PS-00353-2017

1/32 Procedimiento Nº PS/00353/2017 RESOLUCIÓN: R/03354/2017 En el procedimiento sancionador PS/00353/2017, instruido por la Agencia Española de Protección de Datos a la entidad AGME DIRECT, S.L., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21/07/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de Dña. A.A.A. (en lo sucesivo la denunciante 1), en el que denuncia a las entidades Gabinetes de Audioprótesis, Electromedicina y Servicios, S.A. (en lo sucesivo GAES), AGME Direct, S.L. (en lo sucesivo AGME Direct) y Comunicación Personal B.P.G., S.L. por la utilización de sus datos personales, sin su consentimiento, para la realización de envíos postales publicitarios dirigidos a su domicilio. Según la denunciante, este envío tuvo lugar en abril de 2016. Se trata de una carta publicitaria personalizada de la entidad GAES, en la que le reservan cita para revisión del día 20/04 al 14/05/2016, constando en la misma que “los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal B.P.G., S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores de ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONGs. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose, por escrito, a AGME, Apartado de Correos 24, 08760 Martorell o llamando al ***TLF.1”. La denunciante 1 añade que solicitó el acceso a sus datos personales y su procedencia a la entidad AGME Direct, que respondió informando que los datos que disponen son: nombre, apellidos y domicilio postal, los cuales fueron facilitados por la empresa Comunicación Personal B.P.G. Asimismo, solicitó el acceso a sus datos personales y su procedencia a la entidad Comunicación Personal B.P.G., sin haber recibido respuesta. Posteriormente, GAES remitió escrito a la denunciante 1 comunicando que sus datos personales no forman parte de ningún fichero de la entidad. A este respecto, manifiesta la denunciante 1 que nunca se ha dirigido a dicha entidad ni a sus asociados por lo que desconoce cómo han obtenido sus datos. Con el escrito de denuncia se aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 2/32  Carta publicitaria remitida por GAES dirigida a la denunciante 1, con detalle de su nombre,     apellidos y domicilio postal, constando la indicación de piso y puerta; campaña “Tiene una cita con su audición”, en la que le indican “Cita reservada para: B.B.B.: del 20 de abril al 14 de mayo”, así como la dirección postal del centro GAES al que debe dirigirse, en el pie de página consta el texto reproducido anteriormente. Respuesta dada por AGME Direct, de fecha 12/05/2016, al ejercicio del derecho de acceso de la denunciante 1, en la que le comunican que los datos que disponen son nombre, apellidos y domicilio postal, que constan en la carta que recibió. Los mencionados datos fueron facilitados por la empresa Comunicación Personal B.P.G., tal y como se indica en la publicidad remitida. Que no incorporan sus datos a ningún fichero y que proceden a su cancelación. Escrito de la denunciante 1 dirigido a la entidad Comunicación Personal B.P.G., de fecha 23/05/2016, solicitando el derecho de acceso a sus datos personales y su procedencia. Respuesta dada por AGME Direct, de fecha 06/07/2016, mediante correo electrónico, en el que le informan que “respecto a la entidad Comunicación Personal B.P.G. solo puedo decirle que nuestra empresa estableció UN CONTRATO con la misma en julio de 2013 y que cumplido el mismo no hemos tenido relaciones comerciales con ellos”. Escrito de GAES dirigido a la denunciante, de fecha 07/07/2016, en la que le informan que sus datos de carácter personal no forman parte de ningún fichero del Grupo GAES y que han comunicado el ejercicio de cancelación de sus datos a uno de los proveedores externos AGME Direct, encargados de la realización de comunicaciones comerciales. SEGUNDO: Vista la denuncia reseñada en el Antecedente Primero, se acordó la apertura de Actuaciones Previas de Investigación señaladas con el número E/04535/2016, durante la cual los Servicios de Inspección de esta Agencia llevaron a cabo las siguientes actuaciones: 1. Los datos personales de la denunciante 1, con fecha de 31/05/2017, no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 2. Con respecto a la compañía GAES: De las actuaciones realizadas por la Inspección de Datos en el establecimiento de dicha compañía, con fecha de 14/06/2017, y de la documentación remitida con fecha 06/02 y 21/06/2017, se desprende lo siguiente:  La compañía GAES mantiene una relación comercial y de servicios con la empresa AGME Direct (antes GODIRECT, S.L. y en adelante Proveedor), según contrato de fecha 09/01/2009, mediante el que AGME Direct elaborara listados de destinatarios para la realización de campañas publicitarias (…). En dicho contrato se detallan, entre otras, las cláusulas que constan reseñadas en el Hecho Probado Segundo. Se adjunta copia de dicho contrato y de la factura de la campaña PRIMAVERA 2016 “Tiene una cita con su audición”, la cual dio origen al envío de la comunicación comercial a la denunciante, de fecha 11/03/2016.  Para la campaña PRIMAVERA 2016, realizada mediante envíos personalizados, los listados de los destinatarios fueron elaborados por la compañía AGME Direct a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades. Los criterios utilizados en la campaña fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa de la procedencia de los datos personales de los destinatarios: fichero y C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 3/32 empresa titular del mismo, en el caso del envío realizado a la denunciante 1 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña PRIMAVERA 2016 fue de 2.819.305, siendo el origen de los datos de 1.490.504 destinatarios el fichero “ASTRO”. Para la citada campaña, GAES y AGME Direct suscribieron, con fecha de 16/03/2016, Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña PRIMAVERA 2016, cuya copia adjuntan ambas compañías.  La compañía AGME Direct no ha facilitado los listados de los destinatarios de la campaña PRIMAVERA 2016 a GAES, por lo que GAES no ha tratado los datos personales de los mismos, ni ha mantenido relación comercial con la empresa Comunicación Personal B.P.G., S.L.  Los datos de la afectada (nombre completo y dirección postal), que fueron utilizados por GAES para enviarle la carta, de fecha 07/07/2016, en la que le informan que sus datos de carácter personal no forman parte de ningún fichero del Grupo GAES, dichos datos fueron facilitados por AGME Direct a GAES, con objeto de dar respuesta a la reclamación efectuada por su esposo mediante conversación telefónica al punto de venta de GAES, de la ***CALLE.1. Dicha persona facilitó su nombre y apellido y teléfono móvil ( F.F.F. y H.H.H.). Dichas circunstancias constan en los correos electrónicos remitidos por dicho punto de venta al Departamento de Protección de Datos de GAES y por éste a AGME Direct. La Inspección de Datos ha verificado que los datos de la denunciante 1 no constan en los sistemas de información de la compañía GAES. Si bien, en el registro denominado “incidencias” figura información asociada a la denunciante referente al ejercicio del derecho de acceso y cancelación. 3. Con respecto a la compañía AGME Direct: De la información y de la documentación remitida por dicha compañía, con fecha 07/02/2017 y 19/06/2017, a través de la compañía GAES, se desprende lo siguiente:  La empresa AGME Direct suscribió contrato con Comunicación Personal B.P.G., S.L. el 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía. Entre los activos adquiridos se encuentra la base de datos de usuarios. Del contenido de este contrato se destacan los acuerdos reseñados en el Hecho Probado Tercero. Se adjuntó copia del contrato y de la factura.  En el Registro General de Protección de Datos (RGPD) figura inscrito el fichero denominado “FICHERO DE CLIENTES”, cuyo titular era Comunicación Personal B.P.G., S.L y se encuentra suprimido. Por otra parte, la compañía AGME Direct tiene inscrito el fichero denominado “ASTRO”, que contiene la información adquirida a la entidad Comunicación Personal B.P.G., S.L, entre otros, los datos personales de la denunciante. Si bien, AGME Direct no acredita el procedimiento concreto de obtención de los datos de la denunciante.  Los datos que disponen de la denunciante 1, asociados a un identificador único, son nombre, apellidos, dirección postal, con indicación de piso y puerta, y zona geográfica de la tienda GAES. Añaden, que dieron respuesta al derecho de acceso de la denunciante, con fecha de 12/05/2016, cuya copia adjuntan y que coincide con la aportada por la denunciante. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 4/32 4. La Inspección de Datos ha requerido a la empresa Comunicación Personal B.P.G., S.L acreditación documental del procedimiento de obtención de los datos personales de la denunciante, mediante escritos dirigidos a la dirección postal que consta en el Registro Mercantil, a la que consta en el contrato suscrito con AGME Direct, habiendo sido devueltos ambos a su origen, con fecha de 16/02/ y de 23/02/2017, por “desconocido“. 5. Por otra parte, los Servicios de Inspección de la AEPD recabaron la información relativa a AGME Direct disponible en el Registro Mercantil y en la base de datos AXESOR, destacando que fue constituida en el año 2004, con capital social 43.020€, tamaño UE: PYME (Microempresa), nº de empleados 4 y ventas 622.575€. Tiene como objeto social: Prestación de servicios informáticos, centro de cálculo, compra-venta y alquiler de aparatos informáticos y servicios auxiliares de marketing. TERCERO: Durante el período comprendido entre el 08/09/2016 y el 23/02/2017, tuvieron entrada en esta Agencia Española de Protección de Datos las denuncias siguientes: 1. Con fecha 08/09/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. D.D.D. (en lo sucesivo denunciante 2), en el que denuncia a las entidades GAES, AGME Direct, “OGAU” y Comunicación Personal B.P.G., S.L., con las que no tiene relación alguna, por la utilización de sus datos personales sin su consentimiento para la realización de un envío postal publicitario dirigido a su domicilio, el cual no figura en ninguna fuente de acceso público y no consta en ningún repertorio de abonados a servicios telefónicos. Según el denunciante, la recepción de este envío tuvo lugar el mismo día 08/09/2016. Se trata de una carta publicitaria personalizada de la entidad GAES, en la que le reservan cita para revisión del día 05 al 30/09/2016, constando en la misma la siguiente leyenda: “Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME al teléfono gratuito ***TLF.1 al Apartado de Correos, 24 08760 Martorell o a info@agmedirect.es”. Con el escrito de denuncia se aporta copia de la carta publicitaria remitida por GAES dirigida al denunciante, con detalle de su nombre, apellidos y domicilio postal; en la que se indica “Campaña de detección precoz de la pérdida auditiva 2016. Dirección General de la OGAU”… “Estudio Auditivo Gratuito: Sr…. (nombre y apellidos del denunciante 2). Fechas reservadas para su revisión del 5 al 30 de septiembre. Centro GAES: M.M.M.”, así como la dirección postal y el teléfono del centro GAES al que debe dirigirse. Como firma aparece la indicación “Director de Prevención Salud Auditiva. GAES”. Y en el pie de página consta el texto reproducido anteriormente. En el anverso del sobre utilizado para el envío denunciado consta: “DIRECCIÓN GENERAL DE LA OGAU. Campaña de detección precoz de la pérdida auditiva 2016”; y en el reverso, como remitente, “GAES, S.A. Apartado de Correos 867 – 08080 Barcelona”. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 5/32 2. Con fechas 03/10/2016 y 23/02/2017, tuvieron entrada en la Agencia Española de Protección de Datos sendos escritos de D. G.G.G. (en lo sucesivo denunciante 3), en el que denuncia a la entidad GAES, por la utilización de sus datos personales sin su consentimiento para la realización de envíos postales publicitarios dirigido a su domicilio. Según el denunciante, estos envíos se recibieron en septiembre de 2016 y enero de 2017. Acompaña copia de los envíos objeto de la denuncia. El primero de ellos corresponde a la misma campaña reseñada en el Antecedente anterior, incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de J.J.J. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. La segunda carta publicitaria contiene la misma información relativa al denunciante 3 y la misma leyenda informativa. Corresponde a una campaña denominada “Campaña GAES de subvención de ayudas auditivas 2017” y en la firma se indica el nombre y primer apellido de una persona con el cargo “Director General”. Se ofrecen al denunciante las fechas del 14 de febrero al 8 de marzo para su revisión en el mismo centro de GAES de J.J.J. indicado en la carta anterior. Por otra parte, el denunciante 3 advierte que solicitó a GAES el acceso a sus datos personales en enero de 2016 y que recibió respuesta de la citada compañía, fechada el 21/01/2016, de la que aporta copia, en la que le informa que “sus datos de carácter personal, no forman parte de ningún fichero del Grupo GAES. Informarle igualmente, que hemos comunicado el ejercicio de cancelación de sus datos a nuestros proveedores externos, encargados de la realización de comunicaciones comerciales”. Se aporta copia del citado escrito. 3. Con fecha 20/11/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. E.E.E. (en lo sucesivo denunciante 4), en el que denuncia a las entidades GAES, AGME Direct, y Comunicación Personal B.P.G., S.L., con las que no tiene relación alguna, por la utilización de sus datos personales sin su consentimiento para la realización de un envío postal publicitario dirigido a su domicilio, el cual no consta indicado en el buzón exterior de su domicilio ni en ninguna fuente de acceso público y sus datos personales están excluidos del repertorio de abonados a servicios telefónicos. Según el denunciante, recibió este envío en septiembre de 2016. Acompaña copia de la carta objeto de la denuncia, que corresponde a la misma campaña reseñada en el Hecho Primero, incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 5 y el 30 de septiembre de 2016 en el Centro GAES de K.K.K. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 4. Con fechas 31/10/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. C.C.C. (en lo sucesivo denunciante 5), en el que denuncia la recepción de una carta publicitaria en su domicilio y a la entidad AGME Direct, como responsable de la información utilizada para el envío de la misma. Añade que se dirigió a AGME Direct solicitando información sobre el origen de sus datos personales registrados en los ficheros de la misma, C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 6/32 recibiendo respuesta en la que no se atiende dicha petición. En lugar de ello, mediante escrito de 05/10/2016, que se acompaña, AGME Direct informó al denunciante 5 que había procedido a la cancelación de sus datos personales. Acompaña, asimismo, copia de la carta objeto de la denuncia, que corresponde a la misma campaña reseñada en el Hecho Primero, incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de L.L.L. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. CUARTO: Vistas las denuncias reseñadas en el Antecedente Tercero, se acordó la apertura de Actuaciones Previas de Investigación señaladas con el número E/06373/2016, E/07092/2016, E/00399/2017 y E/00400/2017, cuyos detalles constan reseñados en el Informe de Actuaciones Previas del expediente E/06373/2016. Durante las actuaciones de investigación mencionadas, los Servicios de Inspección de esta Agencia llevaron a cabo las siguientes actuaciones: 1. Los datos personales de los denunciantes 2 a 5 no constan en los repertorios de los servicios de telecomunicaciones denominados “PáginasBlancas.es” e “Infobel”, según consta en las Diligencias de fecha 05/07/2017. 2. Respecto de la compañía GAES: De las actuaciones realizadas por la Inspección de Datos en el establecimiento de dicha compañía, con fecha de 14/06/2017, y de la documentación remitida por la misma con fecha de 21/06/2017, se desprende lo siguiente:  La compañía GAES mantiene una relación comercial y de servicios con la empresa AGME Direct (antes GODIRECT, S.L. y en adelante Proveedor), según contrato de fecha 09/01/2009, ya reseñado.  Para la Campaña OGAU 2016, realizada mediante envíos personalizados que recibieron los denunciantes 2 a 5, los listados de los destinatarios fueron elaborados por la compañía AGME Direct a partir de ficheros cuya titularidad es de AGME Direct, de GAES y de otras entidades, los criterios utilizados en la campaña fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios: en el caso de los envíos realizados a los denunciantes 2 a 5 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la Campaña OGAU 2016 fue de 4.390.655, siendo el fichero “ASTRO” el origen de los datos personales de 2.477.231 destinatarios. Para la citada campaña, GAES y AGME Direct suscribieron, con fecha de 13/06/2016, Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la Campaña OGAU 2016 y anexo Detalles Personalización, en el que se detalla las leyendas del pie de página de la campaña, coincidiendo la publicidad recibida por los denunciantes con la establecida para el fichero ASTRO. Las fechas de personalización de la publicidad fueron del 05/09 al 31/10/2016. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 7/32  Para la “Campaña Europea 2017”, realizada mediante envíos personalizados del tipo que recibió el denunciante 3, los listados de los destinatarios fueron elaborados por la compañía AGME Direct a partir de ficheros de su propia titularidad, de GAES y de otras entidades. Los criterios utilizados en la campaña fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa que los datos personales de los destinatarios proceden, en el caso del envío realizado al denunciante 3, del fichero denominado “ASTRO” cuya titularidad corresponde a AGME Direct. El total de envíos realizados en la “Campaña Europea 2017” fue de 4.839.798, siendo el fichero “ASTRO” el origen de los datos personales de 2.856.451 destinatarios. Para la citada campaña GAES y AGME Direct suscribieron, con fecha de 14/11/2016, Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la Campaña Europea 2017 y anexo Detalles Personalización, en el que se detalla las leyendas del pie de página de la campaña, coincidiendo la publicidad recibida por el denunciante 3 con la establecida para el fichero ASTRO. Las fechas de personalización fueron del 09/01 a 24/03/2017.  En relación con el denunciante 3 manifiestan los representantes de GAES que le remitieron envíos publicitarios de las siguientes campañas:  GAES OGAU 2016 campaña septiembre 2016  GAES EUROPA 2016 campaña noviembre 2016  GAES PRIMAVERA 2017 campaña abril 2017 Que sus datos personales no constan en los ficheros titularidad de GAES, que la procedencia es el fichero denominado ASTRO titularidad de AGME. Que GAES dio respuesta, con fecha 21/01/2017, al derecho de cancelación del denunciante 3, informando que “sus datos de carácter personal, no forman parte de ningún fichero del Grupo GAES. Informarle igualmente, que hemos comunicado el ejercicio de cancelación de sus datos a nuestros proveedores externos, encargados de la realización de comunicaciones comerciales”. Si bien, confirman que debido a un error humano puntual dicha solicitud no fue informada al responsable del fichero AGME Direct.  La compañía AGME Direct no ha facilitado a GAES los listados de los destinatarios de las campañas citadas, por lo que ésta última no ha tratado los datos personales de los mismos, ni ha mantenido relación comercial con la empresa Comunicación Personal B.P.G., S.L.  La Inspección de Datos ha verificado que los datos de los denunciantes no constan en los sistemas de información de la compañía GAES como clientes ni como potenciales clientes. 3. Respecto de la compañía AGME Direct: De la información y documentación remitida por dicha compañía, con fecha de 21/06/2017, a través de la compañía GAES, y con fecha de 26/06/2017, se desprende lo siguiente: C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 8/32  Mediante contrato de 30/07/2013, ya reseñado, la empresa AGME Direct adquirió todos los activos relativos a la línea de negocio de marketing directo de la entidad Comunicación Personal B.P.G., S.L., entre cuyos activos se encuentra la base de datos de usuarios.  En el Registro General de Protección de Datos (RGPD) figura inscrito el fichero denominado “FICHERO DE CLIENTES”, cuyo titular era Comunicación Personal, el cual se encuentra suprimido. Por otra parte, la compañía AGME Direct tiene inscrito el fichero denominado “ASTRO”, que contiene la información adquirida a la entidad Comunicación Personal, incluida la relativa a los denunciantes 2 a 5, y cuya finalidad es “realización de campañas publicitarias propias o de terceras empresas mediante envió de publicidad directa o llamada telefónica”. A este respecto, advierte la Inspección de Datos que AGME Direct no ha acreditado el procedimiento concreto de obtención de los datos de los denunciantes 2 a 5.  Los datos que disponen de los denunciantes son: identificador único, nombre, apellidos, dirección postal, en el caso de los denunciantes 3 y 5 con PISO y PUERTA, y zona geográfica de la tienda GAES. Además, podrían disponer de la fecha de nacimiento ya que uno de los criterios de selección de los destinatarios de las campañas es la edad. 4. Por otra parte, los Servicios de Inspección de la AEPD recabaron la información relativa a AGME Direct disponible en el Registro Mercantil y en la base de datos AXESOR, de la que destacaron los detalles indicados en el punto 5 del Antecedente Segundo. QUINTO: Visto el resultado de las Actuaciones Previas de Investigación señaladas con el número E/04535/2016, reseñado en el Antecedente Segundo, con fecha 13/07/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar a la entidad AGME Direct el procedimiento sancionador número PS/00353/2017, por la presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y el artículo 127, letra b), del RLOPD, en el citado acuerdo de apertura se determinó que la sanción que pudiera corresponder por la infracción descrita sería de 20.000 euros, sin perjuicio de lo que resultase de la instrucción. SEXTO: Visto el resultado de las Actuaciones Previas de Investigación señaladas con el número E/06373/2016, E/07092/2016, E/00399/2017 y E/00400/2017, que consta reseñado en el Antecedente Cuarto, con fecha 31/07/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar a la entidad AGME Direct el procedimiento sancionador número PS/00378/2017, por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
3. b)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
4. b)de la LPACAP, y el artículo 127, letra b), del RLOPD, en el citado acuerdo de apertura se determinó que la sanción que pudiera corresponder por la infracción descrita sería de 40.001 euros, sin perjuicio de lo que resultase de la instrucción. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 9/32 SÉPTIMO: Notificado el acuerdo de inicio del procedimiento sancionador número PS/00353/2017, la entidad AGME Direct presentó escrito de alegaciones en el que solicita el archivo de las actuaciones conforme a las consideraciones siguientes: . Los datos personales de la denunciante 1 utilizados en la campaña “Primavera 2016” fueron correctamente recabados y trasladados por Comunicación Personal B.P.G., S.L. a AGME Direct en virtud de una contrato de fecha 30/07/2013, en virtud del cual esta última entidad adquirió mediante contraprestación los activos de la línea de negocio de marketing directo de aquella compañía, incluida la base de datos de carácter personal, debidamente inscrita en al Registro General de Protección de Datos. Se trata de un contrato válido desde el punto de vista de la LOPD, en el que Comunicación Personal B.P.G., S.L. garantiza que cumple los requisitos necesarios para su utilización en campañas de marketing sobre productos propios o terceras empresas y que los propios interesados dieron su consentimiento para el tratamiento. Asimismo, en dicho contrato se manifiesta que Comunicación Personal B.P.G., S.L. cumplió el deber de información. Con ello se evidencia la buena fe y la debida diligencia en el actuar de AGME Direct, así como la no obligación en la obtención del consentimiento de la denunciante 1. LA AEPD no puede hacer recaer en AGME Direct la prueba del consentimiento. Además, en el envío realizado a la afectada se informó sobre las finalidades del tratamiento, el cedente y cesionario, así como los medios para ejercer los derechos. . En base a lo expuesto anteriormente, invoca los principios de presunción de inocencia y culpabilidad. . No existiendo ninguna sanción anterior, entiende AGME Direct que, subsidiariamente, procede acudir a la figura del apercibimiento regulada en el artículo 45.6 de la LOPD. . De forma subsidiaria, solicita la aplicación de lo establecido en el artículo 45.5 de la citada Ley Orgánica, imponiendo una sanción por el importe mínimo previsto para las infracciones leves, en aplicación del principio de proporcionalidad regulado en el artículo 29.3 de la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público. OCTAVO: Notificado el acuerdo de inicio del procedimiento sancionador número PS/00378/2017, la entidad AGME Direct presentó escrito de alegaciones en el que reproduce casi literalmente las alegaciones anteriores, en relación con la utilización de los datos personales de los denunciante 2 a 5 durante las campañas “GAES OGAU 2016, septiembre 2016” y “GAES EUROPA 2016, noviembre 2016”. En base a ello, solicita igualmente el archivo de las actuaciones o, subsidiariamente, la aplicación de lo previsto en los artículos 45.5 y 45.6 de la LOPD. No obstante, en este escrito de alegaciones a la apertura del PS/00378/2017 añade lo siguiente: . En virtud de lo establecido en el artículo 63.6 de la LPACAP, según el cual “no se podrán iniciar nuevos procedimientos de carácter sancionador por hechos o conductas tipificadas como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 10/32 recaído una primera resolución sancionadora, con carácter ejecutivo”, solicita el archivo de las actuaciones por existir el procedimiento sancionador PS/00353/2017, que se encuentra en fase de iniciación y es análogo al PS/00378/2017. En ambos se analiza la responsabilidad de AGME Direct por el envío de publicidad de GAES. . Subsidiariamente, solicita la acumulación del procedimiento PS/00378/2017 en el PS/00353/2017, ambos iniciados en julio de 2017 por el mismo órgano, con una identidad sustancial en los antecedentes de hecho, con la misma imputación, basada en fundamentos de derecho prácticamente iguales, y con efectos similares. Advierte que la acumulación procede, además, por razones de brevedad, economía y unidad de criterios. . Considera vulnerado el principio “non bis in ídem”, consagrado en el artículo 31 de la Ley 40/2015, por la tramitación paralela de dos procedimientos por los mismos hechos, al mismo sujeto infractor y con el mismo fundamento. Ello da lugar a una duplicidad sancionadora prohibida por el ordenamiento administrativo y que atenta al principio de legalidad, tipicidad y proporcionalidad. Considera AGME Direct que nos encontramos ante una serie de denuncias relativas a la supuesta infracción del artículo 6 de la LOPD, sin que pueda identificarse un ánimo infractor con respecto a cada uno de los denunciantes. . Entiende que se pretende sancionar mediante los citados procedimientos una infracción continuada, a la que se refiere el artículo 29.6 de la misma Ley 40/2015. En este precepto se establece que “será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejante precepto administrativo, en ejecución de un plan preconcebido o aprovechando idéntica ocasión”. De hecho, la propia Agencia ya ha procedido a considerar en un Acuerdo Sancionador las denuncias presentadas por los denunciantes 2 a 5, por lo que, siguiendo el mismo criterio, debe considerarse una misma infracción las comunicadas en el PS/00353/2017 y en el PS/00378/2017. NOVENO: Con fecha 11/10/2017, la AEPD acordó acumular el procedimiento número PS/00378/2017 al iniciado con anterioridad número PS/00353/2017. DÉCIMO: Con fecha 10/11/2017, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad AGME Direct con multa de 60.000 euros (sesenta mil euros), por la infracción del artículo 6 de la LOPD, en relación con lo previsto en el artículo 30 de la misma norma y en los artículos 45 y 46 de su Reglamento de desarrollo (RDLOP), tipificada como grave en el artículo 44.3.
5. b)de la citada Ley Orgánica. DÉCIMOPRIMERO: La propuesta de resolución emitida fue notificada a AGME Direct, que presentó escrito de alegaciones en el que solicita el archivo del procedimiento o, subsidiariamente, la aplicación de lo dispuesto en el artículo 45.5 de la LOPD o la imposición de una multa por el importe mínimo previsto para las infracciones graves. En este escrito, AGME Direct reproduce de forma casi literal sus alegaciones anteriores sobre la diligencia desplegada por la misma al formalizar el contrato con la entidad Comunicación Personal B.P.G., S.L., de fecha 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía, que conllevó un traspaso de datos entre dos sociedades adecuado a derecho. De acuerdo con la venta de la línea de negocio que dicha empresa realizó a AGME Direct, ésta entiende que existe un interés legítimo en el tratamiento de los datos de los C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 11/32 denunciantes, acorde con lo expuesto en el Considerando 47 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, que considera realizado por interés legítimo el tratamiento de datos personales con fines de mercadotecnia. En cuanto a la graduación de la sanción, advierte que el acuerdo de apertura del procedimiento consideró la aplicación de lo establecido en el artículo 45.5 de la LOPD, por unas circunstancias que no han cambiado, como son el volumen de negocio de la entidad y la ausencia de perjuicios, y añade que la aplicación de dicho precepto se justifica, además, por la circunstancia prevista en el artículo 45.5.
6. e)de la LOPD, teniendo en cuenta que la adquisición de la rama de negocio de la entidad Comunicación Personal B.P.G., S.L. es análoga a la fusión por absorción a la que se refiere dicho precepto. Asimismo, invoca el principio de proporcionalidad que, a juicio de AGME Direct, fundamenta la imposición de una sanción en grado mínimo, considerando que no ha existido la intención de infringir la norma, no existe ninguna otra incidencia relacionada con los hechos objeto del procedimiento, no ha existido ningún perjuicio para los afectados, cuyos datos, además, han sido debidamente cancelados. HECHOS PROBADOS 1. AGME Direct tiene como objeto social, entre otras actividades, la prestación de servicios auxiliares de marketing. 2. GAES y AGME Direct suscribieron un contrato de prestación de servicios, de fecha 09/01/2009, en virtud del AGME Direct se encarga de la realización de campañas publicitarias de productos y servicios de GAES mediante envíos postales. En dicho contrato se estipula lo siguiente: <<EXPONEN 1.- Que EL PROVEEDOR es una empresa que se dedica a la recopilación de direcciones, prospección comercial, publicidad directa y la gestión y contratación de medios publicitarios directos por cuenta de terceros. (…) III.- Que EL CLIENTE está interesado en que EL PROVEEDOR le facilite el servicio de realización de campañas publicitarias tanto en relación de los ficheros de los que dispone de autorización por parte de los titulares como de LOS FICHEROS de titularidad propia, gestionando y contratando por sí mismo los medios publicitarios necesarios y asumiendo la elaboración de los criterios de segmentación aplicables en cada campaña para la mejor efectividad de las mismas. (…) CLÁUSULAS Primera: EL PROVEEDOR elaborará listados de destinatarios para la realización de campañas publicitarias, tal y como se detalla en el anexo al presente contrato. Los datos personales que se incluirán en el referido listado contendrán la siguiente información: nombre, apellidos, domicilio y, en su caso, número de teléfono. Segunda: EL PROVEEDOR declara que el origen de los datos personales que serán utilizados para la elaboración de los listados de destinatarios de las campañas será: ficheros de datos personales, recogidos directamente de fuentes accesibles al público o facilitados por los C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 12/32 propios afectados u obtenidos con su consentimiento, ficheros cuya titularidad corresponde a terceras personas o entidades de las cuales se ha obtenido manifestación expresa de dichas terceras personas o entidades de que tales ficheros cumplen con todos los requisitos exigidos en la normativa legal sobre protección y tratamiento de datos personales en orden a su eventual utilización con fines de publicidad o prospección comercial. (…) SEXTA.- El PROVEEDOR garantiza que cuando los datos personales utilizados para la elaboración del listado de direcciones procedan de ficheros titularidad de terceras, estas empresas los han recabado del propio interesado y cuentan con el consentimiento para su tratamiento con los fines previstos en este contrato según la legislación vigente en materia de protección de datos personales. EL PROVEEDOR verifica en los mencionados ficheros la inclusión en sus documentos o formularios de captación de los datos personales de la frase tendente a obtener el consentimiento debido y si esta se ajusta a la mencionada legislación. El PROVEEDOR exonera, en consecuencia, de cualquier responsabilidad al CLIENTE respecto de dicha utilización, siempre y cuando éste, por su parte, dé cumplimiento a cuantas obligaciones se derivan para el mismo de lo dispuesto en el presente contrato En todo caso, EL CLIENTE deberá incluir en cualquier envío o comunicación que pudiere dirigir a los destinatarios la información de que el responsable del tratamiento es Godirect, S.L., y la información necesaria para que el interesado conozca el origen de los datos tratados (empresa titular de los mismos) y los medios para ejercer sus derechos de acceso, rectificación y cancelación. En este sentido, EL PROVEEDOR indicará en el anexo correspondiente a cada campaña la información que deberá incluir EL CLIENTE en cada envío publicitario que pudiere dirigir a los destinatarios. Igual información será facilitada, en su caso, a los destinatarios de cualquier clase de campaña publicitaria. En concreto, cuando se trate de una campaña de marketing telefónico, EL CLIENTE se compromete a poner a disposición de los teleoperadores el correspondiente argumentarlo que recoja la información precedente, a fin de que puedan ser informados los consumidores que así lo reclamen>>. 3. La empresa AGME Direct suscribió un contrato con la entidad Comunicación Personal B.P.G., S.L., de fecha 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía. Entre los activos adquiridos se encuentra la base de datos de usuarios. En los exponendos cuarto y quinto del contrato se establece lo siguiente: “IV. Que BPG desea transmitir a AGME la línea de negocio de marketing directo, en concreto todos los activos que se enumeran: Base de Datos de Clientes (personas jurídicas), Base de Datos de Usuarios, Know how de la compañía en la citada línea de negocio así como el software de segmentación. V. BPG es titular de un Fichero de datos de carácter personal denominado FICHERO DE CLIENTES registrado en el Registro General de la Agencia de Protección de Datos con el número…. Este fichero cumple los requisitos necesarios para su utilización en la realización de campañas de marketing, según lo dispuesto en la legislación sobre Protección de Datos Personales vigente. Los datos personales que integran este fichero fueron recabados de los interesados para remitirles información de los productos de BPG o de terceras empresas”. Dicho contrato contiene los siguientes acuerdos: C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 13/32 “Primero: BPG transmitirá los activos descritos en el exponendo IV… Los datos integrados en el fichero constan de los campos de nombre y apellidos, domicilio completo, teléfono y fecha de nacimiento. Estos dos últimos datos presentes solo en una parte de la totalidad. Igualmente se hace constar que la información puede contener errores de transcripción al haberse transcrito de documentos manuscritos. Segundo: La información integrante del fichero corresponde a datos recabados de los propios interesados por lo que dieron su consentimiento para el tratamiento. BPG manifiesta que ha cumplido con el deber de información según Indica la legislación vigente… Cuarto: Por su parte, AGME manifiesta de acuerdo al artículo 19 del Reglamento antes citado y de acuerdo a la normativa de protección de datos asumir la obligación de informar a los interesados integrantes del fichero de usuarios objeto de transmisión del presente contrato, de la finalidad del nuevo tratamiento y de los medios para que puedan ejercerse en particular el derecho de oposición a la cesión y en general los restantes derechos que la legislación prevé para las personas…”. 4. Con fecha 31/05/2017, por la Inspección de Datos se comprobó que los datos personales de la denunciante 1 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 5. La denunciante 1 ha manifestado que nunca se ha dirigido a la entidad GAES ni a sus asociados. 6. La denunciante 1 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, constando la indicación de piso y puerta, la cual contiene una oferta publicitaria de los servicios y productos de GAES. En la misma se informa a la denunciante 1 sobre una cita reservada para efectuarle una revisión de audición (“Tiene una cita con su audición”; “Cita reservada para… (nombre y apellidos de la denunciante 1) del 20 de abril al 14 de mayo”) y se indica la dirección postal del centro GAES al que debe dirigirse. En el pie de página consta el texto siguiente: “los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal B.P.G., S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores de ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONGs. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose, por escrito, a AGME, Apartado de Correos 24, 08760 Martorell o llamando al ***TLF.1”. 7. Los Servicios de la AEPD verificaron el planning de campañas publicitarias realizadas. Según los datos verificados, en marzo de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada PRIMAVERA 2016 “Tiene una cita con su audición”, la cual dio origen a la comunicación comercial recibido por la denunciante. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 16/03/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña PRIMAVERA 2016. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 14/32 estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado a la denunciante el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña PRIMAVERA 2016 fue de 2.819.305, siendo el fichero “ASTRO” el origen de los datos de 1.490.504 destinatarios. 8. La Inspección de Datos ha verificado que los datos de la denunciante 1 no constan en los sistemas de información de la compañía GAES. Si bien, en el registro denominado “incidencias” figura información asociada a la denunciante 1 referente al ejercicio del derecho de acceso y cancelación. 9. La denunciante 1 añade que solicitó el acceso a sus datos personales y su procedencia a la entidad AGME Direct, que respondió mediante escrito de 12/05/2016, informando que los datos que disponen son: nombre, apellidos y domicilio postal completo, “como consta en la carta publicitaria que recibió” (incluye la indicación de piso y puerta). Añade que los datos fueron facilitados por la empresa Comunicación Personal B.P.G., que no incorporan los mismos a ningún fichero y que proceden a su cancelación. 10. Con fecha 05/07/2017, por la Inspección de Datos se comprobó que los datos personales de los denunciantes 2 a 5 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 11. Los denunciantes 2 a 5 no han tenido relación alguna con la entidad GAES. 12. En septiembre de 2016, el denunciante 2 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, la cual contiene una oferta publicitaria de los servicios y productos de GAES. En la misma se indica “Campaña de detección precoz de la pérdida auditiva 2016. Dirección General de la OGAU”… “Estudio Auditivo Gratuito: Sr…. (nombre y apellidos del denunciante 2). Fechas reservadas para su revisión del 5 al 30 de septiembre. Centro GAES: M.M.M.”, así como la dirección postal y el teléfono del centro GAES al que debe dirigirse. En el pie de página consta la leyenda siguiente: “Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME al teléfono gratuito ***TLF.1 al Apartado de Correos, 24 08760 Martorell o a info@agmedirect.es”. En el anverso del sobre utilizado para el envío denunciado consta: “DIRECCIÓN GENERAL DE C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 15/32 LA OGAU. Campaña de detección precoz de la pérdida auditiva 2016”; y en el reverso, como remitente, “GAES, S.A. Apartado de Correos 867 – 08080 Barcelona”. 13. En septiembre de 2016, el denunciante 3 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de J.J.J. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 14. En enero de 2017, el denunciante 3 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, en el que se contienen los mismos datos personales relativos al mismo. Corresponde a una campaña denominada “Campaña GAES de subvención de ayudas auditivas 2017” y ofrece al denunciante las fechas del 14 de febrero al 8 de marzo para su revisión en el mismo centro de GAES de J.J.J. indicado en la carta anterior. Incluye la misma leyenda informativa sobre los datos utilizados en la misma. 15. En septiembre de 2016, el denunciante 4 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 5 y el 30 de septiembre de 2016 en el Centro GAES de K.K.K. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 16. En septiembre de 2016, el denunciante 5 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de L.L.L. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 17. Los Servicios de la AEPD verificaron el planning de campañas publicitarias realizadas. Según los datos verificados, en junio de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada “Detección precoz de la pérdida auditiva 2016 Dirección General de la OGAU”, la cual dio origen a las comunicaciones comerciales recibidas por los denunciantes 2 a 5 en septiembre de 2016. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 13/06/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado a los denunciantes 2 a 5 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 16/32 El total de envíos realizados en la campaña citada fue de 4.390.655, siendo el fichero “ASTRO” el origen de los datos de 2.477.231 de destinatarios. Las fechas de personalización de la publicidad fueron del 05/09 al 31/10/2016. 18. En noviembre de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada “Campaña GAES de subvención de ayudas auditivas 2017”, la cual dio origen a la comunicación comercial recibida por el denunciante 3 en enero de 2017. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 14/11/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado al denunciante 3 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña citada fue de 4.839.798, siendo el fichero “ASTRO” el origen de los datos de 2.856.451 de destinatarios. Las fechas de personalización de la publicidad fueron del 09/01 al 24/03/2017. 19. La Inspección de Datos ha verificado que los datos de los denunciantes 2 a 5 no constan en los sistemas de información de la compañía GAES. 20. En enero de 2016, el denunciante 3 solicitó a GAES el acceso a sus datos personales, recibiendo respuesta de la citada compañía, fechada el 21/01/2016, en la que le informa que “sus datos de carácter personal, no forman parte de ningún fichero del Grupo GAES. Informarle igualmente, que hemos comunicado el ejercicio de cancelación de sus datos a nuestros proveedores externos, encargados de la realización de comunicaciones comerciales”. 21. El denunciante 5 se dirigió a AGME Direct solicitando información sobre el origen de sus datos personales registrados en los ficheros de la misma, recibiendo respuesta de 05/10/2016, en la que informa al afectado que ha procedido a la cancelación de sus datos personales, para evitar que reciba comunicaciones publicitarias en el futuro. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 17/32 II El presente procedimiento se circunscribe a determinar la existencia de consentimiento de los destinatarios de los envíos publicitarios para el tratamiento de sus datos personales con ocasión de las acciones publicitarias de productos de GAES realizadas por AGME Direct. La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
9. q)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
10. g)de la LOPD, define la figura del encargado del tratamiento como “…la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
11. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Paralelamente, la LOPD concreta en su artículo 2 que su ámbito objetivo de aplicación se circunscribe a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. De acuerdo con esta delimitación, la LOPD establece la definición del fichero y diferencia las figuras de responsable del fichero y de responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
12. d)y
13. g)de ese artículo 3 de la LOPD anteriormente transcritos. Ello es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro ordenamiento jurídico, y conforme a ella, en el caso de los datos personales susceptibles de tratamiento automatizado, se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 18/32 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
14. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
15. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
16. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso, se ha producido un tratamiento de los datos personales de los destinatarios para enviarles un folleto de publicidad, en el que figuraban su nombre, apellidos y domicilio postal. Esta acción se realizó por encargo de GAES, que era la empresa cuyos productos se promocionaban en los envíos postales remitidos, para cuya remisión se utilizaron los datos personales de los afectados registrados en un fichero titularidad de la mercantil AGME Direct, empresa a la que GAES encargó la realización de la campaña publicitaria de sus productos y la selección del público objetivo o destinario de la misma mediante la fijación de parámetros, si bien de lo actuado ha quedado probado que ambas empresas participaron en la fijación de los parámetros identificativos de los destinatarios de la campaña. Conforme a las normas expuestas y las reseñadas en los Fundamentos de Derecho siguientes, la entidad GAES interviene como responsable de los tratamientos de los datos personales realizados en el marco de las campañas encargadas por dicha entidad, pues el tratamiento acontecido se enmarca en actividades de prospección comercial cuya beneficiaria es la propia GAES. Aunque GAES no haya realizado materialmente el envío de la comunicación postal promocional denunciada, decidió sobre la finalidad, el contenido y uso del tratamiento de los datos personales utilizados para la realización de la misma, por lo que es responsable del tratamiento efectuado con los datos personales en las acción de marketing reseñadas en los Hechos Probados, ya que determinó realizar dicha campaña encargándosela a su distribuidor AGME Direct, intervino en la delimitación del colectivo de personas a las que debía dirigirse y la forma en que debían tratarse los datos. AGME Direct actúa, en relación con los envíos, como responsable del fichero utilizado para la campaña, conforme a las definiciones reseñadas y en virtud del contrato suscrito con GAES, en el que se estipula que las acciones publicitarias de ésta serán efectuadas sobre ficheros de datos de carácter personal de la exclusiva responsabilidad de AGME Direct. Y actúa, asimismo, como responsable del tratamiento, de conformidad con la definición del C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 19/32 artículo 3.
17. d)de la LOPD y 5.1.
18. q)y 46 del RDLOPD, considerando lo estipulado en los Anexos al contrato de prestación de servicios suscritos en fechas 16/03/2016, 13/06/2016 y 14/11/2016, por los que GAES encarga a AGME Direct la realización de las tres campañas que constan reseñadas en los Hechos Probados. En estos Anexos se establecen los criterios para determinar los destinatarios de la misma. Se fijan variables como la edad y áreas geográficas, y de acuerdo con ello AGME Direct extrae de sus ficheros y del resto de ficheros que se indican los destinatarios de la campaña. La indicación de determinados “valores” es lo que el artículo 46.4 del RDLOPD denomina parámetros identificativos de los destinatarios, considerando como tal las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. Es, por tanto, irrelevante que el contrato suscrito por GAES y AGME Direct indique que corresponde a esta última elaborar los listados de destinatarios. En definitiva, de acuerdo con el artículo 43 de la LOPD, AGME Direct ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de dicha norma. De la exposición precedente, se evidencia que el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros, así como a los responsables de los ficheros utilizados e, incluso, a los meros encargados de aquél que incumplan las instrucciones fijadas en el contrato o destinen los datos a otra finalidad o los comunique a terceros (ex. artículo 12.4 de la LOPD). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. III Uno de los principios básicos de la normativa reguladora del tratamiento de datos personales, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 20/32 en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El derecho fundamental a la protección de datos, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento de su titular, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 21/32 sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho”. En el presente caso, se analiza la utilización de los datos personales de los denunciantes para la realización de acciones publicitarias a favor de GAES, y se imputa una infracción de lo dispuesto en el artículo 6 de la LOPD citado. En relación con los tratamientos para actividades de publicidad y prospección comercial, también resulta de aplicación en este caso lo dispuesto en el artículo 30 de la misma Ley Orgánica y el artículo 45 de su Reglamento de desarrollo (además del ya citado artículo 46 de este Reglamento), al haber realizado dicho tratamiento de datos sin haber obtenido previamente el consentimiento de los afectados y sin que exista causa que lo dispense. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
19. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
20. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 22/32 tratamiento para las actividades descritas en este apartado.
21. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Así pues, tanto la LOPD como, más en concreto, su RLOPD, establecen que el tratamiento de datos personales con fines comerciales sólo es posible cuando exista consentimiento del afectado para ese tipo específico de tratamiento, y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad o, en su caso, sean datos personales procedentes de fuentes accesibles al público. IV En definitiva, el tratamiento de datos con fines publicitarios requiere el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público y los afectados no hayan manifestado su oposición a dicho tratamiento. En el presente caso ha resultado acreditado que GAES realizó una campaña publicitaria cuyos destinatarios eran las personas que constaban en ficheros de AGME Direct, los denunciantes entre ellos. Asimismo, consta acreditado que AGME Direct realizó los envíos postales dirigidos a los domicilios de los destinatarios de la campaña para la promoción de los productos y servicios de GAES, sin que aquella entidad haya aportado justificación alguna para acreditar que disponía del consentimiento de las personas registradas en su fichero “ASTRO”. Por tanto, los datos personales fueron utilizados con fines publicitarios sin que AGME Direct contase con su consentimiento. Y tampoco ha acreditado que concurra alguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización de los datos personales relativos al nombre, apellidos y dirección postal para la realización de envíos promocionales. Así las cosas, los titulares de los datos observan cómo éstos son tratados sin su consentimiento, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas, los datos personales de los denunciantes debieron ser excluidos de las acciones publicitarias realizadas por AGME Direct en nombre de GAES. De acuerdo con C/ Jorge Juan, 6 28001 – J.J.J. los preceptos transcritos en el anterior Fundamento de Derecho, www.agpd.es sedeagpd.gob.es 23/32 incumbe al responsable del tratamiento de los datos estar en disposición de probar que cuenta con el consentimiento inequívoco de su titular, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD, o, al menos, probar que adoptó las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD en su artículo 6.1. En esta línea, se trae a colación la Sentencia de la Audiencia Nacional, de fecha 1 de febrero de 2006, que en cuanto a la prueba de la existencia de un consentimiento inequívoco, señalaba lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. En este mismo sentido se pronunciaba la Audiencia Nacional en su Sentencia de fecha 4 de marzo de 2009, señalando que el consentimiento “tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3.
22. h)y 6.1 de la LOPD”. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. Acreditado por esta Agencia el uso por parte de la inculpada de los datos personales de los denunciantes con fines de marketing directo, corresponde a AGME Direct estar en condiciones de probar que había obtenido el consentimiento inequívoco de los mismos para el tratamiento con fines de publicidad de sus datos personales, pues, salvo que se encuentre legalmente amparado o se produzca alguna de las excepciones establecidas en el artículo 6.2 de la LOPD, únicamente el consentimiento inequívoco justifica y legitimaría el tratamiento del C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 24/32 que se la inculpa. Sin embargo, en las actuaciones efectuadas en el procedimiento no consta que la inculpada haya probado contar con el consentimiento inequívoco de los destinatarios para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por el propio afectado o por haberse obtenido con su consentimiento para tal finalidad. Tampoco ha justificado la inculpada que concurriera alguno de los supuestos que dispensarían de tal consentimiento, recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento. Consecuentemente, los datos personales de los afectados fueron utilizados con fines publicitarios por la entidad citada, sin que ésta contase con su consentimiento inequívoco para ello, por lo que se considera infringido el artículo 6.1 de la LOPD por parte de AGME Direct, entidad que resulta responsable de la comisión de dicha infracción. V AGME Direct pretenden excluir su responsabilidad señalando que los datos personales de los afectados utilizados en las campañas fueron correctamente recabados y trasladados por Comunicación Personal B.P.G., S.L. a AGME Direct en virtud de una contrato de fecha 30/07/2013, por el cual esta última entidad adquirió mediante contraprestación los activos de la línea de negocio de marketing directo de aquella compañía, incluida la base de datos de carácter personal. Esta Agencia considera que, a los efectos de la diligencia que resulta exigible a AGME Direct, no basta con dar por ciertas las declaraciones realizadas por Comunicación Personal B.P.G., S.L. en dicho contrato, en el que ésta aseguraba que la información obrante en el fichero se había obtenido de conformidad con lo previsto en la normativa de protección de datos, procediendo, según Comunicación Personal B.P.G., S.L., de los propios interesados medando su consentimiento para su uso con fines comerciales. Para analizar esta cuestión es necesario considerar, además, que AGME Direct no adoptó ninguna cautela para asegurarse de que el fichero adquirido cumplía las exigencias previstas para su utilización posterior con la finalidad expresada, no resultando bastantes a estos efectos, como se ha dicho, las meras manifestaciones de la entidad Comunicación Personal B.P.G. recogidas en el contrato según las cuales los datos incluidos en dicho fichero se recabaron con el consentimiento de los afectados. Sería tanto como admitir que estas manifestaciones son suficientes para obviar el cumplimiento de la normativa aplicable. En relación con esta exigencia de diligencia, AGME Direct no ha probado haber realizado con anterioridad a la firma del mencionado contrato algún tipo de comprobación para verificar el origen de los datos del fichero y que su obtención se había producido con arreglo a lo dispuesto en los artículos 6 y 30.1 de la LOPD y 45.1 del RLOPD respeto al principio del consentimiento. Esta omisión de la inculpada demuestra su absoluta falta de diligencia en el cumplimiento de la normativa de protección de datos. AGME Direct, como responsable del tratamiento, debió adoptar las cautelas necesarias para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos personales de los denunciantes, con independencia de las indicaciones señaladas en el contrato sobre la regularidad del fichero. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 25/32 La culpabilidad de dicha entidad ha quedado acreditada en atención al tratamiento de datos de los denunciantes sin su consentimiento, pues no consta en el procedimiento actuación alguna tendente a valorar si contaban con su legitimación, habida cuenta de que ni son clientes de GAES, ni constan los datos en fuentes accesibles al público. Tampoco ha aportado ningún indicio del que pueda inferirse que los titulares de los datos personales registrados en su fichero prestaron el consentimiento para su tratamiento con fines publicitarios en los términos recogidos en el artículo 45.1.
23. b)del RLOPD Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada por el sujeto. En el supuesto analizado, se considera que AGME Direct mostró una evidente falta de diligencia ante la falta de adopción de medidas tendentes a asegurarse de la regularidad del tratamiento de los datos personales de los destinatarios de la campaña publicitaria. De acuerdo con lo dispuesto en el artículo 6 de la LOPD, AGME Direct no ha acreditado que tuviese el consentimiento para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Por las mismas razones expuestas, no cabe apreciar la existencia de interés legítimo, invocado por AGME Direct al amparo del citado contrato por el que adquirió la línea de negocio de Comunicación Personal B.P.G., S.L. El interés legítimo, por otra parte, no opera cuando prevalecen los derechos y libertades de los interesados. VI En el presente caso, ha quedado acreditado que AGME Direct resulta responsable del tratamiento de los datos personales con fines de publicidad y prospección comercial, vulnerando de este modo lo dispuesto en el artículo 6.1 de la LOPD, ya que el uso de los datos de los afectados por dicha empresa se produjo sin mediar el consentimiento de los mismos ni existir habilitación legal para ello, no siendo tampoco aplicables a este supuesto las excepciones previstas en el artículo 6.2 de la LOPD al no producirse ninguna de las circunstancias recogidas en el mismo. Dicha conducta se encuentra tipificada como infracción grave en el citado artículo 44.3.
24. b)de dicha norma, que establece como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de AGME Direct, y la exigibilidad del consentimiento viene dada en la norma aplicable. La citada entidad, al tratar los datos sin consentimiento de sus titulares, ha cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable a AGME Direct en su condición de responsable del tratamiento y como responsable del fichero utilizado en la campaña de publicidad. AGME Direct creo un fichero de datos personales de destinatarios de la campaña C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 26/32 publicitaria sobre otros de los que es titular, y por cuenta de GAES los sometió a tratamiento utilizando los datos para la realización de una comunicación postal publicitaria, no habiéndose acreditado ninguna circunstancia que legitime dicho tratamiento de datos. En el presente caso, respecto del tratamiento de datos realizado por cuenta de GAES, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales para el que era exigible el consentimiento de los afectados, no siendo aplicable ninguna de las excepciones previstas al caso concreto, de modo que los datos personales de los denunciantes no podían utilizarse para acciones de marketing. Por tanto, AGME Direct ha vulnerado el principio del consentimiento regulado en el artículo 6.1 de la LOPD, en relación con lo dispuesto en el artículo 30.1 de la misma norma y con lo previsto en el artículo 45 del RLOPD, conducta que encuentra su tipificación en este artículo 44.3.
25. b)de la citada Ley Orgánica. VII La entidad imputada ha invocado el principio “non bis in idem”, por cuanto en los dos expedientes de referencia concurren los mismos interesados, hechos y fundamentos. En ambos se pretende imponer una sanción a la entidad AGME Direct por la infracción del artículo 6 de la LOPD por razón de los servicios que presta a GAES. Cabe señalar, en relación con la invocación del principio “non bis in idem” realizada por la entidad imputada, que el mismo no resulta vulnerado cuando se imponen dos sanciones por hechos distintos, aunque estos sean de naturaleza similar y por el mismo infractor. El artículo 31 “Concurrencia de sanciones” de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece que “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los caso en que se aprecie identidad del sujeto, hecho y fundamento”; que coincide con lo que dispuesto en el artículo 133 “Concurrencia de sanciones” de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en vigor hasta el 30/09/2016. Estos preceptos consagran la imposibilidad de que la potestad sancionadora de la Administración pueda desplegarse sobre aquellos ilícitos que con anterioridad hubieran sido objeto de una sanción irrogada por los órganos administrativos. Tal imposibilidad, englobada tradicionalmente en el axioma “non bis in idem”, sucederá cuando entre los hechos ilícitos imputados en un procedimiento administrativos sancionador y los reprimidos con carácter previo se aprecie una triple identidad objetiva o fáctica (iguales hechos), subjetiva (mismo infractor) y causal (identidad de fundamento punitivo) o, como dice la STS 2ª 3 de diciembre de 1991, identidad subjetiva, identidad de objeto e identidad de acción. En el presente caso, no puede ser tenida en cuenta la alegación citada en relación con el citado principio, porque no se aprecian las identidades requerida en los artículos citados, ya que en los procedimientos señalados se analiza el tratamiento de datos personales realizado por AGME Direct correspondientes a campañas publicitarias distintas en cada caso. Los hechos, aunque de similar naturaleza, afectan a tratamientos realizados en distintas campañas publicitarias y en distintas fechas, lo que supone que se trata de hechos distintos. A este respecto, ha de tenerse en cuenta que la efectiva punición de un hecho antijurídico determinado no exonera a su autor, al amparo del “non bis in idem”, de nueva C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 27/32 responsabilidades si vuelve a incurrir con posterioridad en la misma conducta. Es, en último término, el supuesto de la “reincidencia penal” solventada de forma adecuada por la jurisprudencia. Así la STS 3ª 7ª 14 de diciembre de 1992 o la STS 3ª 4 de noviembre de 1980: “la permanencia de una infracción observada y sancionada no puede constituir una causa de impunidad que ponga a cubierto al infractor de posibles y sucesivas sanciones si no se corrigen aquéllas.” Además, advierte sobre lo dispuesto en el artículo 63.6 de la LPACAP, que prohíbe la apertura de nuevos procedimientos sancionadores en supuestos de infracción continuada, “en tanto no haya recaído una primera resolución sancionadora, con carácter ejecutivo”, y entiende que se pretende sancionar mediante los procedimientos de referencia una infracción continuada, a la que se refiere el artículo 29.6 de la misma Ley 40/2015. En este artículo se establece que “será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejante precepto administrativo, en ejecución de un plan preconcebido o aprovechando idéntica ocasión”. La aplicación de estos preceptos sólo podrá considerarse cuando los hechos o conductas tipificados como infracciones infrinjan los mismos o semejantes preceptos administrativos y se realicen aprovechando idéntica ocasión o en ejecución de un plan preconcebido. Sin embargo, AGME Direct no justifica la concurrencia de los elementos subjetivos y objetivos que conforman la infracción continuada. En cualquier caso, los supuestos analizados en los procedimientos de referencia presentan algunas características similares, que resultan de la propia actividad desarrollada por la citada entidad, pero no concurren los elementos necesarios para determinar que las infracciones analizadas en cada caso resulten de la “ejecución de un plan preconcebido por dicha entidad o aprovechando idéntica ocasión”. Se trata de hechos diferenciados que determinan la comisión de varias infracciones. En relación con la infracción continuada y con lo dispuesto en el citado artículo, el Tribunal Supremo, en Sentencia de 07/03/2006, ha declarado que “No basta, por lo tanto, para apreciar la existencia de infracción continuada con la simple reiteración de conductas semejantes, como es el caso de la realización por la recurrente de diversas campañas publicitarias en razón de la actividad a que se dedica, es preciso que esa reiteración de conductas, además de infringir el mismo precepto u otro semejante, responda al mismo proceso psicológico y material, que no es el caso de distintas actuaciones profesionales desarrolladas en el tiempo en razón de las oportunidades comerciales que se plantean y en la medida que, atendiendo a las circunstancias concurrentes que se valoran en cada caso, se van aceptando y contratando de manera independiente y en las condiciones que en cada caso se negocien”. VIII El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 28/32 apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a b que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. AGME Direct ha solicitado la aplicación de este artículo al no existir ninguna sanción anterior. En este caso, se cumplen los presupuestos establecidos en dicho artículo. Sin embargo, la previsión contenida en el mismo se declara expresamente como excepcional y su ponderación corresponde al órgano sancionador, atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. No cabe, por tanto, su aplicación como regla general por el sólo hecho de que se cumplan los presupuestos reseñados. En este caso, atendida la naturaleza de los hechos, y considerando la actividad que desarrolla habitualmente AGME Direct, que obliga a la misma a extremar las cautelas y la diligencia que ha de aplicar en esta materia, no se estima aplicable el citado artículo. IX El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
26. a)El carácter continuado de la infracción.
27. b)El volumen de los tratamientos efectuados.
28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
29. d)El volumen de negocio o actividad del infractor.
30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
31. f)El grado de intencionalidad.
32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 29/32 clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
36. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
37. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
38. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
39. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
40. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La entidad imputada solicita la aplicación del artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
41. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 30/32 imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se considera, de conformidad con el art. 45.5 LOPD, que no procede aplicar la escala de sanciones prevista para las infracciones leves considerando que los hechos denunciados se refieren a envíos postales realizados en el marco de tres campañas publicitarias distintas con un total de destinatarios obtenidos del fichero “ASTRO” de 1.490.504 para la campaña “Primavera 2016”, 2.477.231 para la campaña “OGAU 2016” y 2.856.451 para la “Campaña Europea 2017”. A este respecto, AGME Direct advierte que el acuerdo de apertura del procedimiento consideró la aplicación de lo establecido en el artículo 45.5 de la LOPD, por unas circunstancias que no han cambiado (volumen de negocio de la entidad y ausencia de perjuicios). Pero no tiene en cuenta dicha entidad que se resuelven en este acto los procedimientos acumulados que constan reseñados en los antecedentes, y que en el acuerdo de apertura del procedimiento señalado con el número PS/00378/2017 no se consideró procedente la aplicación de aquel artículo en atención a las circunstancias antes expresadas. Por otra parte, entiende la entidad interesada que procede tener en cuenta la circunstancia prevista en el apartado
42. e)del artículo 45.5 de la LOPD, teniendo en cuenta que la adquisición de la rama de negocio de la entidad Comunicación Personal B.P.G., S.L. es análoga a la fusión por absorción a la que se refiere dicho precepto. Sin embargo, no cabe apreciar esta circunstancia por cuanto los hechos causantes de la infracción no devienen de una actuación causada por Comunicación Personal B.P.G., S.L., previa a la adquisición de la línea de negocio de marketing por AGME Direct. Para la graduación de la multa correspondiente a este procedimiento, tras las evidencias obtenidas, se tiene en cuenta la vinculación de la actividad de AGME Direct con el tratamiento de datos de carácter personal (criterio c); su actividad de prestación de servicios de marketing (criterio d); los beneficios obtenidos como consecuencia de la comisión de la infracción (criterio e); el volumen de tratamientos de datos que conlleva la campaña realizada por el gran número de destinatarios de la misma (criterio b). Asimismo, se considera que AGME Direct ha mostrado una falta de diligencia en la adopción de medidas adecuadas para gestionar el seguimiento del tratamiento de los datos personales de los destinatarios de sus campañas publicitarias, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cuidado en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD y, sin embargo, su conducta no se ha ajustado, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales (criterio f); y, finalmente, la ausencia de procedimientos de gestión adecuados para impedir la comisión de infracciones de similar naturaleza (criterio j). AGME Direct invoca el principio de proporcionalidad para solicitar la imposición de una multa por el importe mínimo previsto, sin tener en cuenta las circunstancias expuestas, sobre las que no realiza ninguna consideración a pesar de que ya fueron valoradas en la propuesta de resolución que le fue notificada. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 31/32 Teniendo en cuenta los criterios de graduación expresados y las tres campañas publicitarias realizadas, procede la imposición de una sanción en la cuantía de 60.000 euros por la infracción del artículo 6 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad AGME DIRECT, S.L. con NIF I.I.I., por una infracción del artículo 6 de la LOPD de la LOPD, en relación con lo previsto en el artículo 30 de la misma norma y en los artículos 45 y 46 de su Reglamento de desarrollo (RDLOP), tipificada como Grave en el artículo 44.3.
43. b)de la LOPD, una multa de 60.000 euros (sesenta mil euros), de conformidad con lo establecido en el artículo 45.1, 2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a AGME DIRECT, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
44. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es 32/32 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – J.J.J. www.agpd.es sedeagpd.gob.es