← España

PS-00369-2013

1/13 Procedimiento Nº PS/00369/2013 RESOLUCIÓN: R/02701/2013 En el procedimiento sancionador PS/00369/2013, instruido por la Agencia Española de Protección de Datos a la entidad DIGITEX INFORMATICA, S.L., ENDESA ENERGIA, S.A., TELEMARK SPAIN, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 25 de julio de 2012, escrito presentado por A.A.A. en el que denuncia a la compañía Endesa Energía, S.A.U. (en adelante ENDESA) manifestando que ha recibido dos llamadas de dicha compañía el día 19 de julio de 2012, a las 18:56h y a las 19:27h, y que consta en el Servicio de la Lista Robinson desde el pasado 22 de febrero de 2012, con los números ***TEL.1 y ***TEL.2, según se acredita en la impresión de pantalla del mensaje remitido por correo electrónico a la denunciante <...@...> desde <...@listarobinson.es>. Dichas llamadas han sido realizadas desde los números emisores ***TEL.3 (Srta. B.B.B.) y ***TEL.4 (Srta. C.C.C.), si bien no se concreta el número receptor de las llamadas ni acreditación de las mismas. La Asociación Española de la Economía Digital, responsable de la Lista Robinson, comunicó a la denunciante que no debería recibir publicidad pasados tres meses desde la inscripción en el servicio. Con fecha de 22 de enero de 2013, se procede a la asignación de las presentes actuaciones con referencia E/5304/2012 al inspector que suscribe el presente informe. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad DIGITEX INFORMATICA, S.L., ENDESA ENERGIA, S.A., TELEMARK SPAIN, S.L., teniendo conocimiento de que: 1 La denunciante remite a la AEPD, con fecha de 6 de febrero de 2013, impresión de pantalla de “42” correos electrónicos recibidos en la dirección <...@...> en el periodo comprendido entre el día 2 de agosto y 20 de octubre de 2012, desde diversas compañías que según manifiesta no tuvo relación comercial, si bien no acredita el contenido de los mismos ni la información correspondiente a las cabeceras. También, indica que sigue recibiendo llamadas telefónicas de otras compañías. 2 Se ha verificado por parte de la Inspección de Datos que el nombre y apellido de la denunciante constan asociados al domicilio postal “(C/..................1) de Madrid” y al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 número de línea telefónica ***TEL.1, en diversas guías como: <blancas.paginasamarillas.es>, <www.infobel.com>, <blancas.guias11811.es> y <www.guiafono.com>. También, figura en el sitio web <www.datocapital.com> que la denunciante “ostentó anteriormente un puesto en dos empresas (…)”. Si bien dicho nombre y apellidos no constan en la actualidad en el Registro Mercantil. Dichas circunstancias constan en la Diligencia de fecha 26 de marzo de 2013. 3 La compañía XTRA Telecom, S.L. ha informado a la Inspección de Datos, con fecha de 8 de abril de 2013, que el titular del número de línea ***TEL.4, el día 19 de julio de 2012, era la mercantil Telemark Spain, S.L. 4 La mercantil Telefónica de España, S.A.U. ha comunicado a la Inspección de Datos, con fecha de 15 de abril de 2013, lo siguiente: - El número de línea ***TEL.3 figura desde el día 7 de julio de 2011 a nombre de la compañía Digitex Informática, S.L. - El número de línea ***TEL.4 pertenece a la operadora XTRA Telecom, S.L. 5 La Inspección de Datos ha realizado las siguientes verificaciones, en internet, respecto a los números de teléfono origen de las llamadas a la denunciante: - ***TEL.3: constan diversas informaciones relacionadas con personas que reciben varias llamadas al día de dicho nº y que corresponde a ENDESA. - ***TEL.4: constan diversas informaciones relacionadas con personas que reciben varias llamadas al día de dicho nº y que corresponde a ENDESA. Por otra parte, de la Inspección de Datos se han realizado las siguientes comprobaciones: - Con fecha de 26 de mayo de 2013 se ha realizado una llamada al nº ***TEL.3 que es atendida por un contestador que se identifica como ENDESA y solicitan los datos personales del llamante, nombre, apellidos, DNI y teléfono, con objeto de devolver la llamada. - Con fecha de 13 y 19 de junio de 2013, se realiza sendas llamadas al nº ***TEL.3 dando una señal de comunicando. - Con fecha de 13 y 19 de junio de 2013, se realiza sendas llamadas al nº ***TEL.4 no obteniéndose ninguna señal. Dichas circunstancias constan en la Diligencia de fecha 19 de junio de 2013. 6 La mercantil ENDESA ha comunicado a la Inspección de Datos, con fecha de 4 de junio de 2013, en relación con las llamadas recibidas por la denunciante lo siguiente: - La denunciante no es cliente de la compañía ni les consta que hubiera solicitado no recibir publicidad. Los datos personales de la denunciante provenían de fuentes accesibles al público y fueron proporcionados por PDM DIGITAL MARKETING IBERIA, S.L. (PDM) y SCHOBER PDM IBERIA, S.A. (en adelante SCHOBER) al amparo del contrato de prestación de servicios suscrito entre las partes, el 26 de septiembre de 2008, en virtud del cual, ENDESA podía utilizar los registros proporcionados durante el tiempo de duración de cada campaña comercial y se comprometen a remitir a ENDESA con periodicidad quincenal los datos de aquellas personas que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 hubiesen ejercitado su derecho de oposición. En el citado contrato se especifican, entre otros, los siguientes aspectos: SCHOBER realizará una extracción de datos del fichero de PDM denominado “FICHERO DE TELEFONOS PDM”, obtenido de fuentes accesibles al público, en base a los criterios que ENDESA designe y se lo facilitará a la misma. Por lo que ENDESA es la responsable del fichero y del resultado de la campaña de publicidad desarrollada con el fichero suministrado por SCHOBER. ENDESA se compromete, si recibiera una petición por parte de un interesado en relación con el ejercicio de sus derechos de acceso, rectificación, cancelación u oposición a trasladar dicha petición a PDM. Se acompaña dicho contrato como documento n° 1. - Los servicios de marketing telefónico de la campaña objeto de la denuncia fueron encargados a las compañías Digitex Informática, S.L. (en adelante DIGITEX) y Telemark Spain, S.L. (en adelante TELEMARK) con las que ENDESA tiene suscritos sendos contratos, en los que se especifica que ENDESA facilitará la información y documentación necesaria para el desarrollo de las actividades. Se adjunta copia de ambos contratos en los que se detalla los aspectos contemplados en el artículo 9 de la Ley Orgánica 15/1999. Por otro lado, en el Manual Gestión Operativa Venta Telefónica Proactiva de ENDESA se indica que “las Agencias deben verificar si existen registros repetidos y cruzar con los ficheros quincenales Robinson (página PDM/Shober) …”. Se acompaña página 15 del citado manual en el que constan dichos extremos. Si bien, ENDESA no ha acreditado documentalmente que dicho Manual forme parte de la documentación contractual suscrita por las empresas DIGITEX y TELEMARK. - Los datos de la denunciante fueron facilitados por SCHOBER a ENDESA el 20 de febrero de 2012 para la campaña *********** cuya fecha inicialmente prevista era el 1 de marzo de 2012 pero que se produjo con posterioridad en abril de 2012. Así mismo ENDESA comunicó a DIGITEX y TELEMARK el registro de la denunciante y que no constaba como Robinson Tanto DIGITEX como TELEMARK han confirmado que procedieron a contactar con la denunciante el 19 de julio de 2012, toda vez que no tenían constancia de que estuviese incluida en la Lista Robinson. Así mismo, dichas entidades han confirmado que con posterioridad a dicha fecha no se ha vuelto a contactar con la interesada. - C/ Jorge Juan, 6 28001 – Madrid Por otra parte, ENDESA comunica a la AEPD que la información y documentación incluye información protegida por el secreto comercial (información sobre estrategia, contratos con proveedores, procesos de venta, etc.) por lo que solicitan la máxima confidencialidad sobre el contenido de los mismos así como que no se permita el acceso respecto a dichos documentos, todo ello al amparo de lo establecido en el artículo 37.5d) de la Ley 30/1992, de 26 de noviembre , de régimen Jurídico de www.agpd.es sedeagpd.gob.es 4/13 las Administraciones Públicas y del Procedimiento Administrativo Común. 7 Las compañías DIGITEX y TELEMARK no han dado respuesta a los requerimientos de la Inspección de Datos que fueron entregados el día 17 y 20 de mayo de 2013 respectivamente. TERCERO: Con fecha 27 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ENDESA ENERGIA, S.A con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ENDESA ENERGIA, S.A alegaciones, significando, que: formuló -Los datos de la denunciante están incluidos en diversas guías, por tanto se encontraban en fuentes accesibles al público siendo aplicable la excepción del art. 6.2 LOPD. -Existencia de contrato con PDM y SCHOBER en virtud del cual éstas extraían datos de fuentes accesibles al público. PDM asumía obligaciones respecto de la legalidad de la obtención de los datos. En el anexo referente a la campaña *********** PDM se obligaba a actualizar quincenalmente los ficheros debiendo eliminarse determinados registros de acuerdo con el art. 49 RDLOPD. -Se formalizo con PDM un procedimiento de gestión de Robinsones, y no consta que se notificase por parte de ésta la procedencia de eliminar los datos concernientes a la denunciante. Endesa obtuvo los datos de la denunciante por que los mismos fueron remitidos por PDM sin que se notificara el alta de la denunciante en el citado fichero de exclusión. -Endesa traslada a los proveedores de televenta la obligación de cruzar los registros con los ficheros de actualización que elaboraba PDM, a este respecto se aportó “Manual Gestión Operativa Venta Proactiva”. -Los proveedores Digitex y Telemark son encargados de tratamiento, y deben cumplir las instrucciones del responsable del tratamiento en las que se encuentra cruzar los registros con los ficheros robinsones que periódicamente enviaba PDM/SCHOBER. -Solicitud de archivo del procedimiento porque Endesa no conocía la situación de la denunciante, pues no le fue comunicada. QUINTO: Con fecha 21/08/2013 se inició el período de práctica de pruebas, en el que se acordó: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ENDESA ENERGIA, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05304/2012 y las alegaciones al acuerdo de inicio PS/00369/2013 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 - presentadas por ENDESA ENERGIA, S.A., y la documentación que a ellas acompaña. Solicitar a AIDIGITAL información sobre el acceso de SCHOBER y PDM al Servicio de Lista Robinson. Solicitar a SCHOBER información relativa a la ejecución del contrato con ENDESA y la concreción de las instrucciones relativas al mismo. SEXTO: En fecha de 10/10/2013 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a ENDESA ENERGIA, S.A. con multa de 5.000 € (cinco mil euros) por la infracción de los artículos 6 de la LOPD en relación con los artículos 46 y 49 del RDLOPD, tipificada como grave en el artículo 44.3
  2. b)de dicha norma. SEPTIMO: En fecha de 08/11/2013 ENDESA ENERGIA, S.A., presento escrito en el que formulaba alegaciones reiterándose en lo manifestado anteriormente y respecto de la prueba practicada de oficio señala que se deduce claramente que exigían a PDM a garantizar la legalidad de los datos objeto de tratamiento, y que tenia implementado un procedimiento de gestión de robinsones donde se recogía la obligación de cruzar los registros con los ficheros quincenales de actualización que elaboraba SCHOBER. Los datos provenían de fuentes accesibles al público y los proporciono PDM/SCHOBER a ENDESA. No hubo notificación a ENDESA ni a TELEMARK, ni a DIGITEx que la denunciante hubiese ejercitado su derecho de oposición. Asimismo respecto de la comunicación de 24/03/2012 señala que las direcciones de Endesa no constan en la misma, sino que es una comunicación interna. Tampoco constan las agencias de televenta. Por tanto no ha quedado probado que se notificara tal circunstancia. No hay incumplimiento de la LOPD ni RDLOPD. Asimismo respecto de la circunstancia de que no se exigía contractualmente la consulta del fichero Robinson de AIDIGITAL, señalan que desde 2009 es obligatorio y que por tanto no es relevante dicha circunstancia. Conforme la prueba practicada resulta evidente que Endesa ha actuado conforme lo dispuesto en el art. 46 y 49 RDLOPD. Niega la posibilidad de haber alterado cualquier documento o su fabricación ex profeso. Y la razón de no aportación del manual en fase de inspección es por que no se le solicito. Asimismo resulta irrelevante que no se firmen los procesos pues no es común en la operativa del sector. No siendo de aplicación la Resolución citada pues en ese caso se exigía la firma de las instrucciones. La razón por la que no existen instrucciones distintas de las contractualmente previstas es por la operativa del sector que esta en continuo cambio. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 UNO.- En fecha de 26/09/2008, ENDESA y PDM DIGITAL y SCHOBER PDM, firmaron un contrato de prestación de servicios en virtud del cual SCHOBER de acuerdo con las instrucciones de ENDESA, extrae datos de un fichero previamente elaborado por PDM. (Folio 109) DOS.- De acuerdo con el citado contrato, los registros generados por PDM tendrían una validez de 3 meses, y PDM cada 15 días remitiría a ENDESA un fichero actualizado con las personas que hubieran ejercido la oposición.(Folio 109) TRES.- ENDESA se comprometía a utilizar los datos entregados por SCHOBER durante el tiempo de vigencia de la campaña. (Folio 110). Los datos personales de la denunciante fueron proporcionados en ejecución de la Campaña *********** cuya entrega del fichero se produjo el 28/02/2012 y cuya fecha prevista para el inicio de la campaña era 01/03/2012. (Folio 113) CUATRO.- En fecha de 24/03/2012 SCHOBER comunica a ENDESA la exclusión de los datos de la denunciante en el fichero a utilizar por los distribuidores de ésta TELEMARK y DIGITEX. (Folios 256 a 260) CINCO.- En fecha de 19/07/2012 la denunciante recibe llamadas de las entidades DIGITEX y TELEMARK que actúan por cuenta de ENDESA en ejecución de campaña publicitaria. SEIS.- La denunciante consta inscrita en el Servicio de Lista Robinson desde el 22/02/2012. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD II Dispone el artículo 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 III El propio artículo 3 en su apartado
  4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento. Art 43 LOPD, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. Conforme al artículo 3.
  6. g)de la LOPD, el encargado del tratamiento es (…) la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento (…) Conforme al artículo 46.2
  7. a)del RDLOPD: 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  8. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos. En el presente caso ENDESA es responsable del tratamiento, pues sin perjuicio de las definiciones del propio art. 3 de la LOPD, el tratamiento acontecido se enmarca en actividades de prospección comercial, cuya beneficiara es ENDESA que a su vez fija el segmento de destinatarios y los parámetros sobre quienes recae la campaña. Por tanto, de acuerdo con el art. 43 de la LOPD, ostenta una posición jurídica susceptible de generar responsabilidad por incumplimiento de la citada norma. IV ENDESA alega en su descargo que SCHOBER no excluyo el registro de los datos de la denunciante en el fichero que debía haber depurado previamente y que por tanto no tiene culpabilidad en el tratamiento de datos realizado, basándose en las obligaciones recogidas en el contrato y en los anexos que ha aportado. Sin embargo es preciso analizar varios elementos: En primer lugar, no consta en el contrato obligación alguna respecto de la exclusión de los registros en el servicio de Lista Robinson de AIDIGITAL (FECEMD). Tan solo consta que “cada 15 días PDM remitirá por correo electrónico a Endesa, los datos de las personas que han ejercido el derecho de oposición. Siendo responsable Endesa, de eliminar del fichero de su titularidad, los registros remitidos por PDM”. Manifiesta ENDESA en sus alegaciones a la Propuesta de Resolución que no era necesaria tal previsión en el contrato, pues de acuerdo con una Resolución de la Agencia que señala la entrada de la vigencia de la obligación de consulta en Lista C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Robinson de FECEMD, deberían haber realizado tal consulta. Llegados a este punto es preciso aclarar a la representación de ENDESA, que el análisis que se realiza en la Propuesta de Resolución a ese respecto tiene razón de ser en las alegaciones iniciales de ésta, cuando pretende excluir su responsabilidad en detrimento de sus encargados de tratamiento basándose en un incumplimiento de sus mandatos. Es por eso por lo que se hace dicho análisis en la citada Propuesta. Asimismo es preciso destacar que ENDESA aporta junto con su escrito de alegaciones una documento denominado “Procedimiento gestión Robinsones” obrante en los folios 239 a 241, respecto del cual guardo silencio en los requerimientos y manifestaciones que realizo durante tramite de las Actuaciones Previas de Inspección E/5304/2012, circunstancia que, junto la ausencia de firma por parte de SCHOBER de la que se deduciría su sometimiento, las propias manifestaciones de SCHOBER a requerimiento de este órgano instructor, obrantes en el folio 255 y 256 que señalan la ausencia de instrucciones distintas a las que ya obran en el contrato y por tanto cualquier otro documento donde se recojan otras obligaciones, hacen cuestionar la autenticidad e integridad de dicho documento. Señalando ENDESA en sus alegaciones formuladas a la Propuesta de Resolución que no aportó dicho documento por qué entendió que no se le requirió, argumento que debe rechazarse por simplista, ya que se le solicitó la (…) descripción detallada del procedimiento y normas realizadas por Endesa (…) y en cambio tal documentación es aportada al procedimiento sancionador sin petición expresa, motu proprio, cuando sin arduos ejercicios intelectuales se deduce claramente que si el documento se denomina “Procedimiento gestión Robinsones” puede satisfacer la petición que se realiza desde los Servicios de Inspección de la Agencia, con la simple compresión de su literalidad. Por tanto, el análisis ha de centrarse en el documento que sustenta la orden de ejecución de la campaña *********** obrante en el folio 113 y que es el único documento, al margen del contrato, que ambas partes reconocen. En segundo lugar, admitiendo a efectos puramente dialecticos la validez y obligatoriedad para las partes de dicho “Procedimiento gestión Robinsones”, de lo que no hay duda es que el contrato es claro cuando establece como plazo máximo para la utilización de los registros facilitados por PDM el plazo de 3 meses, y teniendo en cuenta que en la orden de campaña obrante en el folio113 donde se recoge que la fecha prevista para la campaña es 01/03/2012 y las llamadas se realizan en fecha de 19/07/2012, ENDESA no justifica la razón por la que agotado dicho plazo continúan tratándose por su cuenta los datos de la denunciante, circunstancia respecto de la que guarda silencio en las alegaciones formuladas a la Propuesta de Resolución. Es de destacar que SCHOBER aporta documentación de la que se deduce que en fecha de 24/03/2012 se ha comunicado a ENDESA la necesidad de que se excluya la denunciante de sus comunicaciones (Folios 258 a 259). Respecto de esta documentación ENDESA manifiesta que en palabras de aquella, “es una simulación”, sin embargo, debe recordarse que aun admitiendo tal cualidad de la comunicación analizada, no legitima a ENDESA para que continúe tratando los datos de la denunciante pasado el plazo de 3 meses desde que se inicio la campaña. Es decir, existen dos estadios o imputaciones en la conducta de ENDESA, independientes entre sí, de un lado, la discutida comunicación de los encargados a ENDESA respecto de la constancia en Lista Robinson de AIDIGITAL de los datos de la denunciante, y otro, que es independiente y que per se vulnera el contrato, que sucede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 cuando se acredita un tratamiento de los datos de la denunciante, mas allá del plazo que consta en el contrato, y en la orden de campaña. Y es este punto donde ENDESA vulnera el art. 6 de la LOPD, pues debe conocer que por mucho que las entidades con las que contrate la elaboración y depuración del fichero (SCHOBER y PDM) estén asociadas al Servicio de Lista Robinson de AIDIGITAL (FECEMD), la validez de los registros allí contenidos y por tanto el periodo de actualización es de 3 meses. Por lo que pasado dicho plazo, el tratamiento de un fichero con fines de prospección comercial no puede tener como parámetro la consulta o cruce con aquel. V De acuerdo con el art. 46 del RDLOPD, ENDESA es responsable del tratamiento de los datos de la denunciante. Llegados a este punto es preciso analizar la responsabilidad de sus encargado de tratamiento. Conforme al artículo 12.4 de la LOPD: 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. En el caso analizado, no consta que SCHOBER ni PDM hayan incumplido algún mandato del responsable del tratamiento, es decir, de ENDESA, ya que el sometimiento a los mandatos del documento “Procedimiento de Gestión de Robinsones” por parte de SCHOBER, es más que cuestionable por las razones antes apuntadas. La ausencia de elementos de los que se derive dicho sometimiento, no es cuestión baladí, y ya ha sido analizado por esta Agencia. En concreto, procede traer a colación la Resolución nº R/1383/2009. Resolución que ENDESA no entiende de aplicación al caso concreto pues no se exige contractualmente la firma del procedimiento concreto. Sin embargo es preciso aclarar a la representación de ENDESA que la razón por la que se cita la misma, obedece a que en sus alegación formuladas al acuerdo de inicio pretende derivar responsabilidades en sus encargados de tratamiento, y para analizar tal cuestión es preciso analizar pormenorizadamente los supuestos facticos y formales de los que se puede deducir, la exclusión de responsabilidad de uno, a favor de la asunción de responsabilidad de otro. No obstante lo anterior debe señalarse que el art. 12.4 LOPD donde el término “también” deja claro que no se establece un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, no puede atribuírsele incumplimiento a SCHOBER y menos aun exonerar de toda responsabilidad a ENDESA. Pues el responsable del fichero no pierde su condición de tal, ni que da exonerado de responsabilidad por el hecho de que su encargado del tratamiento, pueda haber incumplido estipulado, circunstancia no probada en el caso analizado. VI Así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. Asimismo, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (el subrayado es de la Agencia Española de Protección de Datos). En el caso analizado, ENDESA no acredita ni justifica el acaecimiento de circunstancia alguna que pudiera legitimar el tratamiento de datos personales de la denunciante, con posterioridad a la comunicación realizada por SCHOBER o con posterioridad al vencimiento del plazo de 3 meses durante el cual podían tratarse por su cuenta los datos de aquella. Todo ello supone el incumplimiento de lo dispuesto en el art 6 de la LOPD. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. En el presente supuesto, el control y disposición de sus datos personales por parte de la denunciante, pierde virtualidad y eficacia, pues a pesar de inscribirse en un fichero de exclusión de comunicaciones publicitarias como es el Servicio de Lista Robinson de AIDIGITAL, sus datos personales continúan tratándose en contra de su expresa voluntad de exclusión, con incumplimiento del art. 49.4 del RDLOPD: Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento. VII Dispone el artículo 44.3.
  9. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VIII El artículo 45 de la LOPD, apartados 2,4 Y 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso se han acreditado circunstancias que permiten la aplicación del citado precepto, concretamente previstas en el apartado i): ENDESA firma un contrato relativo al tratamiento de datos con entidades profesionales del sector adscritas al Servicio de Lista Robinson de AIDIGITAL (Folio 254) que con independencia de los hechos acaecidos muestra una diligencia, al menos de carácter formal, en el encargo de tratamiento de los destinatarios de sus campañas publicitarias. Asimismo no constan beneficios obtenidos ni perjuicios graves causados al denunciante. Por todo ello, procede imponer, la infracción cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. Ahora bien debe tenerse en cuenta que ENDESA no sólo se aparta de las indicaciones contractuales y utiliza el fichero excediéndose del periodo pactado, sino que de su actividad en continuo tratamiento de datos personales debería ser conocedora de que los registros de las Lista Robinson tienen una validez de tres meses, y dejar de prestar atención a ese mandato conlleva que los datos personales de una persona inscrita en dicho servicio de exclusión puedan ser tratados para fines de prospección comercial. Por lo que se aprecia una falta de diligencia que ha de ser valorada a la hora de la imposición de la sanción. ENDESA no ha explicado la razón por la cual continúa tratando datos más allá de los 3 meses desde su puesta a disposición, lo que reduce a mero formalismo la existencia de los ficheros comunes de exclusión para envíos publicitarios y cualquier previsión a este respecto reflejada tanto en el contrato como en la orden de campaña. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, se propone una sanciona en la cuantía de quince mil euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGIA, S.A., TELEMARK SPAIN, S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  25. d)de dicha norma, una multa de 15.000 € (quince mil euros) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: A.A.A.. NOTIFICAR la presente resolución a ENDESA ENERGIA, S.A., y a TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.