PS-00354-2017

1/32 Procedimiento Nº PS/00354/2017 RESOLUCIÓN: R/03004/2017 En el procedimiento sancionador PS/00354/2017, instruido por la Agencia Española de Protección de Datos a la entidad Gabinetes de Audioprótesis, Electromedicina y Servicios, S.A. (GAES), vistas las denuncias presentadas, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21/07/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de Dña. A.A.A. (en lo sucesivo la denunciante 1), en el que denuncia a las entidades Gabinetes de Audioprótesis, Electromedicina y Servicios, S.A. (en lo sucesivo GAES), AGME Direct, S.L. (en lo sucesivo AGME Direct) y Comunicación Personal B.P.G., S.L. por la utilización de sus datos personales, sin su consentimiento, para la realización de envíos postales publicitarios dirigidos a su domicilio. Según la denunciante, este envío tuvo lugar en abril de 2016. Se trata de una carta publicitaria personalizada de la entidad GAES, en la que le reservan cita para revisión del día 20/04 al 14/05/2016, constando en la misma que “los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal B.P.G., S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores de ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONGs. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose, por escrito, a AGME, ***DIRECCIÓN.1 o llamando al ***TLF.1”. La denunciante 1 añade que solicitó el acceso a sus datos personales y su procedencia a la entidad AGME Direct, que respondió informando que los datos que disponen son: nombre, apellidos y domicilio postal, los cuales fueron facilitados por la empresa Comunicación Personal B.P.G. Asimismo, solicitó el acceso a sus datos personales y su procedencia a la entidad Comunicación Personal B.P.G., sin haber recibido respuesta. Posteriormente, GAES remitió escrito a la denunciante 1 comunicando que sus datos personales no forman parte de ningún fichero de la entidad. A este respecto, manifiesta la denunciante que nunca se ha dirigido a dicha entidad ni a sus asociados por lo que desconoce cómo han obtenido sus datos. Con el escrito de denuncia se aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 2/32  Carta publicitaria remitida por GAES dirigida a la denunciante 1, con detalle de su nombre, apellidos y domicilio postal, constando la indicación de piso y puerta; campaña “Tiene una cita con su audición”, en la que le indican “Cita reservada para: A.A.A.: del 20 de abril al 14 de mayo”, así como la dirección postal del centro GAES al que debe dirigirse, en el pie de página consta el texto reproducido anteriormente.  Respuesta dada por AGME Direct, de fecha 12/05/2016, al ejercicio del derecho de acceso de la denunciante 1, en la que le comunican que los datos que disponen son nombre, apellidos y domicilio postal, que constan en la carta que recibió. Los mencionados datos fueron facilitados por la empresa Comunicación Personal B.P.G., tal y como se indica en la publicidad remitida. Que no incorporan sus datos a ningún fichero y que proceden a su cancelación.  Escrito de la denunciante 1 dirigido a la entidad Comunicación Personal B.P.G., de fecha 23/05/2016, solicitando el derecho de acceso a sus datos personales y su procedencia.  Respuesta dada por AGME Direct, de fecha 06/07/2016, mediante correo electrónico, en el que le informan que “respecto a la entidad Comunicación Personal B.P.G. solo puedo decirle que nuestra empresa estableció UN CONTRATO con la misma en julio de 2013 y que cumplido el mismo no hemos tenido relaciones comerciales con ellos”.  Escrito de GAES dirigido a la denunciante 1, de fecha 07/07/2016, a la que informan que sus datos de carácter personal no forman parte de ningún fichero del Grupo GAES y que han comunicado el ejercicio de cancelación de sus datos a uno de los proveedores externos AGME Direct, encargados de la realización de comunicaciones comerciales. SEGUNDO: Vista la denuncia reseñada en el Antecedente Primero, se acordó la apertura de Actuaciones Previas de Investigación señaladas con el número E/04535/2016, durante la cual los Servicios de Inspección de esta Agencia llevaron a cabo las siguientes actuaciones: 1. Los datos personales de la denunciante 1, con fecha de 31/05/2017, no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 2. Con respecto a la compañía GAES: De las actuaciones realizadas por la Inspección de Datos en el establecimiento de dicha compañía, con fecha de 14/06/2017, y de la documentación remitida con fecha 06/02 y 21/06/2017, se desprende lo siguiente:  La compañía GAES mantiene una relación comercial y de servicios con la empresa AGME Direct (antes GODIRECT, S.L. y en adelante Proveedor), según contrato de fecha 09/01/2009, mediante el que AGME Direct elaborara listados de destinatarios para la realización de campañas publicitarias (…). En dicho contrato se detallan, entre otras, las cláusulas reseñadas en el Hecho Probado Segundo. Se adjunta copia de dicho contrato y de la factura de la campaña PRIMAVERA 2016 “Tiene una cita con su audición”, la cual dio origen al envío de la comunicación comercial a la denunciante, de fecha 11/03/2016.  Para la campaña PRIMAVERA 2016, realizada mediante envíos personalizados, los listados de los destinatarios fueron elaborados por la compañía AGME Direct a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades. Los criterios utilizados en la campaña fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa de la procedencia de los datos personales de los destinatarios: fichero y empresa C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 3/32 titular del mismo, en el caso del envío realizado a la denunciante 1 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña PRIMAVERA 2016 fue de 2.819.305, siendo el origen de los datos de 1.490.504 destinatarios el fichero “ASTRO”. Para la citada campaña, GAES y AGME Direct suscribieron, con fecha de 16/03/2016, Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña PRIMAVERA 2016, cuya copia adjuntan ambas compañías.  La compañía AGME Direct no ha facilitado los listados de los destinatarios de la campaña PRIMAVERA 2016 a GAES, por lo que GAES no ha tratado los datos personales de los mismos, ni ha mantenido relación comercial con la empresa Comunicación Personal B.P.G., S.L.  Los datos de la afectada (nombre completo y dirección postal), que fueron utilizados por GAES para enviarle la carta, de fecha 07/07/2016, en la que le informan que sus datos de carácter personal no forman parte de ningún fichero del Grupo GAES, dichos datos fueron facilitados por AGME Direct a GAES, con objeto de dar respuesta a la reclamación efectuada por su esposo mediante conversación telefónica al punto de venta de GAES, de la ***DIRECCIÓN.2. Dicha persona facilitó su nombre y apellido y teléfono móvil ( F.F.F. y H.H.H.). Dichas circunstancias constan en los correos electrónicos remitidos por dicho punto de venta al Departamento de Protección de Datos de GAES y por éste a AGME Direct. La Inspección de Datos ha verificado que los datos de la denunciante 1 no constan en los sistemas de información de la compañía GAES. Si bien, en el registro denominado “incidencias” figura información asociada a la denunciante referente al ejercicio del derecho de acceso y cancelación. 3. Con respecto a la compañía AGME Direct: De la información y de la documentación remitida por dicha compañía, con fecha 07/02/2017 y 19/06/2017, a través de la compañía GAES, se desprende lo siguiente:  La empresa AGME Direct suscribió contrato con Comunicación Personal B.P.G., S.L. el 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía. Entre los activos adquiridos se encuentra la base de datos de usuarios. Del contenido de este contrato se destacan los acuerdos reseñados en el Hecho Probado Primero. Se adjuntó copia del contrato y de la factura.  En el Registro General de Protección de Datos (RGPD) figura inscrito el fichero denominado “FICHERO DE CLIENTES”, cuyo titular era Comunicación Personal B.P.G., S.L y se encuentra suprimido. Por otra parte, la compañía AGME Direct tiene inscrito el fichero denominado “ASTRO”, que contiene la información adquirida a la entidad Comunicación Personal B.P.G., S.L, entre otros, los datos personales de la denunciante 1. Si bien, AGME Direct no acredita el procedimiento concreto de obtención de los datos de la denunciante.  Los datos que disponen de la denunciante 1, asociados a un identificador único, son nombre, apellidos, dirección postal, con indicación de piso y puerta, y zona geográfica de la tienda GAES. Añaden, que dieron respuesta al derecho de acceso de la denunciante, con fecha de 12/05/2016, cuya copia adjuntan y que coincide con la aportada por la denunciante 1. 4. La Inspección de Datos ha requerido a la empresa Comunicación Personal B.P.G., S.L acreditación documental del procedimiento de obtención de los datos personales de la denunciante 1, mediante escritos dirigidos a la dirección postal que consta en el Registro C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 4/32 Mercantil, a la que consta en el contrato suscrito con AGME Direct, habiendo sido devueltos ambos a su origen, con fecha de 16/02/ y de 23/02/2017, por “desconocido“. 5. Por otra parte, los Servicios de Inspección de la AEPD recabaron la información relativa a GAES disponible en el Registro Mercantil y en la base de datos AXESOR, destacando que fue constituida en el año 1979, con capital social “No consta”, tamaño UE: Corporate, nº de empleados 855 y ventas 147.388.836€. Tiene como actividad: Intermediarios del comercio especializados en la venta de otros productos específicos. TERCERO: Durante el período comprendido entre el 08/09/2016 y el 23/02/2017, tuvieron entrada en esta Agencia Española de Protección de Datos las denuncias siguientes: 1. Con fecha 08/09/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. B.B.B. (en lo sucesivo denunciante 2), en el que denuncia a las entidades GAES, AGME Direct, “OGAU” y Comunicación Personal B.P.G., S.L., con las que no tiene relación alguna, por la utilización de sus datos personales sin su consentimiento para la realización de un envío postal publicitario dirigido a su domicilio, el cual no figura en ninguna fuente de acceso público y no consta en ningún repertorio de abonados a servicios telefónicos. Según el denunciante 2, la recepción de este envío tuvo lugar el mismo día 08/09/2016. Se trata de una carta publicitaria personalizada de GAES, en la que le reservan cita para revisión del día 05 al 30/09/2016, constando en la misma la siguiente leyenda: “Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME al teléfono gratuito ***TLF.1 al ***DIRECCIÓN.1 o a ***EMAIL.1”. Con el escrito de denuncia se aporta copia de la carta publicitaria remitida por GAES dirigida al denunciante 2, con detalle de su nombre, apellidos y domicilio postal; en la que se indica “Campaña de detección precoz de la pérdida auditiva 2016. Dirección General de la OGAU”… “Estudio Auditivo Gratuito: Sr…. (nombre y apellidos del denunciante 1). Fechas reservadas para su revisión del 5 al 30 de septiembre. Centro GAES: L.L.L.”, así como la dirección postal y el teléfono del centro GAES al que debe dirigirse. Como firma aparece la indicación “Director de Prevención Salud Auditiva. GAES”. Y en el pie de página consta el texto reproducido anteriormente. En el anverso del sobre utilizado para el envío denunciado consta: “DIRECCIÓN GENERAL DE LA OGAU. Campaña de detección precoz de la pérdida auditiva 2016”; y en el reverso, como remitente, “GAES, S.A. ***DIRECCIÓN.3”. 2. Con fechas 03/10/2016 y 23/02/2017, tuvieron entrada en la Agencia Española de Protección de Datos sendos escritos de D. G.G.G. (en lo sucesivo denunciante 3), en el que denuncia a la entidad GAES, por la utilización de sus datos personales sin su consentimiento para la realización de envíos postales publicitarios dirigido a su domicilio. Según el denunciante, estos C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 5/32 envíos se recibieron en septiembre de 2016 y enero de 2017. Acompaña copia de los envíos denunciados. El primero corresponde a la misma campaña reseñada en el Antecedente anterior, incluye la misma leyenda informativa sobre los datos utilizados, y su estructura y contenido es similar al descrito (se reserva cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de I.I.I. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. La segunda carta publicitaria contiene la misma información relativa al denunciante 3 y la misma leyenda informativa. Corresponde a una campaña denominada “Campaña GAES de subvención de ayudas auditivas 2017” y en la firma se indica el nombre y primer apellido de una persona con el cargo “Director General”. Se ofrecen al denunciante las fechas del 14 de febrero al 8 de marzo para su revisión en el mismo centro de GAES de I.I.I. indicado en la carta anterior. Por otra parte, el denunciante 3 advierte que solicitó a GAES el acceso a sus datos personales en enero de 2016 y que recibió respuesta de la misma, fechada el 21/01/2016, de la que aporta copia, en la que le informa que “sus datos de carácter personal, no forman parte de ningún fichero del Grupo GAES. Informarle igualmente, que hemos comunicado el ejercicio de cancelación de sus datos a nuestros proveedores externos, encargados de la realización de comunicaciones comerciales”. Se aporta copia del citado escrito. 3. Con fecha 20/11/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. E.E.E. (en lo sucesivo denunciante 4), en el que denuncia a las entidades GAES, AGME Direct, y Comunicación Personal B.P.G., S.L., con las que no tiene relación alguna, por la utilización de sus datos personales sin su consentimiento para la realización de un envío postal publicitario dirigido a su domicilio, el cual no consta indicado en el buzón exterior de su domicilio ni en ninguna fuente de acceso público y sus datos personales están excluidos del repertorio de abonados a servicios telefónicos. Según el denunciante, recibió este envío en septiembre de 2016. Acompaña copia de la carta objeto de la denuncia, que corresponde a la misma campaña reseñada en el Hecho Primero, incluye la misma leyenda informativa sobre los datos utilizados, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 5 y el 30 de septiembre de 2016 en el Centro GAES de J.J.J. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 4. Con fechas 31/10/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. C.C.C. (en lo sucesivo denunciante 5), en el que denuncia la recepción de una carta publicitaria en su domicilio y a la entidad AGME Direct, como responsable de la información utilizada para el envío de la misma. Añade que se dirigió a AGME Direct solicitando información sobre el origen de sus datos personales registrados en los ficheros de la misma, recibiendo respuesta en la que no se atiende dicha petición. En lugar de ello, mediante escrito de 05/10/2016, que se acompaña, AGME Direct informó al denunciante 5 que había procedido a la cancelación de sus datos personales. Acompaña, asimismo, copia de la carta objeto de la denuncia, que corresponde a la misma campaña reseñada en el Hecho Primero, incluye la misma leyenda informativa sobre los datos utilizados, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de K.K.K. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 6/32 CUARTO: Vistas las denuncias reseñadas en el Antecedente Tercero, se acordó la apertura de Actuaciones Previas de Investigación señaladas con el número E/06373/2016, E/07092/2016, E/00399/2017 y E/00400/2017, cuyos detalles constan reseñados en el Informe de Actuaciones Previas del expediente E/06373/2016. Durante las actuaciones de investigación mencionadas, los Servicios de Inspección de esta Agencia llevaron a cabo las siguientes actuaciones: 1. Los datos personales de los denunciantes 2 a 5 no constan en los repertorios de los servicios de telecomunicaciones denominados “PáginasBlancas.es” e “infobel”, según consta en las Diligencias de fecha 05/07/2017. 2. Respecto de la compañía GAES: De las actuaciones realizadas por la Inspección de Datos en el establecimiento de dicha compañía, con fecha de 14/06/2017, y de la documentación remitida por la misma con fecha de 21/06/2017, se desprende lo siguiente:  La compañía GAES mantiene una relación comercial y de servicios con la empresa AGME Direct (antes GODIRECT, S.L. y en adelante Proveedor), según contrato de fecha 09/01/2009, ya reseñado.  Para la Campaña OGAU 2016, realizada mediante envíos personalizados que recibieron los denunciantes 2 a 5, los listados de los destinatarios fueron elaborados por la compañía AGME Direct a partir de ficheros cuya titularidad es de AGME Direct, de GAES y de otras entidades, los criterios utilizados en la campaña fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios: en el caso de los envíos realizados a los denunciantes 2 a 5 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la Campaña OGAU 2016 fue de 4.390.655, siendo el fichero “ASTRO” el origen de los datos personales de 2.477.231 destinatarios. Para la citada campaña, GAES y AGME Direct suscribieron, con fecha de 13/06/2016, Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la Campaña OGAU 2016 y anexo Detalles Personalización, en el que se detalla las leyendas del pie de página de la campaña, coincidiendo la publicidad recibida por los denunciantes con la establecida para el fichero ASTRO. Las fechas de personalización de la publicidad fueron del 05/09 al 31/10/2016.  Para la “Campaña Europea 2017”, realizada mediante envíos personalizados del tipo que recibió el denunciante 3, los listados de los destinatarios fueron elaborados por la compañía AGME Direct a partir de ficheros de su propia titularidad, de GAES y de otras entidades. Los criterios utilizados en la campaña fueron los siguientes:  Persona de una edad estimada entre los 55 y 90 años.  Presentes en las áreas geográficas cubiertas por las tiendas GAES: toda España. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 7/32 En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa que los datos personales de los destinatarios proceden, en el caso del envío realizado al denunciante 3, del fichero denominado “ASTRO” cuya titularidad corresponde a AGME Direct. El total de envíos realizados en la “Campaña Europea 2017” fue de 4.839.798, siendo el fichero “ASTRO” el origen de los datos personales de 2.856.451 destinatarios. Para la citada campaña GAES y AGME Direct suscribieron, con fecha de 14/11/2016, Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la Campaña Europea 2017 y anexo Detalles Personalización, en el que se detalla las leyendas del pie de página de la campaña, coincidiendo la publicidad recibida por el denunciante 3 con la establecida para el fichero ASTRO. Las fechas de personalización fueron del 09/01 a 24/03/2017.  En relación con el denunciante 3 manifiestan los representantes de GAES que le remitieron envíos publicitarios de las siguientes campañas:  GAES OGAU 2016 campaña septiembre 2016  GAES EUROPA 2016 campaña noviembre 2016  GAES PRIMAVERA 2017 campaña abril 2017 Que sus datos personales no constan en los ficheros titularidad de GAES, que la procedencia es el fichero denominado ASTRO titularidad de AGME. Que GAES dio respuesta, con fecha 21/01/2017, al derecho de cancelación del denunciante 3, informando que “sus datos de carácter personal, no forman parte de ningún fichero del Grupo GAES. Informarle igualmente, que hemos comunicado el ejercicio de cancelación de sus datos a nuestros proveedores externos, encargados de la realización de comunicaciones comerciales”. Si bien, confirman que debido a un error humano puntual dicha solicitud no fue informada al responsable del fichero AGME Direct.  La compañía AGME Direct no ha facilitado a GAES los listados de los destinatarios de las campañas citadas, por lo que ésta última no ha tratado los datos personales de los mismos, ni ha mantenido relación comercial con la empresa Comunicación Personal B.P.G., S.L.  La Inspección de Datos ha verificado que los datos de los denunciantes 2 a 5 no constan en los sistemas de información de la compañía GAES como clientes ni como potenciales clientes. 3. Respecto de la compañía AGME Direct: De la información y documentación remitida por dicha compañía, con fecha de 21/06/2017, a través de la compañía GAES, y con fecha de 26/06/2017, se desprende lo siguiente:  Mediante contrato de 30/07/2013, ya reseñado, la empresa AGME Direct adquirió todos los activos relativos a la línea de negocio de marketing directo de la compañía Comunicación Personal B.P.G., S.L., entre los cuales se encuentra la base de datos de usuarios.  En el Registro General de Protección de Datos (RGPD) figura inscrito el fichero denominado “FICHERO DE CLIENTES”, cuyo titular era Comunicación Personal, el cual se encuentra suprimido. Por otra parte, la compañía AGME Direct tiene inscrito el fichero denominado “ASTRO”, que contiene la información adquirida a la entidad Comunicación Personal, incluida la relativa a los denunciantes 2 a 5, y cuya finalidad es “realización de campañas publicitarias propias o de terceras empresas mediante envió de publicidad directa o llamada telefónica”. A C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 8/32 este respecto, advierte la Inspección de Datos que AGME Direct no ha acreditado el procedimiento concreto de obtención de los datos de los denunciantes 2 a 5.  Los datos que disponen de los denunciantes 2 a 5 son: identificador único, nombre, apellidos, dirección postal, en el caso de los denunciantes 2 y 4 con PISO y PUERTA, y zona geográfica de la tienda GAES. Además, podrían disponer de la fecha de nacimiento ya que uno de los criterios de selección de los destinatarios de las campañas es la edad. 4. Por otra parte, los Servicios de Inspección de la AEPD recabaron la información relativa a GAES, de la que destacaron los detalles indicados en el punto 5 del Antecedente Segundo. QUINTO: Visto el resultado de las Actuaciones Previas de Investigación señaladas con el número E/04535/2016, reseñado en el Antecedente Segundo, con fecha 13/07/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar a la entidad GAES el procedimiento sancionador número PS/00354/2017, por la presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y el artículo 127, letra b), del RLOPD, en el citado acuerdo de apertura se determinó que la sanción que pudiera corresponder por la infracción descrita sería de 15.000 euros, sin perjuicio de lo que resultase de la instrucción. SEXTO: Visto el resultado de las Actuaciones Previas de Investigación señaladas con el número E/06373/2016, E/07092/2016, E/00399/2017 y E/00400/2017, que consta reseñado en el Antecedente Cuarto, con fecha 31/07/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar a la entidad GAES el procedimiento sancionador número PS/00379/2017, por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
3. b)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
4. b)de la LPACAP, y el artículo 127, letra b), del RLOPD, en el citado acuerdo de apertura se determinó que la sanción que pudiera corresponder por la infracción descrita sería de 20.000 euros, sin perjuicio de lo que resultase de la instrucción. SÉPTIMO: Notificado el acuerdo de inicio del procedimiento sancionador número PS/00354/2017, la entidad GAES presentó escrito de alegaciones en el que solicita el archivo de las actuaciones conforme a las consideraciones siguientes: . La entidad no ha realizado ningún tratamiento de los datos personales de la denunciante que tenga relación alguna con el artículo 30 de la LOPD o con los artículos 45 y 46 de su Reglamento de desarrollo. La actuación de la entidad se limita a la anotación de dichos datos en el Registro de Incidencias con motivo de la solicitud de acceso y cancelación de datos planteada, que fue tramitada según establece la normativa. Fuera de este trámite, confirma que no hay ningún registro coincidente en ninguno de sus ficheros, no siendo GAES responsable de los datos de la denunciante. OCTAVO: Notificado el acuerdo de inicio del procedimiento sancionador número PS/00379/2017, la entidad GAES presentó escrito de alegaciones en el que solicita igualmente el archivo de las C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 9/32 actuaciones conforme a las consideraciones siguientes: . La entidad no es responsable ni ha tenido acceso al fichero que alberga los datos de los afectados, ni siquiera a efectos de la segmentación y/o selección de los destinatarios de las cartas publicitarias remitidas. . GAES no puede disponer del consentimiento de los afectados porque no fue quien recabó sus datos, siendo AGME Direct la responsable, a todos los efectos, del fichero “Astro” utilizado. . La relación entre GAES y AGME Direct está regulada en un contrato marco formalizado en 2009, en el que esta última entidad expuso que está autorizado para utilizar los ficheros, que éstos cumplen lo dispuesto en la LOPD y que garantiza que los datos fuero recabados de los propios interesados y con su consentimiento. . GAES no se dedica a recopilar datos personales con la finalidad de realizar envíos masivos de publicidad, utilizándose ficheros externos para realizar las campañas, las cuales son gestionadas por AGME Direct. GAES sólo interviene en el diseño de la publicidad. . En este caso, los datos utilizados en la campaña proceden de un fichero externo al que no accede GAES, cuya titularidad corresponde a AGME Direct, tal y como se informa en los envíos realizados en cumplimiento de lo establecido en el artículo 45 del RLOPD. . En relación con lo dispuesto en el artículo 46 del Reglamento, GAES señala que para cada una de las campañas realizadas se formalizó un anexo al contrato marco en el que quedó establecido lo siguiente: “1. Descripción de los servicios a realizar: Contratación por cuenta del CLIENTE de la elaboración de un listado de direcciones postales para la realización de una campaña de publicidad directa a personas físicas para un único uso. Los criterios de segmentación que el PROVEEDOR considera más eficaces para el mejor resultado de la campaña y que serán solicitados a los titulares del fichero son: . Personas de una edad estimada comprendida entre los 55 y 90 años. . Presentes en las áreas geográficas cubiertas por las tiendas de GAES”. Por tanto, GAES no intervino en la selección de los parámetros identificativos de los destinatarios de la campaña, siendo de aplicación el punto
5. b)del artículo 46 del RLOPD. . La formalización del contrato marco y los anexos fueron las medidas de seguridad aplicadas por GAES para garantizar que dicho fichero cumple la LOPD y su reglamento de desarrollo. . Durante la inspección realizada a GAES, se comprobó que los datos de los denunciantes no constan en sus ficheros y que esta entidad no intervino en la segmentación o selección de personas destinatarias, ni en la elaboración del texto informativo a insertar en cada carta. NOVENO: Con fecha 06/10/2017, se emitió propuesta de resolución en el procedimiento sancionador PS/00354/2017, en el sentido de que por la Directora de la AEPD se sancione a la entidad GAES con multa de 15.000 euros (quince mil euros), por la infracción del artículo 6 de la LOPD, en relación con lo previsto en el artículo 30 de la misma norma y en los artículos 45 y 46 de su Reglamento de desarrollo (RDLOP); tipificada como grave en el artículo 44.3.
6. d)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 10/32 DÉCIMO: Con fecha 09/10/2017, se emitió propuesta de resolución en el procedimiento sancionador PS/00379/2017, en el sentido de que por la Directora de la AEPD se sancione a la entidad GAES con multa de 20.000 euros (veinte mil euros), por la infracción del artículo 6 de la LOPD, en relación con lo previsto en el artículo 30 de la misma norma y en los artículos 45 y 46 de su Reglamento de desarrollo (RDLOP), tipificada como grave en el artículo 44.3.
7. d)de la citada Ley Orgánica. DÉCIMOPRIMERO: La propuesta de resolución emitida en el procedimiento PS/00354/2017 fue notificada a GAES, que presentó escrito de alegaciones en el que solicita el archivo del procedimiento o, subsidiariamente, la aplicación de lo dispuesto en el artículo 45.6 de la LOPD o la imposición de una multa por el importe mínimo previsto, atendiendo al principio de proporcionalidad. Todo ello, en base a las consideraciones siguientes: 1. GAES no ostenta la condición de responsable del tratamiento de los datos, ya que no determina los parámetros identificativos de los destinatarios de la publicidad. Dicha tarea se lleva a cabo por AGME Direct en virtud del contrato suscrito por ambas entidades. GAES no realiza las actividades señaladas en el artículo 46.2 del RLOPD ni puede interpretarse que incurre en la conducta prevista en este artículo por el encargo de la campaña. Y añade GAES que en prueba de lo expuesto, acompaña una declaración de AGME Direct en la que manifiesta que GAES no actúa en ningún momento y el Anexo al contrato suscrito en fecha 16/03/2016 por la campaña en cuestión, con el que se demuestra, en contra de lo señalado en la propuesta de resolución, que GAES no informa o comunica a AGME Direct las instrucciones sobre los destinatarios. GAES se limita a confirmar los parámetros de los destinatarios, sin que ello implique intervención en su determinación. 2. Invoca el principio de culpabilidad. GAES no ha realizado la conducta antijurídica ni ha actuado a título de dolo o culpa. 3. Por otra parte, solicita la acumulación de los procedimientos señalados con los números PS/00354/2017 y PS/00379/2017, referidos a hechos idénticos con íntima conexión. 4. Considerando los dos procedimientos citados y esa identidad de sujeto, hecho y fundamento, invoca el principio “non bis in ídem”. 5. Asimismo, entiende que ambos procedimientos constituyen una infracción continuada, en base al artículo 29.6 de la LRJSP. 6. Solicita que se tenga en cuenta en la graduación de la sanción la buena fe de GAES y AGME Direct en la formalización del contrato, en el que ésta confirma que ha adquirido una base de datos totalmente lícita, se dispone la información a los interesados en toda comunicación enviada, se coordinaron todas las incidencias recibidas, se ha colaborado con la inspección y la entidad no ha sido sancionada o apercibida por procesos similares. GAES aporta una declaración de AGME Direct, fechada el 20/10/2017, en la que esta entidad manifiesta lo siguiente: “(
8. iv)Que los servicios de AGME Direct respecto a las campañas de GAES que tenían como C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 11/32 objeto el fichero “Astro” se realizaron siempre de forma exclusiva por AGME Direct. En este sentido, los parámetros identificativos de los destinatarios de la referida campaña han sido fijados única y exclusivamente por AGME Direct. (
9. v)Que GAES no ha intervenido en ningún momento en la determinación de dichos parámetros siendo siempre de exclusiva decisión y determinación de AGME Direct. (
10. vi)Respecto al Anexo de fecha 16/03/2016 del Contrato de prestación de servicios. En él se indica en su apartado primero, citando de forma literal: “Que los criterios de segmentación que el Proveedor considera más eficaces para el mejor resultado de la campaña (...) son (...)” En este sentido, AGME Direct manifiesta que la firma del presente Anexo por GAES únicamente confirma su anuencia en la determinación de los parámetros por AGME Direct, tal y como se indica en el Exponendo III del Contrato, y en ningún caso supone la intervención de GAES en la determinación de los parámetros de la campaña. Este Anexo sí confirma la aceptación de la campaña por GAES así como el importe que devengará por el Servicio aspecto que AGME DIRECT quería acreditar con la expedición y firma de dicho Anexo al Contrato. (vii) Que expide la presente declaración al objeto que se tenga, por GAES y cualquier parte interesada, como criterio de interpretación en la ejecución del servicio contrato”. DÉCIMOSEGUNDO: La propuesta de resolución emitida en el procedimiento PS/00379/2017 fue notificada a GAES, que presentó escrito de alegaciones en el que reproduce casi literalmente las alegaciones anteriores, en relación con la utilización de los datos personales de los denunciantes 2 a 5 durante las campañas “GAES OGAU 2016, septiembre 2016” y “GAES EUROPA 2016, noviembre 2016”. Solicita igualmente el archivo de las actuaciones o, subsidiariamente, la aplicación de lo previsto en los artículos 45.6 o 45.5 de la LOPD. No obstante, en este escrito de alegaciones añade lo siguiente: . Respecto de lo establecido en el artículo 46.2.
11. a)del RLOPD, insiste en que no ha quedado probado que los parámetros identificativos de los destinatarios hayan sido fijados por GAES y tampoco lo establecido en el apartado
12. c)del mismo artículo, según el cual habrá corresponsabilidad cuando ambas entidades intervengan en la determinación de esos parámetros. Asimismo, señala que decidir sobre la finalidad y uso del tratamiento no conlleva la fijación de los parámetros. Considera que la formalización de los anexos fue un acto de información y conocimiento del que no puede entenderse que GAES fijó esos parámetros. . GAES se aseguró de que el fichero “Astro” figuraba inscrito en el Registro General de Protección de Datos y que AGME Direct no ha sido sancionada en esta materia, habiendo valorado la gestión de derechos ARCO llevada a cabo por dicha entidad y su pertenencia como asociado a la Asociación Digital, adherida a su Código de Buenas Prácticas. . Invoca el principio de presunción de inocencia. Entiende que habiendo cumplido la legislación no puede exigírsele la prueba del consentimiento. DÉCIMOTERCERO: Con fecha 11/10/2017, la AEPD acordó acumular el procedimiento número PS/00379/2017 al iniciado con anterioridad número PS/00354/2017. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 12/32 HECHOS PROBADOS De las actuaciones practicadas en los procedimientos sancionadores número PS/00354/2017 y PS/00379/2017, han quedado acreditados los siguientes hechos probados: 1. La empresa AGME Direct suscribió un contrato con la entidad Comunicación Personal B.P.G., S.L., de fecha 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía. Entre los activos adquiridos se encuentra la base de datos de usuarios. En los exponendos cuarto y quinto del contrato se establece lo siguiente: “IV. Que BPG desea transmitir a AGME la línea de negocio de marketing directo, en concreto todos los activos que se enumeran: Base de Datos de Clientes (personas jurídicas), Base de Datos de Usuarios, Know how de la compañía en la citada línea de negocio así como el software de segmentación. V. BPG es titular de un Fichero de datos de carácter personal denominado FICHERO DE CLIENTES registrado en el Registro General de la Agencia de Protección de Datos con el número…. Este fichero cumple los requisitos necesarios para su utilización en la realización de campañas de marketing, según lo dispuesto en la legislación sobre Protección de Datos Personales vigente. Los datos personales que integran este fichero fueron recabados de los interesados para remitirles información de los productos de BPG o de terceras empresas”. En el acuerdo segundo se manifiesta que “la información integrante del fichero corresponde a datos recabados de los propios interesados por lo que dieron su consentimiento para el tratamiento, BPG manifiesta que ha cumplido con el deber de información según indica la legislación vigente”. Dicho contrato contiene los siguientes acuerdos: “Primero: BPG transmitirá los activos descritos en el exponendo IV… Los datos integrados en el fichero constan de los campos de nombre y apellidos, domicilio completo, teléfono y fecha de nacimiento. Estos dos últimos datos presentes solo en una parte de la totalidad. Igualmente se hace constar que la información puede contener errores de transcripción al haberse transcrito de documentos manuscritos. Segundo: La información integrante del fichero corresponde a datos recabados de los propios interesados por lo que dieron su consentimiento para el tratamiento. BPG manifiesta que ha cumplido con el deber de información según Indica la legislación vigente… Cuarto: Por su parte, AGME manifiesta de acuerdo al artículo 19 del Reglamento antes citado y de acuerdo a la normativa de protección de datos asumir la obligación de informar a los interesados integrantes del fichero de usuarios objeto de transmisión del presente contrato, de la finalidad del nuevo tratamiento y de los medios para que puedan ejercerse en particular el derecho de oposición a la cesión y en general los restantes derechos que la legislación prevé para las personas…”. 2. GAES y AGME Direct suscribieron un contrato de prestación de servicios, de fecha 09/01/2009, en virtud del AGME Direct se encarga de la realización de campañas publicitarias de productos y servicios de GAES mediante envíos postales. En dicho contrato se convienen, entre C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 13/32 otras, las siguientes cláusulas: “Primera: El Proveedor elaborará listados de destinatarios para la realización de campañas publicitarias (…). Los datos personales que se incluirán en el referido listado contendrán la siguiente información: nombre, apellidos, domicilio y, en su caso, número de teléfono. Segunda: El Proveedor declara que el origen de los datos personales que serán utilizados para la elaboración de los listados de destinatarios de las campañas será: ficheros de datos personales, recogidos directamente de fuentes accesibles al público o facilitados por los propios afectados u obtenidos con su consentimiento, ficheros cuya titularidad corresponde a terceras personas o entidades de las cuales se ha obtenido manifestación expresa de dichas terceras personas o entidades de que tales ficheros cumplen con todos los requisitos exigidos en la normativa legal sobre protección y tratamiento de datos personales en orden a su eventual utilización con fines de publicidad o prospección comercial”. 3. Con fecha 31/05/2017, por la Inspección de Datos se comprobó que los datos personales de la denunciante 1 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 4. La denunciante 1 ha manifestado que nunca se ha dirigido a la entidad GAES ni a sus asociados. 5. La denunciante 1 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, constando la indicación de piso y puerta, la cual contiene una oferta publicitaria de los servicios y productos de GAES. En la misma se informa a la denunciante 1 sobre una cita reservada para efectuarle una revisión de audición (“Tiene una cita con su audición”; “Cita reservada para: A.A.A.: del 20 de abril al 14 de mayo”) y se indica la dirección postal del centro GAES al que debe dirigirse. En el pie de página consta el texto siguiente: “los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal B.P.G., S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores de ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONGs. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose, por escrito, a AGME, ***DIRECCIÓN.1 o llamando al ***TLF.1”. 6. Los Servicios de la AEPD verificaron el planning de campañas publicitarias realizadas. Según los datos verificados, en marzo de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada PRIMAVERA 2016 “Tiene una cita con su audición”, la cual dio origen a la comunicación comercial recibido por la denunciante 1. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 16/03/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña PRIMAVERA 2016. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 14/32 En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado a la denunciante 1 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña PRIMAVERA 2016 fue de 2.819.305, siendo el fichero “ASTRO” el origen de los datos de 1.490.504 destinatarios. 7. La Inspección de Datos ha verificado que los datos de la denunciante no constan en los sistemas de información de la compañía GAES. Si bien, en el registro denominado “incidencias” figura información asociada a la denunciante referente al ejercicio del derecho de acceso y cancelación. 8. Con fecha 05/07/2017, por la Inspección de Datos se comprobó que los datos personales de los denunciantes 2 a 5 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 9. Los denunciantes 2 a 5 no han tenido relación alguna con la entidad GAES. 10. En septiembre de 2016, el denunciante 2 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, la cual contiene una oferta publicitaria de los servicios y productos de GAES. En la misma se indica “Campaña de detección precoz de la pérdida auditiva 2016. Dirección General de la OGAU”… “Estudio Auditivo Gratuito: Sr…. (nombre y apellidos del denunciante 1). Fechas reservadas para su revisión del 5 al 30 de septiembre. Centro GAES: L.L.L.”, así como la dirección postal y el teléfono del centro GAES al que debe dirigirse. En el pie de página consta la leyenda siguiente: “Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME al teléfono gratuito ***TLF.1 al ***DIRECCIÓN.1 o a ***EMAIL.1”. En el anverso del sobre utilizado para el envío denunciado consta: “DIRECCIÓN GENERAL DE LA OGAU. Campaña de detección precoz de la pérdida auditiva 2016”; y en el reverso, como remitente, “GAES, S.A. ***DIRECCIÓN.3”. 11. En septiembre de 2016, el denunciante 3 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de I.I.I. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 15/32 12. En enero de 2017, el denunciante 3 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, en el que se contienen los mismos datos personales relativos al mismo. Corresponde a una campaña denominada “Campaña GAES de subvención de ayudas auditivas 2017” y ofrece al denunciante las fechas del 14 de febrero al 8 de marzo para su revisión en el mismo centro de GAES de I.I.I. indicado en la carta anterior. Incluye la misma leyenda informativa sobre los datos utilizados en la misma. 13. En septiembre de 2016, el denunciante 4 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 5 y el 30 de septiembre de 2016 en el Centro GAES de J.J.J. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 14. En septiembre de 2016, el denunciante 5 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de K.K.K. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 15. Los Servicios de la AEPD verificaron el planning de campañas publicitarias realizadas. Según los datos verificados, en junio de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada “Detección precoz de la pérdida auditiva 2016 Dirección General de la OGAU”, la cual dio origen a las comunicaciones comerciales recibidas por los denunciantes 2 a 5 en septiembre de 2016. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 13/06/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado a los denunciantes 2 a 5 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña citada fue de 4.390.655, siendo el fichero “ASTRO” el origen de los datos de 2.477.231 de destinatarios. Las fechas de personalización de la publicidad fueron del 05/09 al 31/10/2016. 16. En noviembre de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada “Campaña GAES de subvención de ayudas auditivas 2017”, la cual dio origen a la comunicación comercial recibida por el denunciantes 3 en enero de 2017. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 16/32 Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 13/06/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado al denunciante 3 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña citada fue de 4.839.798, siendo el fichero “ASTRO” el origen de los datos de 2.856.451 de destinatarios. Las fechas de personalización de la publicidad fueron del 09/01 al 24/03/2017. 17. La Inspección de Datos ha verificado que los datos de los denunciantes 2 a 5 no constan en los sistemas de información de la compañía GAES. 18. En enero de 2016, el denunciante 3 solicitó a GAES el acceso a sus datos personales, recibiendo respuesta de la citada compañía, fechada el 21/01/2016, en la que le informa que “sus datos de carácter personal, no forman parte de ningún fichero del Grupo GAES. Informarle igualmente, que hemos comunicado el ejercicio de cancelación de sus datos a nuestros proveedores externos, encargados de la realización de comunicaciones comerciales”. 19. El denunciante 5 se dirigió a AGME Direct solicitando información sobre el origen de sus datos personales registrados en los ficheros de la misma, recibiendo respuesta de 05/10/2016, en la que le informa que había procedido a la cancelación de sus datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
13. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento se circunscribe a determinar la existencia de consentimiento de los denunciantes para el tratamiento de sus datos personales con ocasión de las acciones publicitarias de productos de GAES realizadas por AGME Direct. La LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 17/32 Conforme al artículo 3.
14. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
15. q)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
16. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
17. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
18. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso, se ha producido un tratamiento de los datos personales de los denunciantes para enviarles un folleto de publicidad, en el que figuraban su nombre, apellidos y domicilio postal. Dicho tratamiento acontecido se enmarca en actividades de prospección comercial vía correo postal decidas por GAES, que es la beneficiaria de la publicidad. Esta acción se realizó por encargo de GAES, que era la empresa cuyos productos se promocionaban en los envíos postales recibidos por los denunciantes. Con arreglo a las definiciones contenidas en los artículos 3.
19. d)de la LOPD y 5.1.
20. q)del RLOPD, y de acuerdo con lo previsto en el artículo 46.2 del RLOPD y las normas reseñadas en los Fundamentos de Derecho siguientes, la entidad GAES interviene como responsable de los tratamientos de los datos personales de los denunciantes realizados en el marco de las campañas encargadas por dicha entidad, pues el tratamiento acontecido se enmarca en actividades de prospección comercial cuya beneficiaria es la propia GAES. Aunque GAES no haya realizado materialmente el envío de la comunicación postal promocional denunciada, decidió sobre la finalidad, el contenido y uso del tratamiento de los datos personales utilizados C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 18/32 para la realización de la misma, por lo que es responsable del tratamiento efectuado con los datos personales de la denunciante en las acción de marketing reseñadas en los Hechos Probados, ya que determinó realizar dicha campaña encargándosela a su distribuidor AGME Direct y la forma en que debían tratarse los datos. Esta circunstancia, en sí misma, es suficiente para exigir responsabilidad a GAES por la infracción imputada. III La hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (en lo sucesivo LORTAD), delimitaba su ámbito de aplicación en torno al concepto de fichero automatizado (artículo 2), que figuraba definido como “todo conjunto organizado de datos de carácter personal que sean objeto de tratamiento automatizado (...)”. Congruentemente con dicha configuración legal, la LORTAD se limitaba a definir la figura del responsable del fichero (artículo 3.
21. b)y d)). Por el contrario, la vigente LOPD modificó el ámbito de aplicación objetivo de la norma circunscribiéndola a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero y diferencia las figuras del responsable del fichero y del responsable del tratamiento (artículo 3.b y d). Asimismo delimita con precisión la figura del encargado del tratamiento (artículo 12). Efectivamente, el artículo 3 de la LOPD establece lo siguiente: “
22. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
23. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Esta modificación es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro derecho, conforme a la cual, en el caso de los datos personales susceptibles de tratamiento automatizado, la Ley se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables (art. 12.4). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su Sentencia de 26/01/2005, dictada en casación para C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 19/32 unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas vecesel responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
24. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
25. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
26. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Dentro de la doctrina expuesta, en el presente caso, ha quedado acreditado que el tratamiento de los datos de los denunciantes para la realización de envíos postales publicitarios se realizó por AGME Direct por encargo de GAES, que ha de considerarse responsable de este específico tratamiento de datos personales. De acuerdo con lo expuesto en el presente Fundamento de Derecho y el que precede, no pueden estimarse las alegaciones planteadas por GAES, que pretende ser eximida de C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 20/32 responsabilidad por el solo hecho de haber contratado con otra entidad la materialización de la campaña promocional o por no ser responsables ni haber accedido al fichero utilizado para la misma. IV Además, GAES intervino en la delimitación del colectivo de personas a las que debían dirigirse las campañas realizadas. Para la realización de los envíos se utilizaron los datos personales de los afectados registrados en un fichero titularidad de la mercantil AGME Direct, empresa a la que GAES encargó la realización de la campaña publicitaria de sus productos y la selección del público objetivo o destinario de la misma mediante la fijación de parámetros. Sin embargo, de lo actuado ha quedado probado que ambas empresas participaron en la fijación de los parámetros identificativos de los destinatarios de la campaña. La indicación de determinados “valores” es lo que el artículo 46.4 del RDLOPD denomina parámetros identificativos de los destinatarios, considerando como tal las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En este caso, esos “valores” que permiten determinar los destinatarios se concretan en los Anexos al contrato de prestación de servicios suscritos en fechas 16/03/2016, 13/06/2016 y 14/11/2016, por los que GAES encarga a AGME Direct la realización de las tres campañas que constan reseñadas en los Hechos Probados. En dichos Anexos se fijan variables como la edad y áreas geográficas, y de acuerdo con ello AGME Direct extrae de sus ficheros y del resto de ficheros que se indican los destinatarios de la campaña. Con la firma de estos documentos por los que se concretan los encargos, GAES consiente la aplicación de los valores que se describen asociados a la ubicación de sus establecimientos. Es lo que AGME Direct indica en su declaración aportada por GAES con las alegaciones a las propuestas de resolución cuando se refiere expresamente a confirmar su “anuencia”. Es, por tanto, irrelevante que el contrato suscrito por GAES y AGME Direct indique que corresponde a esta última elaborar los listados de destinatarios. En definitiva, de acuerdo con el artículo 43 de la LOPD, GAES ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma. De toda la exposición precedente, se evidencia que el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros, así como a los responsables de los ficheros utilizados e, incluso, a los meros encargados de aquél que incumplan las instrucciones fijadas en el contrato o destinen los datos a otra finalidad o los comunique a terceros (ex. artículo 12.4 de la LOPD). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. V C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 21/32 Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD establece lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento vulnera el derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, el tratamiento de los datos personales debe contar con el consentimiento inequívoco del titular de los mismos, entendido éste de conformidad con la definición contenida en el apartado
27. h)artículo 3 de la LOPD: “
28. h)Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento inequívoco del afectado o, en su defecto, debe acreditarse que los datos C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 22/32 provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho”. En el presente caso, se analiza la utilización de los datos personales de los denunciantes para la realización de acciones publicitarias a favor de GAES, y se imputa una infracción de lo dispuesto en el artículo 6 de la LOPD citado. En relación con los tratamientos para actividades de publicidad y prospección comercial, también resulta de aplicación en este caso lo dispuesto en el artículo 30 de la misma Ley Orgánica y el artículo 45 de su Reglamento de desarrollo (además del ya citado artículo 46 de este Reglamento), al haber realizado dicho tratamiento de datos sin haber obtenido previamente el consentimiento de los afectados y sin que exista causa que lo dispense. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 23/32 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
29. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
30. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
31. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Así pues, tanto la LOPD como, más en concreto, su RLOPD, establecen que el tratamiento de datos personales con fines comerciales sólo es posible cuando exista consentimiento del afectado para ese tipo específico de tratamiento, y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad o, en su caso, sean datos personales procedentes de fuentes accesibles al público y los afectados no hayan manifestado su oposición a dicho tratamiento. En el presente caso ha resultado acreditado que GAES encargó una campaña publicitaria cuyos destinatarios eran las personas que constaban en ficheros de AGME Direct, los denunciantes entre ellos. Asimismo, consta acreditada la realización de los envíos postales dirigidos a los domicilios de los denunciantes para la promoción de los productos y servicios de GAES, sin que se haya aportado justificación alguna para acreditar que se disponía del consentimiento de los mismos. Por tanto, los datos personales de los denunciantes fueron utilizados con fines publicitarios sin que GAES contase con su consentimiento. Y tampoco concurre ninguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización de los datos personales de los denunciantes relativos al nombre, apellidos y dirección postal para la realización de envíos promocionales. Así las cosas, los titulares de los datos observan cómo éstos son tratados sin su consentimiento, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas, los datos personales de los denunciantes debieron ser excluidos de las acciones publicitarias realizadas en nombre de GAES. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 24/32 De acuerdo con los preceptos transcritos en el anterior Fundamento de Derecho, incumbe al responsable del tratamiento de los datos estar en disposición de probar que cuenta con el consentimiento inequívoco de su titular, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD, o, al menos, probar que adoptó las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD en su artículo 6.1. En esta línea, se trae a colación la Sentencia de la Audiencia Nacional, de fecha 1 de febrero de 2006, que en cuanto a la prueba de la existencia de un consentimiento inequívoco, señalaba lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. En este mismo sentido se pronunciaba la Audiencia Nacional en su Sentencia de fecha 4 de marzo de 2009, señalando que el consentimiento “tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3.
32. h)y 6.1 de la LOPD”. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. Acreditado por esta Agencia el uso por parte de la inculpada de los datos personales de los denunciantes con fines de marketing directo, corresponde a GAES estar en condiciones de probar que había obtenido el consentimiento inequívoco de los mismos para el tratamiento con fines de publicidad de sus datos personales, pues, salvo que se encuentre legalmente amparado o se produzca alguna de las excepciones establecidas en el artículo 6.2 de la LOPD, únicamente C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 25/32 el consentimiento inequívoco justifica y legitimaría el tratamiento del que se la inculpa. Sin embargo, en las actuaciones efectuadas en el procedimiento no consta que la citada entidad haya probado contar con el consentimiento inequívoco de los denunciantes para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por los propios denunciantes o por haberse obtenido con su consentimiento para tal finalidad. Tampoco ha justificado la inculpada que concurriera alguno de los supuestos que dispensarían de tal consentimiento, recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento. Se da la circunstancia de que los datos sometidos a tratamiento incluyen la edad del afectado y su domicilio con indicación de piso y puerta. Ello conlleva la evidencia de que tales datos difícilmente proceden de fuente de acceso público, de modo que GAES debió extremar las cautelas para asegurarse que los mismos fueron recabados de los propios afectados y con su consentimiento específico para la finalidad pretendida. Consecuentemente, los datos personales de los afectados fueron utilizados con fines publicitarios por la entidad citada, sin que ésta contase con su consentimiento inequívoco para ello, por lo que se considera infringido el artículo 6.1 de la LOPD por parte de GAES, entidad que resulta responsable de la comisión de dicha infracción. VI GAES pretende excluir su responsabilidad señalando que contrató la campaña con una empresa especializada que aseguró disponer de bases de datos que podían utilizarse legítimamente con fines promocionales. Esta Agencia considera que, a los efectos de la diligencia que resulta exigible a GAES, no basta con dar por ciertas las declaraciones realizadas por AGME Direct en el contrato formalizado, en el que ésta aseguraba que la información obrante en el fichero se había obtenido de conformidad con lo previsto en la normativa de protección de datos. Para analizar esta cuestión es necesario considerar, además, que GAES no adoptó ninguna cautela para asegurarse de que el fichero utilizado cumplía las exigencias previstas para su utilización posterior con la finalidad expresada, no resultando bastantes a estos efectos, como se ha dicho, las meras manifestaciones de la entidad AGME Direct recogidas en el contrato según las cuales los datos personales incluidos en dicho fichero se recabaron con el consentimiento de los afectados. Sería tanto como admitir que estas manifestaciones son suficientes para obviar el cumplimiento de la normativa aplicable. En relación con esta exigencia de diligencia, GAES no ha probado haber realizado con anterioridad a la firma del mencionado contrato algún tipo de comprobación para verificar el origen de los datos del fichero y que su obtención se había producido con arreglo a lo dispuesto en los artículos 6 y 30.1 de la LOPD y 45.1 del RLOPD respeto al principio del consentimiento. Esta omisión de la inculpada demuestra su absoluta falta de diligencia en el cumplimiento de la normativa de protección de datos. GAES, como responsable del tratamiento, debió adoptar las cautelas necesarias para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos personales de los denunciantes, con independencia de las indicaciones C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 26/32 señaladas en el contrato sobre la regularidad del fichero. La culpabilidad de dicha entidad ha quedado acreditada en atención al tratamiento de datos de los denunciantes sin su consentimiento, pues no consta en el procedimiento actuación alguna tendente a valorar si contaban con legitimación, habida cuenta de que ni son clientes de GAES ni constan los datos en fuentes accesibles al público. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Lo relevante es la diligencia desplegada en la acción por el sujeto. En el supuesto analizado, se considera que GAES mostró una evidente falta de diligencia ante la falta de adopción de medidas tendentes a asegurarse de la regularidad del tratamiento de los datos personales de los destinatarios de la campaña publicitaria. De acuerdo con lo dispuesto en el artículo 6 de la LOPD, GAES no ha acreditado que tuviese el consentimiento de los denunciantes para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Sobre esta cuestión se pronunció la Sentencia de la Audiencia Nacional de fecha 30/04/2015, recaída en el Recurso Contencioso-Administrativo núm. 242/2013, que analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que XXX, debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, XXX, había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. VII En el presente caso, ha quedado acreditado que GAES resulta responsable del tratamiento de los datos personales de los denunciantes con fines de publicidad y prospección comercial, vulnerando de este modo lo dispuesto en el artículo 6.1 de la LOPD, ya que el uso de los datos de los afectados por dicha empresa se produjo sin mediar el consentimiento de los mismos ni existir habilitación legal para ello, no siendo tampoco aplicables a este supuesto las excepciones previstas en el artículo 6.2 de la LOPD al no producirse ninguna de las circunstancias recogidas en el mismo. Dicha conducta se encuentra tipificada como infracción grave en el citado artículo 44.3.
33. b)de dicha norma, que establece como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 27/32 En el presente caso, respecto del tratamiento de datos realizado por cuenta de GAES, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales para el que era exigible el consentimiento de los afectados, no siendo aplicable ninguna de las excepciones previstas al caso concreto, de modo que los datos personales de los denunciantes no podían utilizarse para acciones de marketing. La citada entidad, al tratar los datos de los denunciantes sin su consentimiento, ha cometido la infracción tipificada en dicho artículo, que es imputable a la misma en su condición de responsable del tratamiento. En el supuesto analizado, se considera que GAES mostró una evidente falta de diligencia ante la falta de adopción de medidas tendentes a asegurarse de la regularidad del tratamiento de los datos personales de los destinatarios de la campaña publicitaria encargada. De acuerdo con lo dispuesto en el artículo 6 de la LOPD, GAES no ha acreditado que tuviese el consentimiento de la denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Además, la entidad denunciada no ha presentado ninguna prueba que pueda evidenciar el origen lícito de los datos de la denunciante, que no figuraban en fuente accesible al público. Por tanto, GAES ha vulnerado el principio del consentimiento regulado en el artículo 6.1 de la LOPD, en relación con lo dispuesto en el artículo 30.1 de la misma norma y con lo previsto en los artículos 45 y 46 del RLOPD, conducta que encuentra su tipificación en el citado artículo 44.3.
34. b)de la citada Ley Orgánica. VIII La entidad imputada ha invocado el principio “non bis in idem”, por cuanto en los dos expedientes de referencia concurren los mismos interesados, hechos y fundamentos. En ambos se pretende imponer una sanción a la entidad GAES por la infracción del artículo 6 de la LOPD por razón de las campañas publicitarias realizadas para promocionar sus productos. Cabe señalar, en relación con la invocación del principio “non bis in idem” realizada por la entidad imputada, que el mismo no resulta vulnerado cuando se imponen dos sanciones por hechos distintos, aunque estos sean de naturaleza similar y por el mismo infractor. El artículo 31 “Concurrencia de sanciones” de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece que “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los caso en que se aprecie identidad del sujeto, hecho y fundamento”; que coincide con lo que dispuesto en el artículo 133 “Concurrencia de sanciones” de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en vigor hasta el 30/09/2016. Estos preceptos consagran la imposibilidad de que la potestad sancionadora de la Administración pueda desplegarse sobre aquellos ilícitos que con anterioridad hubieran sido objeto de una sanción irrogada por los órganos administrativos. Tal imposibilidad, englobada tradicionalmente en el axioma “non bis in idem”, sucederá cuando entre los hechos ilícitos imputados en un procedimiento administrativos sancionador y los reprimidos con carácter previo se aprecie una triple identidad objetiva o fáctica (iguales hechos), subjetiva (mismo infractor) y causal (identidad de fundamento punitivo) o, como dice la STS 2ª 3 de diciembre de 1991, identidad subjetiva, identidad de objeto e identidad de acción. C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 28/32 En el presente caso, no puede ser tenida en cuenta la alegación citada en relación con el citado principio, porque no se aprecian las identidades requerida en los artículos citados, ya que en los procedimientos señalados se analiza el tratamiento de datos personales realizado por GAES correspondientes a campañas publicitarias distintas en cada caso. Los hechos, aunque de similar naturaleza, afectan a tratamientos realizados en distintas campañas publicitarias y en distintas fechas, lo que supone que se trata de hechos distintos. A este respecto, ha de tenerse en cuenta que la efectiva punición de un hecho antijurídico determinado no exonera a su autor, al amparo del “non bis in idem”, de nueva responsabilidades si vuelve a incurrir con posterioridad en la misma conducta. Es, en último término, el supuesto de la “reincidencia penal” solventada de forma adecuada por la jurisprudencia. Así la STS 3ª 7ª 14 de diciembre de 1992 o la STS 3ª 4 de noviembre de 1980: “la permanencia de una infracción observada y sancionada no puede constituir una causa de impunidad que ponga a cubierto al infractor de posibles y sucesivas sanciones si no se corrigen aquéllas.” Además, entiende GAES que se pretende sancionar mediante los procedimientos de referencia una infracción continuada, a la que se refiere el artículo 29.6 de la misma Ley 40/2015. En este artículo se establece que “será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejante precepto administrativo, en ejecución de un plan preconcebido o aprovechando idéntica ocasión”. La aplicación de este precepto sólo podrá considerarse cuando los hechos o conductas tipificados como infracciones infrinjan los mismos o semejantes preceptos administrativos y se realicen aprovechando idéntica ocasión o en ejecución de un plan preconcebido. Sin embargo, GAES no justifica la concurrencia de los elementos subjetivos y objetivos que conforman la infracción continuada. En cualquier caso, los supuestos analizados en los procedimientos de referencia presentan algunas características similares, que resultan de la propia actividad desarrollada por la citada entidad, pero no concurren los elementos necesarios para determinar que las infracciones analizadas en cada caso resulten de la “ejecución de un plan preconcebido por dicha entidad o aprovechando idéntica ocasión”. Se trata de hechos diferenciados que determinan la comisión de varias infracciones. En relación con la infracción continuada y con lo dispuesto en el citado artículo, el Tribunal Supremo, en Sentencia de 07/03/2006, ha declarado que “No basta, por lo tanto, para apreciar la existencia de infracción continuada con la simple reiteración de conductas semejantes, como es el caso de la realización por la recurrente de diversas campañas publicitarias en razón de la actividad a que se dedica, es preciso que esa reiteración de conductas, además de infringir el mismo precepto u otro semejante, responda al mismo proceso psicológico y material, que no es el caso de distintas actuaciones profesionales desarrolladas en el tiempo en razón de las oportunidades comerciales que se plantean y en la medida que, atendiendo a las circunstancias concurrentes que se valoran en cada caso, se van aceptando y contratando de manera independiente y en las condiciones que en cada caso se negocien”. IX El apartado 6 del artículo 45 de la LOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 29/32 “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
35. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
36. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. GAES ha solicitado la aplicación de este artículo al concurrir las dos circunstancias expresadas en el artículo. Es cierto que se cumplen los presupuestos establecidos en el artículo reseñado. Sin embargo, la previsión contenida en el mismo se declara expresamente como excepcional y su ponderación corresponde al órgano sancionador, atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. No cabe, por tanto, su aplicación como regla general por el sólo hecho de que se cumplan los presupuestos reseñados. En este caso, atendida la naturaleza de los hechos, y considerando la amplitud de las campañas planificadas por GAES, que cubren todo el territorio nacional con un elevado número de destinatarios, lo que a juicio de esta Agencia obliga a la misma a extremar las cautelas y la diligencia que ha de aplicar en esta materia, no se estima aplicable el citado artículo. X El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
37. a)El carácter continuado de la infracción.
38. b)El volumen de los tratamientos efectuados.
39. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
40. d)El volumen de negocio o actividad del infractor.
41. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
42. f)El grado de intencionalidad.
43. g)La reincidencia por comisión de infracciones de la misma naturaleza.
44. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
45. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 30/32 funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
46. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
47. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
48. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
49. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
50. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
51. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
52. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 31/32 Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Tras las evidencias obtenidas, se considera, de conformidad con el art. 45.5 LOPD, que procede aplicar la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
53. a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
54. d)y
55. h)del artículo 45.4 de la LOPD: debido a que su actividad principal no consiste en el tratamiento de datos con fines publicitarios, lo que llevó a la misma a contratar tales servicios con una empresa del sector, y la ausencia de perjuicios distintos de los que derivan propiamente de la infracción. Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave para sancionarse conforme a las multas establecidas para las infracciones leves. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta la falta de diligencia mostrada por GAES al no adoptar ninguna cautela en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD y no haber mostrado el suficiente cuidado para asegurarse del origen de los datos personales utilizados en las campañas (criterio f); y el volumen de tratamientos de datos que conllevan las campañas realizada por el gran número de destinatarios de las mismas (criterio b); y su volumen de negocio o actividad (criterio d). Teniendo en cuenta los criterios de graduación expresados, procede confirmar la sanción por importe de 15.000 euros propuesta por el instructor del procedimiento en el PS/00354/2017 y la sanción de 20.000 euros propuesta en el PS/00379/2017, ambas por la infracción del artículo 6 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Por los hechos que motivaron el procedimiento sancionador nº PS/00354/2017, IMPONER a la entidad Gabinetes de Audioprótesis, Electromedicina y Servicios, S.A. (GAES), por una infracción del artículo 6 de la LOPD de la LOPD, en relación con lo previsto en el artículo 30 de la misma norma y en los artículos 45 y 46 de su Reglamento de desarrollo (RDLOP), tipificada como Grave en el artículo 44.3.
56. d)de la LOPD, una multa de 15.000 euros (quince mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: Por los hechos que motivaron el procedimiento sancionador nº PS/00379/2017, C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es 32/32 IMPONER a la entidad Gabinetes de Audioprótesis, Electromedicina y Servicios, S.A. (GAES), por una infracción del artículo 6 de la LOPD de la LOPD, en relación con lo previsto en el artículo 30 de la misma norma y en los artículos 45 y 46 de su Reglamento de desarrollo (RDLOP), tipificada como Grave en el artículo 44.3.
57. d)de la LOPD, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a Gabinetes de Audioprótesis, Electromedicina y Servicios, S.A. (GAES). CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
58. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – I.I.I. www.agpd.es sedeagpd.gob.es