← España

PS-00369-2014

1/22 Procedimiento Nº PS/00369/2014 RESOLUCIÓN: R/02868/2014 En el procedimiento sancionador PS/00369/2014, instruido por la Agencia Española de Protección de Datos a las entidades EUROLOTO 24, S.L. y GUIAS AMARILLAS, S.L.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21/06/2013, tuvo entrada en esta Agencia un escrito de D. A.A.A. en el que declara lo siguiente: <<Que he realizado múltiples llamadas al servicio 1004 de la Compañía Movistar expresando mi oposición a que se utilicen mis datos con fines publicitarios y en cualquier caso que se cedan a terceros por el mismo motivo y que de haberlos cedido procedan a su borrado... Que mis datos no figuran por oposición mía en ningún medio accesible, sea éste la guía telefónica impresa o digital desde internet o de correo electrónico alguno, habiendo prohibido así mismo que mi teléfono pueda ser identificado en el registro de llamadas entrantes telefónico. Que me encuentro inscrito en las Listas Robinson con parámetros muy restringidos, en cuanto al uso publicitario de mis datos de carácter personal se refiere, y entre cuyos datos en los que no deseo recibir publicidad figura el número de teléfono D.D.D.. No obstante todo lo anterior, estoy recibiendo llamadas reiterativas de números de teléfono sobradamente conocidos por su falta de respeto a las personas en su afán por vender cualquier cosa y entre los que se encuentran el ***TEL.2, el ***TEL.3 y ***TEL.1, tal y como figuran también en el registro de llamadas de mi teléfono y como es indudable que figuran en los registros de la Compañía Movistar. Por lo expuesto, PLANTEO DENUNCIA contra los titulares de dichos teléfonos así como contra la propia Compañía Movistar por ceder mis datos a terceras personas sin mi consentimiento...>>. Con la citada denuncia y con un nuevo escrito presentado en fecha 08/10/2013, el denunciante aportó la siguiente documentación: . Correo electrónico de fecha 03/04/2012 por el que se informa al denunciante haber sido incluido en el fichero Robinson. . Factura telefónica emitida en fecha 01/06/2013 en la que figura que el denunciante tiene contratado el servicio de identificación de llamada. . Relación de llamadas telefónicas recibidas en 2013: . De la línea ***TEL.3: 21 de junio a las 11:49, 25 de junio a las 16:16, 28 de junio a las 9:56, 5 de julio a las 11:51, 8 de julio a las 10:02, 9 de julio a las 11:34 . De la línea ***TEL.4: 27 de mayo a las 14:21, 30 de mayo a las 15:15, 10 de junio a las 13:38, 27 de junio a las 12:58, 8 de julio a las 13:48, 10 de julio a las 14:45, 12 de julio a las 12:40 . De la línea 871*****1: 1 de julio a las 12:43, 4 de julio a las 12:00, 17 de julio a las 10:10, 19 de julio a las 12:21 . De la línea 871*****2: 18 de julio a las 11:17 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes comprobaciones: 1. Solicitada información a Telefónica de España, S.A.U. en relación con las seis llamadas cursadas desde la línea ***TEL.3 con destino a la línea D.D.D. en las fechas informadas por el denunciante, la entidad confirma la realización de dichas llamadas. Asimismo, informa que el titular de la citada línea es Alhabla, S.L. 2. Solicitada información a Jazz Telecom, S.A.U. en relación con las llamadas cursadas desde la línea ***TEL.1 con destino a la línea D.D.D., en las fechas indicadas, la entidad confirma haber cursado un total de siete llamadas entre el 27/05/2013 y el 12/07/2013. Informa igualmente que el titular de la línea ***TEL.1 es Análisis Survey Unit, S.L. 3. Solicitada información a Cableuropa, S.A.U. en relación con las llamadas cursadas desde los números 871*****1 y 871*****2 con destino a la línea D.D.D. en las fechas informadas por el denunciante, la entidad informa haber cursado un total de diez llamadas entre el día 1 y el 19/07/2013. Informa igualmente que el titular de las líneas de origen de las llamadas es EUROLOTO 24, S.L. (en lo sucesivo EUROLOTO 24). 4. De la información y documentación proporcionada por EUROLOTO 24 se desprende: . En relación a la solicitud de copia impresa de los datos del afectado y del número de teléfono D.D.D., aporta la entidad copia impresa de la información que consta en la base de datos, que manifiesta haber adquirido en abril de 2011 a la entidad Publiactivos Comunicación y Marketing, S.L., aportando copia de la factura emitida por dicha compra, fechada el 05/04/2011, así como correos electrónicos de fechas 6, 7 y 08/04/2011 mediante los cuales se proporcionaban enlaces a través de los cuales descargar los ficheros conteniendo los datos adquiridos. En dicha factura figura como concepto facturado la indicación “Guía particulares y empresas a nivel nacional”. Consta en la impresión aportada que el número de teléfono D.D.D. está asociado al denunciante, del que constan su nombre, apellidos, calle, número (no aparece el piso ni la puerta), código postal, población y el número de teléfono citado. Se comprueba que la dirección que figura en esta base de datos coincide con la señalada en la denuncia. . EUROLOTO 24 viene desarrollando su actividad consistente en prestar sus servicios, de formación y captación de grupos o peñas para invertir en juegos de azar, mediante telemarketing, es decir, utilizando como instrumento el teléfono para contactar con posibles clientes y ofrecerles sus servicios, siendo este el motivo y la finalidad de las llamadas realizadas al teléfono D.D.D.. . Manifiesta que no utilizó la Lista Robinson de ADIGITAL porque no se considera obligada legalmente. Añade que, con la finalidad de evitar problemas, desde el mes de octubre de 2013 se consulta la Lista Robinson antes de realizar una llamada. Con ello, el departamento de informática de la entidad EUROLOTO 24 se encarga de contrastar que los números de teléfono a los que se llama para ofertar su servicio no están incluidos en la Lista Robinson. . Aporta la entidad factura de fecha 30/09/2013, correspondiente a la suscripción anual al servicio de consulta de la Lista Robinson. 5. De la información y documentación facilitada por Alhabla, S.L. se desprende: . Aporta copia impresa de los datos que, según la entidad, figuran en sus ficheros relativos a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 línea D.D.D., de la que consta una tercera persona distinta del denunciante, como titular de una librería en calle C.C.C., de Madrid. . Manifiesta la entidad que el motivo de realización de la llamada es ofrecer los productos de la sociedad Taboha Plasti del Mediterráneo, S.L. Como medio de comercialización, la entidad realiza llamadas a empresas que puedan estar interesadas. Para buscar estas empresas, en ocasiones, se recurre a la página www.guiasamarillas.es. . Aporta la entidad una captura de pantalla de la web www.guiasamarillas.es, en la que consta un tercero como titular de dicha línea, y en la que consta que se trata de una librería, por lo que entiende la entidad que quedaría fuera del ámbito de aplicación de la LOPD, según los artículos 2.2 y 2.3 el RDLOPD. . Manifiesta la entidad que en ningún momento se contestó a las llamadas realizadas ni se solicitó la baja o actualización de la base de datos. Aporta copia del registro de llamadas, según el cual todas las realizadas tuvieron duración cero. . Manifiesta la entidad que no ha consultado la Lista Robinson de ADIGITAL al ser llamadas realizadas a empresas y no a personas físicas. 6. Con fecha 30/05/2014, los Servicios de Inspección de la AEPD comunicaron a la entidad GUIAS AMARILLAS, S.L.U. (en lo sucesivo GUIAS AMARILLAS) que en su web www.guiasamarillas.es figuraban la siguiente información: D. B.B.B., calle C.C.C., Madrid, tel. D.D.D.; y se requirió a dicha entidad para que informase la fecha y las circunstancias que posibilitaron la incorporación de tales datos a sus sistemas de información. En respuesta a este requerimiento, GUIAS AMARILLAS informó lo siguiente: . Manifiesta la entidad que los datos en los que aparece la información asociada a la línea número D.D.D. fueron adquiridos con el CD Infobel 2003, que es una guía telefónica de profesionales. . Aporta impresión de pantalla en la que consta la línea del denunciante D.D.D., a nombre de D. B.B.B. (en lo sucesivo el tercero) como titular de una librería en la calle C.C.C., de Madrid. . Asimismo, aporta la información relativa al “Repertorio Telefónico” adquirido a Infobel en soporte CD-ROM, en la que se indica que contiene “15.000.000 de direcciones y números de teléfono de personas y empresas en España” 7. Consultada la guía telefónica Infobel (www.infobel.com) con diversos parámetros de consulta, no se encontraron los datos del tercero titular de la línea D.D.D. en la calle C.C.C. de Madrid. Intentada la consulta a Infobel indirectamente a través de Google, tampoco ha sido posible encontrar dicha información. Esta búsqueda obtuvo un resultado con la información relativa a D. B.B.B. como titular de una librería en la calle C.C.C., de Madrid, en el sitio web búsquedalocal.es. 8. De la información y documentación aportada por Análisis Survey Unit, S.L. se desprende: . La entidad es una empresa fundada en 2002, que presta servicios de estudios de mercado, marketing y opinión, siendo la empresa especializada en trabajos de campo y proceso de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 del principal instituto de investigación de mercados independiente de España. Entre los servicios prestados se encuentra la elaboración de estudios cualitativos y cuantitativos (entre ellos las entrevistas telefónicas) informes y estadísticas sectoriales, ‘desk research” bien por iniciativa propia o bien por encargo de terceros, así como servicios de consultoría y centro de cálculo. . En el caso concreto de las presentes actuaciones, informa la entidad que la actividad realizada es un proyecto denominado ‘Tracking publicidad choosers 2013”, el cual tenía como objetivo identificar y medir el impacto en empresas y autónomos de la oferta de servicios de telecomunicaciones disponible en el mercado. Para la realización del estudio, de ámbito nacional, se tomó una muestra representativa de empresas y empresarios individuales, garantizando el anonimato de las respuestas de los entrevistados, las cuales se utilizaban exclusivamente para la confección de tablas estadísticas. Desea destacar la entidad que para la realización de tal actividad no se utilizaron bases de datos de personas físicas, sino de personas jurídicas y de empresarios individuales, estando estos excluidos del régimen de aplicación de la LOPD, según los artículos 2.2 y 2.3 del RLOPD. . Atendiendo a lo expuesto anteriormente, informa la entidad que no figuran datos de carácter personal como persona física, sino los relativos a su condición de empresario individual. Esta parte desconoce si dicho teléfono es utilizado por el denunciante también a nivel particular. Aporta la entidad copia de los datos asociados a la línea telefónica del denunciante, figurando a nombre del tercero con la dirección en calle C.C.C. - Madrid, con código de CNAE (Clasificación Nacional de Actividades Económicas) número 51471 y actividad “Comercio al por mayor de artículos de papelería, libros y similares”. Aporta igualmente copia del registro de llamadas a la línea telefónica del denunciante, manifestando la entidad que, según la codificación dada, las llamadas no fueron respondidas. Informa la entidad que, según el protocolo de actuación establecido, el operador tiene una clara instrucción de, antes de comenzar, explicar en qué consiste el estudio que se está realizando y pedir autorización a la persona que responda antes de continuar con la entrevista, pero en este caso concreto, al no recibir respuesta en ninguna de las llamadas, ni siquiera se pudo comunicar por el denunciante la negativa al tratamiento de sus datos. . Análisis Survey Unit, S.L. no ha utilizado para este caso concreto la Lista Robinson de la asociación ADIGITAL se debe, básicamente, a que dicha lista se enmarca en la exclusión de envíos publicitarias o comerciales con el objetivo de disminuir la publicidad que los consumidores reciben. En este caso, no se trata tampoco de prospección comercial, entendida esta como la actividad de buscar ordenada y sistemáticamente los compradores potenciales, con el objetivo de ubicaras, contactarías y convertirlas en clientes reales ya que la información obtenida de las encuestas se edite, comunica y publica omitiendo cualquier dato de carácter personal o identificativo de empresas o empresarios individuales. Los resultados publicados son estadísticas numéricas globales. A esto se añade el hecho de que el teléfono objeto de la llamada pertenece a un empresario individual, quienes no tienen la consideración de consumidores y, por tanto, no encajan entre los sujetos de protección de las Listas Robinson. Por todo ello considera la entidad que, en este caso, no aplica la obligatoriedad de consultar las listas de autoexclusión de publicidad. Manifiesta la entidad que desconoce si el mismo número de teléfono es utilizado con fines personales, el cual sí que tendría cabida en este tipo de listas y, probablemente, es lo que le ha llevado a confusión plantear la denuncia origen de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 . Informa la entidad que el origen de los datos utilizados para la del proyecto “Tracking publicidad choosers 2013” fue una base de datos adquirida a Iris Data, S.L., aportando copia del presupuesto y de la factura, de fecha 20/01/2011. Iris Data, S.L. ofrece productos y servicios relacionados con información obtenida de fuentes accesibles al público, en especial: listines telefónicos, guías de empresas, listas de Colegios Profesionales y otros medios de comunicación (Registro Mercantil; Diarios oficiales, BORME); junto con otras informaciones tanto propias como provenientes de bases de datos públicas de proveedores. Aporta copia de la presentación publicitaria que hace Iris Data, S.L. de sus productos. TERCERO: Con fecha 18/06/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad EUROLOTO 24, por la presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada cada una de ellas con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica; y a la entidad GUIAS AMARILLAS, por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de la misma Ley Orgánica, pudiendo ser sancionada cada una de ellas con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. CUARTO: Notificado el acuerdo de inicio, la entidad EUROLOTO 24 presentó escrito de alegaciones en el que solicita el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe mínimo previsto para las infracciones leves, conforme a las siguientes consideraciones: . En el presente caso no existe un tratamiento de datos de carácter personal en el sentido 2 y 3 de la LOPD y la entidad EUROLOTO 24 no puede ser considerada responsable del fichero de datos en el sentido que se atribuye en el art 3.1 de la citada norma. . No se vulnera ninguno de los derechos ARCO del denunciante; la entidad adquirió una base de datos de número telefónicos de la empresa Publiactivos Comunicación y Marketing S.L.; y es una práctica habitual contrastar los números de la base de datos con la Lista Robinson, a la que está adherida. No tiene información del titular del teléfono sin su consentimiento, y de manera específica los datos del presente titular afectado son de un profesional autónomo, cuyos datos están publicados en Internet. Se trata de un supuesto amparado por el art 2.1 de la LOPD. Además, el dato del teléfono fue adquirido de una entidad que garantizaba que se trataba teléfonos provenientes de fuentes accesibles al público. . El artículo 44.3 .
  3. c)de la LOPD describe una conducta que precisa, para configurar el tipo, que haya vulnerado los principios que establece dicha norma. Este caso tiene cabida legal en el art. 30.4 LOPD cuando permite al titular de los datos “revocar u oponerse” a un determinado tratamiento, lo que evidencia, de nuevo, el poder de disposición y control sobre los mismos. No ha quedado acreditado que los datos del denunciante fueran tratados en sus ficheros sin su consentimiento. . En el presente caso se dan las circunstancias requeridas para la aplicación de lo dispuesto en el artículo 45.5 de la LOPD debido, por un lado, a que obran en el expediente elementos que llevan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 a apreciar la concurrencia de las circunstancias previstas en el apartado
  4. b)del referido artículo y, por otro, en lo que refiere al apartado
  5. a)del citado artículo: en concreto el apartado
  6. i)del art. 45.4 LOPD y cualquier otro que sea aplicable. QUINTO: GUIAS AMARILLAS, por su parte, presentó escrito en el que manifiesta lo siguiente: Únicamente ha tratado los datos de un profesional recabados para la publicación de un anuncio en el año 2003, en el que figuraba su número de teléfono fijo ( E.E.E.), y no los datos del denunciante, sobre el que no tuvo conocimiento hasta la apertura del expediente, por lo que también desconocía el cambio de titularidad del teléfono realizado en fecha muy posterior al tratamiento de ese datos por GUIAS AMARILLAS. En los ficheros de la entidad no consta ningún otro dato relativo al denunciante, de modo que el número de teléfono ha de considerarse un dato disociado que no permite conocer la identidad de su titular, a no ser que figure en directorios telefónicos o sea facilitada por el propio titular. La queja del denunciante se refiere a la realización de llamadas a su teléfono, cosa que no ha realizado GUIAS AMARILLAS. No cabe imputar infracción por un error en el cambio de titularidad del teléfono, jamás comunicado a GUIAS AMARILLAS. Cualquier infracción debe ser cometida conscientemente por el infractor, lo que no ocurre en este caso, o al menos por una imprudencia grave, que tampoco se produce, por cuanto no existe obligación alguna de comprobar los datos de un profesional o autónomo que no están sujetos a la LOPD. Adjunta CD que contiene la base de datos de Infobel de aquel año. Además, en su portal web www.guiasamarillas.es tiene establecido un mecanismo fácil, gratuito y eficaz para la modificación de datos erróneos y para que se puedan comunicar con la dirección al objeto de modificar o suprimir cualquier dato. No existe culpabilidad en la conducta de GUIAS AMARILLAS, que adquirió el listado de profesionales contenido en el CD Infobel 2003, entre los mismos encontraba D. B.B.B., que regentaba una librería ubicada en Madrid, siendo su teléfono de contacto profesional el número D.D.D.. Los datos fueron adquiridos de fuentes accesibles al público, y por lo tanto no era necesario el consentimiento del interesado, y además, se referían a datos de profesionales y/o autónomos, por lo que se encontraban fuera del ámbito de aplicación de la LOPD. Considerando este origen, resultó imposible conocer la sobrevenida inexactitud del dato en cuestión, en cuanto a la pertenencia del número telefónico, lo cual debería exculpar a GUIAS AMARILLAS. Además, ha procedido a la eliminación de todos los datos. En cuanto al principio de calidad de datos, señala que, si bien es cierto que los datos deberán mantenerse constantemente actualizados, no es menos cierto que ello no supone que el responsable tenga que investigar activamente para proceder a la actualización, sino solamente proceder a su actualización cuando tenga la posibilidad de conocer que un dato se encuentra desactualizado o que es inexacto. El segundo medio de actualización de los datos es el que realiza el propio afectado mediante el ejercicio del derecho de rectificación, recogido en el art.16 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 GUIAS AMARILLAS no ha tenido la posibilidad de actualizar los datos, ni el afectado se ha dirigido a la compañía mercantil a objeto de rectificar o eliminar los datos. Por otra parte, advierte que tiene como objeto social la concepción, realización y explotación de publicaciones escritas o electrónicas, a través de internet, medios electrónicos o de cualquier tipo, concretamente a través de un portal que ofrece directorios y búsquedas de empresas, profesionales y autónomos, de modo que su actividad podría encuadrarse en el artículo 30 de la LOPD denominado "tratamientos con fines de publicidad y de prospección comercial". Además destaca el concepto de "fuentes accesibles al público" señalando que recogen los únicos datos personales que pueden ser tratados sin el consentimiento previo de los afectados. En este caso, GUIAS AMARILLAS utiliza en su labor comercial listas de profesionales, autónomos y empresas. En el caso de obtener datos de carácter personal de cualquier otra fuente de información no indicada en el articulado legal, el responsable del fichero deberá obtener siempre el consentimiento previo del afectado. A mayor abundamiento, y como quiera que solo trata datos de empresas, profesionales y autónomos; ha de considerarse lo establecido en los artículos con los artículos 2.2 y 2.3 del Reglamento, según los cuales dicha norma no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. GUIAS AMARILLAS ha tratado los datos correspondientes al titular de un negocio y obtenido los datos adecuados a los fines de publicidad obtenidos de una fuente de acceso público como fue la base de datos de INFOBEL aportada. De lo expuesto se desprende la imposibilidad de haber conocido el cambio de la titularidad de la línea telefónica, pues los datos fueron adquiridos a Infobel en el año 2003, es decir, de una fuente accesible de listas de profesionales, y por lo tanto, no era necesario el consentimiento del interesado en su obtención. A mayor abundamiento, dichos datos de profesionales se encuentran fuera del ámbito de aplicación de la LOPD. Tampoco consta en el expediente comunicación alguna de GUIAS AMARILLAS al teléfono cuyo número es D.D.D., por lo que, jamás nadie se ha puesto en contacto con la mercantil objeto de rectificar o cancelar sus datos. De hecho, GUIAS AMARILLAS es imputada por el hecho de ser titular de la página web www.guiasamarillas.es, utilizada por Alhabla, S.L, y no por haber contactado con la línea D.D.D., ni tampoco ocasionar molestia o perjuicio alguno. En cuanto, a la imposibilidad de realizar las oportunas rectificaciones, cita la sentencia de la Sección Octava de la Sala de lo Contencioso Administrativo del Tribunal Superior de Justicia de Madrid, de 09/02/2000: (...) el dato registrado (…) es transcripción del contenido en dos edictos publicados en el BOCAM, por lo que ignoramos si son o no exactos dichos datos y, en todo caso, la inexactitud del mismo nunca sería imputable a la actora. Si (..) para los datos obtenidos de fuente accesibles al público la LORTAD no exige la notificación del registro al afectado, difícilmente puede saber el titular del fichero si el dato obtenido de una fuente accesible al público es o no : correcto y. además, en el caso de autos, dado que en el edicto no consta otro datos que el nombre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 apellidos de los demandados, nunca hubiera sido posible efectuar tal notificación, ni averiguar la exactitud del dato publicado, ni de lo actuado puede afirmarse que dicho dato se refiera siquiera al denunciante, por lo que en la medida que no conste al titular del fichero la inexactitud del dato registrado, inexactitud que, reiteramos, no consta, no existe para éste la obligación legal de cancelar el dato'. Asimismo, destaca que, salvo Euroloto 24, que enfoca sus esfuerzos a la captación de particulares, todas las empresas del expediente dirigen su actividad a empresas y la inexactitud en cuanto al titular de la línea es común en todas ellas, llamando poderosamente la atención que dirigiendo nuestro mercado a los empresarios, profesionales o autónomos como las demás entidades mencionadas en el acto administrativo, GUIAS AMARILLAS sea la única imputada y disponen de los mismos datos incorrectos. Además, adjunta impresión de otros portales de búsqueda, lo cuales también incluyen los datos incorrectos que han ocasionado la imputación a GUIAS AMARILLAS, concretamente, las webs de Opendi Madrid a fecha 03/06/2014 y Búsqueda-local.es, directorio dé empresas y servicios, a fecha 23/06/2014. Aporta impresión de pantalla con esta información. SEXTO: Con fecha 06/10/2014, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05604/2013. Asimismo, se tuvieron por presentadas las alegaciones formuladas por EUROLOTO 24 y GUIAS AMARILLAS al acuerdo de inicio PS/00369/2014 y la documentación que a ellas acompañan. Por otra parte, el instructor del procedimiento acordó requerir a la entidad ADIGITAL para que confirmase el registro en la Lista Robinson de los datos personales del denunciante, en especial el relativo a su número de teléfono, y la fecha en que tales datos fueron registrados. En respuesta a este requerimiento, la entidad citada informa que el denunciante figura inscrito en el Servicio de Lista Robinson con el detalle de su nombre, apellidos DNI y línea de telefonía fija, desde el día 03/04/2012, con la finalidad de no recibir llamadas publicitarias de terceros. Asimismo, en atención a lo solicitado por la entidad GUIAS AMARILLAS, se acordó requerir al denunciante para “que comunique la fecha desde la que es titular del número de teléfono indicado, con justificación documental de tal manifestación”. Con fecha 22/10/2014, el denunciante manifestó que el teléfono D.D.D. le fue asignado a partir del 19/11/2007 y que, en ese momento, comunicó a la compañía que dicho número no figurase en ningún registro de acceso público. Aporta copia de la factura emitida por Telefónica de España, S.A. en fecha 01/02/2018, correspondiente al período comprendido entre el 19/11/2007 y el 19/01/2008. SEPTIMO: Con fecha 13/11/2014, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad EUROLOTO 24 con multa de 15.000 euros (quince mil euros), por la infracción del artículo 6 de la LOPD, tipificada como leve en el artículo 44.3.
  7. b)de dicha norma; y a la entidad GUIAS AMARILLAS con multa 40.001 euros (cuarenta mil un euros), por la infracción del artículo 4.3 de la LOPD, tipificada como leve en el artículo 44.3.
  8. c)de dicha norma; y de conformidad con lo establecido en el artículo 45 de la misma norma. OCTAVO: Notificada la citada propuesta, se recibe escrito de alegaciones de la entidad EUROLOTO 24 en el que reproduce casi literalmente sus alegaciones anteriores, con la única salvedad de haber suprimido en su nuevo escrito las referencias a la base de teléfonos fijos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 adquirida a la entidad Publiactivos Comunicación y Marketing, S.L. y a la condición de profesional autónomo del afectado que alegó en su escrito anterior. Añade que la base de datos adquirida únicamente contiene números de teléfonos fijos sin datos personales asociados a los mismos. NOVENO: GUIAS AMARILLAS, por su parte, reitera sus alegaciones anteriores señalando nuevamente que no trata datos personales de particulares y no recabó datos del denunciante. Añade que, posteriormente, adquirió la base de datos de Infobel de los años 2013 y 2014 y que los datos fueron revisados por una empresa externa, entendiendo que los datos del denunciante pudieron quedar por error. Aporta copia de las facturas de adquisición de estas bases de datos y dice aportar el contrato formalizado con esa empresa externa, pero este documento no se acompañó a su escrito. Manifiesta de nuevo que el denunciante no contactó con la entidad para la reparación de la incidencia y que se procedió a cancelar los datos inmediatamente, habiéndose implementado medidas adicionales para evitar errores en el futuro. Finalmente, solicita la aplicación de lo dispuesto en el artículo 45.6 o, subsidiariamente, el artículo 45.5, ambos de la LOPD, considerando que se trata de un tratamiento de datos erróneo, referido a un solo supuesto, no tiene carácter continuado, que GUIAS AMARILLAS no se dedica al tratamiento de datos de particulares, no ha existido beneficio ni intencionalidad, no existe reincidencia ni se han causado perjuicios Aporta declaración del representante legal de la entidad en la que señala que se procederá a la contratación de la Lista Robinson, con seis descargas anuales para evitar que algún particular pueda estar inscrito en la base de datos de la entidad, se revisarán y actualizarán los datos mediante contactos telefónicos de los comerciales que reportan las incidencias y se actualizará y mejorará la web para la actualización de datos, de modo que cualquier persona pueda comunicar los errores detectados, y se revisará su base de datos con la base de infobel actualizada. HECHOS PROBADOS 1. El denunciante es titular de la línea de telefonía fija D.D.D., al menos desde el 19/11/2007, contratada con el operador Telefónica de España, S.A. 2. Con fecha 03/04/2012, los datos personales del denunciante fueron registrados en el Servicio de Lista Robinson, incluido el relativo a su línea de telefonía fija D.D.D., con la finalidad de no recibir llamadas publicitarias de terceros. 3. Con fecha 21/06/2013, el denunciante presentó denuncia ante la AEPD por la recepción en su línea de telefonía fija D.D.D. de llamadas telefónicas comerciales realizadas por la entidad EUROLOTO 24. En su denuncia se refiere a 4 llamadas realizadas durante el período comprendido entre las fechas 01/07/2013 y 19/07/2013. Según los detalles aportados con la denuncia, las llamadas recibidas por el denunciante fueron realizadas desde los números 871*****1 y 871*****2. 4. La operadora de telefonía Cableuropa, S.A.U. ha confirmado que cursó un total de diez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 llamadas entre el día 1 y el 19/07/2013 realizadas desde los números 871*****1 y 871*****2, con destino a la línea D.D.D.. Informó igualmente que el titular de las líneas de origen de las llamadas es EUROLOTO 24. 5. En los sistemas de información de la entidad EUROLOTO 24 figuran registrados los datos personales del denunciante relativos a nombre, apellidos, calle, número (no aparece el piso ni la puerta), código postal, población y el número de teléfono D.D.D.. La dirección que figura en esta base de datos coincide con la señalada por el mismo en la denuncia. En relación con el origen de los datos personales del denunciante registrados en los sistemas de información de EUROLOTO 24, esta entidad ha manifestado que figuraban incluidos en la base de datos adquirida por la misma a la entidad Publiactivos Comunicación y Marketing, S.L. en abril de 2011. Con fechas 6, 7 y 08/04/2011, EUROLOTO 24 recibió sendos correos electrónicos de la entidad Publiactivos Comunicación y Marketing, S.L. mediante los cuales se proporcionaban enlaces para la descarga de los ficheros de datos adquiridos. En la factura correspondiente a esta adquisición figura como concepto facturado la indicación “Guía particulares y empresas a nivel nacional”. 6. EUROLOTO 24 ha manifestado que las llamadas realizadas al teléfono D.D.D. detalladas en los Hechos Probados Tercero y Cuarto se realizaron con la finalidad de captar clientes y ofrecerles sus servicios. 7. La entidad EUROLOTO 24 se suscribió al servicio de consulta de la Lista Robinson en fecha 30/09/2013. EUROLOTO 24 ha reconocido que desde el mes de octubre de 2013 se consulta la Lista Robinson antes de realizar una llamada promocional, encargándose su departamento de informática de contrastar que los números de teléfono a los que se llama para ofertar su servicio no están incluidos en la citada Lista Robinson. 8. Con fecha 30/05/2014, los Servicios de Inspección de la AEPD comunicaron a la entidad GUIAS AMARILLAS que en su web www.guiasamarillas.es figuraban la siguiente información: D. B.B.B., calle C.C.C., Madrid, tel. D.D.D.. 9. GUIAS AMARILLAS aportó a los Servicios de Inspección de la AEPD impresión de pantalla relativa a los datos registrados en su sistema de información asociados a la línea de telefonía fija D.D.D., figurando los siguientes: D. B.B.B., titular de una librería en la calle C.C.C., de Madrid. 10. GUIAS AMARILLAS ha manifestado a los Servicios de Inspección de la AEPD que los datos personales reseñados en el Hecho Probado Octavo figuraban incluidos en el “Repertorio Telefónico” adquirido a Infobel en soporte CD-ROM en el año 2003. Según la información aportada por Infobel con la base de datos transmitida, la misma contiene “15.000.000 de direcciones y números de teléfono de personas y empresas en España”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 II Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento del titular de los mismos, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por otra parte, el art. 30 de la LOPD regula “Tratamientos con fines de publicidad y de prospección comercial. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. Las mismas reglas se establecen en el Capítulo II. Tratamientos para actividades de publicidad y prospección comercial del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  10. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  11. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  12. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 concretos de actividad respecto de los que podrá recibir información o publicidad”. “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre”. “Artículo 49. Ficheros comunes de exclusión del envío de comunicaciones comerciales. 4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”. Así, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en las normas citadas, el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público. En el supuesto examinado, los datos personales del denunciante fueron utilizados con fines publicitarios por EUROLOTO 24, con la que el mismo no mantiene relación alguna y sin que dicha entidad contase con su consentimiento. Además, los datos del denunciante se encontraban registrados desde el 03/04/2012 en el fichero de exclusión publicitaria denominado “Servicio Lista Robinson”, que gestiona la Asociación Española de Economía Digital (ADIGITAL). En concreto, los datos personales del denunciante fueron tratados por EUROLOTO 24 en las diez llamadas recibidas por aquél en el período comprendido entre las fechas 01/07/2013 y el 19/07/2013, a pesar de estar incluidos en el Servicio de Lista Robinson desde 03/04/2012, esto es, registrados en ficheros comunes de exclusión del envío de comunicaciones comerciales. A lo anterior añadir que EUROLOTO 24, en el momento en que tuvieron lugar los hechos denunciados, no realizaba comprobación alguna en orden a la exclusión de datos de personas que han ejercido el derecho de oposición o registrado sus datos personales en el Servicio Lista Robinson. Hay que hacer constar que hasta el 30/09/2013 EUROLOTO 24 no era usuaria de dichas listas, por lo que hasta dicha fecha no pudo acceder a las mismas. Por otra parte, el artículo 28, apartados 3 y 4, de la LOPD, al regular los Datos incluidos en las fuentes de acceso público, establece: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención. 4. Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica…”. Según consta en el Hecho Probado Quinto, en relación con el origen de los datos personales del denunciante registrados en los sistemas de información de EUROLOTO 24, esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 entidad ha manifestado que figuraban incluidos en la base de datos en formato electrónico adquirida por la misma a la entidad Publiactivos Comunicación y Marketing, S.L. en abril de 2011, que en el momento en que se realizaron las llamadas telefónicas denunciadas, había perdido su naturaleza de fuente accesible al público por el transcurso del plazo de un año establecido en el artículo citado. En definitiva, en el presente caso, se ha acreditado que EUROLOTO 24 no tenía el consentimiento del denunciante y no concurre ninguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización del dato personal del denunciante relativo al número de línea de telefonía para la realización de llamadas promocionales con posterioridad a la fecha en la que tales datos se registraron en el fichero común de exclusión. Así las cosas, el titular de los datos observa cómo éstos son tratados en contra de su expreso deseo, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales, por cuanto sus datos personales continuaron tratándose en contra de su expresa voluntad. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas los datos personales del denunciante debieron ser excluidos de las acciones publicitarias realizadas por EUROLOTO 24, por lo que esta entidad es la responsable del tratamiento de datos realizado, enmarcado en actividades de prospección comercial cuya beneficiaria es la propia entidad citada. Por tanto, EUROLOTO 24 ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma, por cuanto, como responsable del fichero y tratamiento, le corresponde adoptar las cautelas para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos personales del denunciante objeto de la denuncia. EUROLOTO 24, inicialmente, alegó que nos encontramos ante un supuesto amparado en el artículo 2.1 de la LOPD, considerando que los datos pertenecen a un profesional autónomo. Posteriormente, en su escrito de alegaciones a la propuesta señala que la base de datos adquirida no incluye datos personales asociados a los teléfonos fijos que contiene. Sin embargo, estas alegaciones no coinciden con las comprobaciones efectuadas, que han permitido concluir que en los sistemas de información de la entidad figuran registrados los datos personales de un particular, el denunciante, con detalle de los relativos a nombre, apellidos, calle, número, código postal, población y el número de teléfono D.D.D., y que la base de datos adquirida por EUROLOTO 24 de Publiactivos Comunicación y Marketing, S.L. es una “Guía de particulares y empresas a nivel nacional”. No son de aplicación, por tanto, las normas relativas a empresarios individuales establecidas en la LOPD y su Reglamento de desarrollo (artículo 2.3). Además, aunque en este caso se tratase de un empresario individual, la normativa de protección de datos de carácter personal sería igualmente de aplicación, con la misma conclusión sobre la infracción declarada. A este respecto, ha de tenerse en cuenta que para considerar excluido el supuesto de que se trate del ámbito de aplicación de la norma, el tratamiento de los datos relativos al empresario individual ha de llevarse a cabo en el ámbito empresarial. Quiere ello decir que a los efectos del tratamiento de los datos, la finalidad perseguida por quien trata el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 dato es la de recabar y mantener información sobre la empresa y no sobre el comerciante que la ha constituido. Así, el tratamiento de los datos del empresario individual, con las limitaciones que se han venido señalando, para mantener una relación comercial con el mismo, podría encontrarse amparado por el artículo 2.3 del Reglamento, en conexión con las normas de la LOPD. Sin embargo, no podrá considerarse amparado por el precepto, y en consecuencia excluido de la aplicación de la citada Ley Orgánica, el tratamiento de los datos del comerciante llevado a cabo no con la finalidad de mantener una relación empresarial con el establecimiento u organización que el mismo hubiera creado, sino para conocer la información del propio sujeto organizado en forma de empresa, siendo el destinatario del tratamiento no la empresa sino el propio empresario en tanto, por ejemplo, que consumidor individual. En consecuencia, cabrá extraer dos conclusiones determinantes del alcance de lo dispuesto en el artículo 2.3 del Reglamento: - La legislación de protección de datos no es aplicable en los supuestos en los que los datos del comerciante sometidos a tratamiento hacen referencia únicamente al mismo en su condición de comerciante, industrial o naviero; es decir, a su actividad empresarial. - Al propio tiempo, el uso de los datos deberá quedar limitado a las actividades empresariales; es decir, el sujeto respecto del que pretende llevarse a cabo el tratamiento es la empresa constituida por el comerciante industrial o naviero y no el empresario mismo que la hubiese constituido. Si la utilización de dichos datos se produjera en relación con un ámbito distinto quedaría plenamente sometida a las disposiciones de la Ley Orgánica. III El art. 44.3.
  13. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, EUROLOTO 24, al tratar los datos del denunciante sin su consentimiento, han cometido la infracción tipificada en dicho artículo. La culpabilidad de dicha entidad ha quedado acreditada en atención al tratamiento de datos del denunciante sin su consentimiento, pues no consta en el procedimiento actuación alguna tendente a valorar si contaban con su legitimación, habida cuenta de que ni es cliente de EUROLOTO 24, ni se acredita que figuren los datos en fuentes accesible al público, ni tampoco consta que hubieran consultado el Servicio de Lista Robinson. IV Se imputa en el presente procedimiento a la entidad GUIAS AMARILLAS una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En este caso, consta acreditado que en el momento en que tuvo lugar la incidencia reseñada en la denuncia que ha motivado las actuaciones, la entidad GUIAS AMARILLAS era la responsable del sitio web www.guiasamarillas.es, habiéndose constatado que a través de dicha web era accesible el dato personal relativo a la línea de telefonía fija del denunciante, que figuraba en la misma asociada a los datos personales de un tercero y que ello es consecuencia de que tales datos inexactos figuraban así en el sistema de información de la entidad. En concreto, se comprobó, y así lo reconoció la propia entidad imputada, que en los ficheros de GUIAS AMARILLAS figuraban los siguientes datos asociados a la línea de telefonía fija del denunciante ( D.D.D.): D. B.B.B., titular de una librería en la calle C.C.C., de Madrid. Por tanto, el número de teléfono del denunciante, cuya titularidad le corresponde desde el año 2007, figuró en los ficheros de GUIAS AMARILLAS asociado al nombre, apellidos y dirección de una tercera persona, hasta su eliminación en el año 2014, como resultado de las actuaciones llevadas a cabo por esta Agencia Española de Protección de Datos. En consecuencia, los datos personales del denunciante fueron indebidamente asociados a los datos de un tercero, lo que constituye una vulneración del principio de calidad de datos plenamente imputable a la entidad GUIAS AMARILLAS. GUIAS AMARILLAS conocía que el origen de los datos registrados en sus ficheros fue el repertorio telefónico Infobel adquirido por la misma en el año 2003 en soporte CD-ROM y que dicho repertorio contenía información de personas. Asimismo, considerando la actividad que desarrolla, GUIAS AMARILLAS está obligada a actualizar sus ficheros de datos, a su propia iniciativa, es decir, sin necesidad de que los afectados ejerciten su derecho de rectificación, teniendo en cuenta que los citados repertorios pierden su naturaleza de fuente accesible al público por el transcurso del plazo de un año establecido en el artículo 28 de la LOPD, citado en los Fundamentos de Derecho anteriores, cuyo contenido se reproduce nuevamente a continuación: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención. 4. Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica…”. De haber tenido en cuenta lo establecido en esta norma, GUIAS AMARILLAS hubiese establecido los mecanismos adecuados y necesarios para evitar la inexactitud de la información ofrecida por la misma, en la que figuraba un número de teléfono que se asignó al denunciante años antes asociado a otra persona. Prueba de ello puede considerarse el hecho de que la base de datos adquirida por EUROLOTO 24 contenía los datos personales del denunciante correctos, con detalle de su nombre, apellidos, calle, número, código postal, población y el número de teléfono D.D.D.. GUIAS AMARILLAS actuó con total falta de diligencia, de acuerdo a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, GUIAS AMARILLAS incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 de la LOPD de la que ha de responder la entidad GUIAS AMARILLAS conforme a las circunstancias expresadas. GUIAS AMARILLAS, en su escrito de alegaciones, ha indicado que la misma información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 inexacta resulta accesible a través de otras webs. Debe señalarse que estas circunstancias no se pusieron de manifiesto durante las actuaciones que han determinado la apertura del procedimiento ni restan responsabilidad a la actuación de aquella entidad. V La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
  14. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
  15. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
  16. c)de la LOPD por parte de GUIAS AMARILLAS, que trató datos inexactos del denunciante, persona física plenamente amparada por el derecho regulado en la normativa expuesta. Esta inexactitud de los datos tratados por GUIAS AMARILLAS supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Este principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. VI La entidad GUIAS AMARILLAS ha solicitado la aplicación al presente caso del apartado 6 al artículo 45 de la LOPD, que establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  17. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  18. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En este caso, se cumplen los requisitos recogidos en los apartados
  19. a)y
  20. b)del precepto citado, considerando que los hechos son constitutivos de infracción grave y que la entidad GUIAS AMARILLAS no ha sido sancionada o apercibida con anterioridad. No obstante, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera que la incidencia se produce por una falta de medidas que se consideran elementales en función de la actividad que desarrolla la citada entidad, según ha quedado expuesto. VII El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  21. a)El carácter continuado de la infracción.
  22. b)El volumen de los tratamientos efectuados.
  23. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  24. d)El volumen de negocio o actividad del infractor.
  25. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  26. f)El grado de intencionalidad.
  27. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  28. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  29. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  30. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  31. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  32. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  33. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  34. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  35. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  36. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. En el presente caso, en relación con EUROLOTO 24, se han acreditado circunstancias que permiten la aplicación del citado precepto por la concurrencia de varios de los criterios enunciados en el apartado 4 del mismo artículo 45, como son el volumen de tratamientos efectuados, la ausencia de beneficios y la naturaleza de los perjuicios causados al interesado. Por todo ello, procede imponer a la misma, por la infracción cometida, una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 1 del citado artículo 45. Ahora bien, en cuanto a la diligencia prestada y la profesionalidad del infractor, que de su actividad se infiere un continuo tratamiento de datos personales, hay que señalar que muestra falta de diligencia a la hora de utilizar una base de datos adquirida en abril de 2011, pasado más de año, cuando puede ser objeto de actualización o modificación de los registros en ella contenida. Es decir, los titulares de las líneas de teléfono allí contenidas pueden haberse inscrito en el Servicio de Lista Robinson, pueden haberse excluido de Fuentes Accesibles al Público, etc. Estas circunstancias, que deberían ser conocidas por EUROLOTO 24, junto con la obligatoriedad de consultar los ficheros comunes de exclusión, deslegitiman el tratamiento de datos personales realizado. Por esa falta de diligencia y teniendo en cuenta, además, los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, en concreto, la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, que no dispone de procedimientos adecuados de actuación en el tratamiento de datos y el número de llamadas realizadas al teléfono del denunciante en un corto espacio de tiempo, se propone la imposición a EUROLOTO 24 de una sanción por importe de 15.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 En el caso de GUIAS AMARILLAS, teniendo en cuenta la actividad que desarrolla y la vinculación de la misma con la realización de tratamientos de datos de carácter personal, así como la falta de mecanismos adecuados de actuación en la recogida y tratamiento de los datos, que hubiesen impedido la comisión de infracciones como la analizada, así como el tiempo transcurrido sin llevar a cabo las actualizaciones pertinentes (la base de datos utilizada por GUIAS AMARILLAS fue adquirida en el año 2003), no se estima procedente aplicar lo previsto en el artículo 45.5 de la LOPD. Considerando la negligencia puesta de manifiesto en relación con la actuación de la citada entidad, considerando de forma especial el objeto de su actividad, que los datos contenidos en su sistema de información se pone a disposición de terceros a través de su web y el resto de argumentos señalados en los Fundamentos de Derecho anteriores, no se estiman suficientes para la aplicación del artículo 45.5 de la LOPD, en este caso, las medidas que GUIAS AMARILLAS se compromete a adoptar. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se tiene en cuenta, en especial, la ausencia de beneficios que deriven directamente de la comisión de la infracción, la naturaleza de los perjuicios causados y el grado de intencionalidad, procede la imposición a GUIAS AMARILLAS de una multa por importe de 40.001 euros, el mínimo establecido para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la EUROLOTO 24, S.L. por una infracción del artículo artículo 6 de la LOPD, y en relación con el art. 49.4 del RDLOPD, tipificada como grave en el artículo 44.3.
  37. b)de dicha norma, una multa de 15.000 euros (quince mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad GUIAS AMARILLAS, S.L.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  38. c)de dicha norma, una multa de 40.001 euros (cuarenta mil un euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a las entidades EUROLOTO 24, S.L. y GUIAS AMARILLAS, S.L.U. y a D. A.A.A.. CUARTO: Advertir a los sancionados que las sanciones impuestas deberán hacerlas efectivas en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-000000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si reciben la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si reciben la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.