sin concreción, no ha aportado documentación alguna que acredite que dispusiese del consentimiento inequívoco de D. A.A.A. para el tratamiento de sus datos personales que se ha descrito más arriba; así como que tuviesen con él algún tipo de relación comercial. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/32 tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. El citado Reglamento General de Protección de Datos de la Unión Europea 2016/679 en su artículo 7.1) sintetiza, por su parte, en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco de la persona denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. Abundando en este sentido, procede citar, por todas, la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Hay que insistir que MACRO SELECT PRINT, S.L. no ha aportado ninguna documentación que acredite que dispusiese del consentimiento inequívoco de D. A.A.A. para el tratamiento de datos personales denunciado, ni que hubiese habilitación legal para ello. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte de MACRO SELECT PRINT, S.L. y que es responsable de dicha infracción al artículo citado. V Una vez que se aprecia la existencia de una convocatoria poco transparente para en realidad la promoción de productos de salud, indicar que el artículo 30.1 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/32 LOPD, relativo a los “Tratamientos con fines de publicidad y de prospección comercial”, establece que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. Por su parte, el artículo 45.1 del RLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, desarrolla el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
19. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
20. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
21. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ Asimismo, el artículo 46 del RLOPD establece lo siguiente: “Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
22. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
23. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
24. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/32 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. De acuerdo con el art. 43 de la LOPD y 46.2 del RLOPD se puede considerar responsable del fichero, y por ello del tratamiento de los datos de la persona denunciante, aunque no interviniera en el diseño y ejecución de la campaña publicitaria objeto de valoración, pero sí al ser responsable del fichero utilizado para su desarrollo, contenidos en el fichero titularidad de MSP, según el propio envío postal, y pese a no haber participado en la fijación de los criterios de selección de los destinatarios de la publicidad, tal y como se desprendería del contrato firmado entre las partes, que se describe en las actuaciones previas de investigación. Amén de lo cual, dada la naturaleza publicitaria del tratamiento de datos personales analizado, en este caso resulta de aplicación lo previsto en los citados artículos 30.1 de la LOPD y 45.1 del RLOPD. Así, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el artículo 6.1 de la LOPD en su relación con lo previsto en el artículo 30.1 de esa misma norma, y en relación también con su desarrollo reglamentario, el consentimiento inequívoco de los afectados o que sus datos procedan de fuentes de acceso público, sin que en el presente caso concreto este extremo se haya acreditado por parte de MACRO SELECT PRINT, S.L. VI Antes de continuar, es obligado precisar que en el supuesto examinado, de las actuaciones practicadas se desprende que el tratamiento publicitario de los datos personales de la persona denunciante, que ha resultado acreditado, y del que son responsables las dos entidades denunciadas en el uso de los datos en el que se enmarca el envío estudiado, se desarrolló sin estar amparado en alguno los supuestos previstos en los artículos 6.1 y 30.1 de la LOPD citados. En las actuaciones efectuadas en el procedimiento no consta que MACRO SELECT PRINT, S.L. ha probado contar con el consentimiento inequívoco de D. A.A.A., para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por el propio denunciante o por haberse obtenido con su consentimiento para tal finalidad, circunstancias, además, negadas de manera expresa por el denunciante a la vista de los términos de su denuncia. Tampoco MACRO SELECT PRINT, S.L. ha justificado que concurriera alguno de los supuestos que dispensarían de tal consentimiento recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento, y que para este caso requeriría justificar que los datos personales del denunciante utilizados para remitir el envío postal publicitario denunciado procedían de fuentes accesibles al público establecidas en el artículo 3.
25. j)de la LOPD, en concreto, de repertorios telefónicos de uso vigente, como se señala en la cláusula 2 del contrato de fecha 2 de junio de 2013, detallado en la investigación previa llevada a cabo. El artículo 3
26. j)de la LOPD define como fuentes accesibles al público “ aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/32 específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. En el presente caso concreto, resulta que MACRO SELECT PRINT, S.L. ha acreditado que los datos personales de la denunciante se obtuvieran de repertorios telefónicos, al igual que no han probado que fueran datos vigentes en el momento de su posible obtención y uso publicitario al no facilitar, tampoco, la fecha de acceso de dichos datos, tratándose de una información que resulta relevante a los efectos del cómputo del plazo de vigencia durante el cual se mantiene la naturaleza de fuentes de acceso público, ello conforme a lo previsto en el artículo 28.3 de la LOPD que al regular los “Datos incluidos en las fuentes de acceso público”, establece que: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención.” Además, a la vista de los datos personales tratados dicho origen únicamente podría asignarse a los datos del nombre, apellidos, calle y número del domicilio postal de la afectada, población y provincia, pero no al dato del piso y puerta la casa que también figura reseñado en el envío publicitario recibido por el denunciante (folio 4) que al equiparse a los datos de piso y puerta no podría proceder de repertorios telefónicos al no incluirse dicha información en los mismos. Se observa que la entidad inculpada en su calidad de responsable del fichero utilizado para el tratamiento publicitario analizado deben estar, por consiguiente, en condiciones de acreditar que cuentan con el consentimiento inequívoco de los afectados o cobertura legal para realizar el repetido tratamiento, estableciéndose a este respecto en los apartados 1 y 3 del artículo 12 del RLOPD que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ En este sentido, la sentencia de la Audiencia Nacional de fecha 11 de mayo de 2001, por todas, en un supuesto similar, dispone que “quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/32 Sin embargo, reiterar que MACRO SELECT PRINT, S.L. ha aportado ningún medio de prueba que permita acreditar que el tratamiento efectuado se realizó con las garantías establecidas en los artículos 6.1 y 30.1 de la LOPD, motivo por el que cabe concluir que MACRO SELECT PRINT, S.L. ha vulnerado lo dispuesto en el artículo 6.1 de la LOPD al no haber acreditado que mediaba el consentimiento inequívoco del denunciante para usar sus datos personales con fines publicitarios y de prospección comercial o justificar, en su caso, que el supuesto examinado concurría alguna de las excepciones al principio general del consentimiento consagrado en dicho precepto. Consecuentemente, los datos personales de la afectada fueron utilizados con fines publicitarios por las dos entidades citadas, sin que éstas contasen con su consentimiento inequívoco para ello. VII El artículo 44.3.
27. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. De acuerdo con todo lo expuesto anteriormente, la infracción es imputable, a la entidad MACRO SELECT PRINT, S.L. en su condición de responsable del fichero utilizado para el tratamiento analizado. En el presente caso concreto, MACRO SELECT PRINT, S.L. ha tratado los datos personales de la persona denunciante sin su consentimiento inequívoco, ni habilitación legal para ello (relación comercial), y han conculcado en consecuencia el principio de consentimiento regulado en el artículo 6.1 de la LOPD, en relación aquí además con el artículo 30.1 de la misma norma, y en relación también con los artículos 45 y 46 del RLOPD, que encuentra su tipificación en el artículo 44.3.
28. b)de la LOPD. VIII El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
29. a)El carácter continuado de la infracción.
30. b)El volumen de los tratamientos efectuados.
31. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
32. d)El volumen de negocio o actividad del infractor.
33. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
34. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/32
35. g)La reincidencia por comisión de infracciones de la misma naturaleza.
36. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
37. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
38. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
39. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
40. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
41. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
42. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
43. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/32 actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Asimismo, la sentencia de 21 de enero de 2004 de la Audiencia Nacional ha señalado que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos” (rec. núm. 1939/2001). E incidiendo en este aspecto, la sentencia de la Audiencia Nacional de fecha 20 de noviembre de 2013, respecto a la solitud de aplicación del apartado 5 del artículo 45 de la LOPD, dice que: “Si ello lo relacionamos con que para aminorar Ia sanción, a tenor del apartado 5 del artículo 45 LOPD, deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera “significativa”, concurrencia significativa que no se da en el presente supuesto y que por otra parte, en el mismo apartado 4, se prevé como circunstancia agravante Ia reincidencia, y es un hecho notorio Ia reiteración de conductas infractoras en materia de protección de datos por parte de (…), de todo ello concluimos que el articulo 45.5 LOPD no puede ser aplicado en el caso” (R. núm. 279/011). Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. 2. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12 de noviembre de 2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/32 mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que las entidades hubieran actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrieron en una grave falta de diligencia. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (SSTS de fecha 23 de octubre de 2006 y 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
44. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” 3. Por las medidas adoptadas (apartado 4.i), no se acredita que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. En el presente caso no consta que MACRO SELECT PRINT, S.L. haya implantado medidas suficientes para verificar, en forma fehaciente, la licitud del tratamiento efectuado con datos personales utilizados para desarrollar en beneficio de terceros la campaña de marketing directo, lo que lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de MACRO SELECT PRINT, S.L. en el ilícito administrativo imputado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/32 Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave en cualquier caso. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal (apartado 4.c), el grado de intencionalidad (apartado 4.
45. f)y en relación a las medidas adoptadas (apartado 4.i), procede imponer por ello sendas multas en una cuantía próxima al mínimo de 60.000 € a MACRO SELECT PRINT, S.L. por la infracción grave cometida. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MACRO SELECT PRINT, S.L. una multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.1 de la misma norma y en relación también con los artículos 45 y 46 del RLOPD; infracción tipificada como grave en el artículo 44.3.
46. b)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica. SEGUNDO: NOTIFICAR la presente Resolución a MACRO SELECT PRINT, S.L. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº B.B.B. abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/32 LOPD), y de conformidad con lo establecido en el los artículos 123 y 124 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes, a contar desde el día siguiente a la notificación de esta resolución, o, directamente, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es