← España

PS-00375-2016

1/24 Procedimiento nº.: PS/00375/2016 Mediante Acuerdo de fecha 16 de agosto de 2016 se inició procedimiento sancionador nº PS/00375/2016 instruido por la Agencia Española de Protección de Datos a PLENISAN, S.L., y PRINT LASSER SPAIN S.L. por presunta infracción a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 16 de septiembre de 2014 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara: <<El pasado día 26 de Agosto de 2014, he recibido en mi domicilio un envío publicitario de SISTEMAS MEDICOS PROFESIONALES, S.L. Dicho envío lo he recibido por correo postal dirigido a mi dirección, que no figura en ninguna fuente de acceso público y que sólo ha podido ser obtenida de ficheros como el Censo o Padrón Municipal, ya que se comprueba que en la dirección de envío aparece piso, puerta y zona o barrio del municipio. Según mis averiguaciones la empresa SMP, S.L. (Sistemas Médicos Profesionales, S.L.), tiene su domicilio en MANISES (VALENCIA), (C/...1). Si bien en el sobre utilizado para el envío postal consta el remitente desde un Apartado de Correos de MADRID. En el escrito publicitario figura la siguiente leyenda: “La información utilizada para éste envío publicitario procede de ficheros de PRINT LASER SPAIN, S.L. – Apartado de correos nº ** – ***LOCALIDAD.1 (MADRID) donde Ud. podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición”.>> Aporta el denunciante copia del envío publicitario. La carta exhibe el logo de SISTEMAS MEDICOS PROFESIONALES (actual PLENISAN S.L., en adelante PLENISAN) y le convoca a un evento a realizar en el hotel NH VIAPOL (en adelante el HOTEL) de Sevilla en fecha 4 de septiembre de 2014. La carta muestra un pie de página en que se informa que los datos utilizados para la emisión publicitaria provienen de un fichero cuyo responsable es PRINT LASER SPAIN, S.L. (en adelante PRINT) dando como dirección de contacto para el ejercicio de derechos ARCO el apartado de correos 12 de ***LOCALIDAD.1 (Madrid). Con motivo de dicha denuncia se iniciaron las actuaciones previas de investigación de referencia E/07380/2014 que dieron posteriormente origen al procedimiento sancionador de referencia PS/00516/2015. Durante las actuaciones previas de investigación PRINT señaló domicilio en (C/...2) de ***LOCALIDAD.1, a cuya dirección fue remitido el acuerdo de inicio del referido procedimiento sancionador, entregado en fecha 14/09/2015. Mediante escrito con entrada en fecha 21/9/2015 PRINT informaba haber recibido dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/24 notificación, solicitando acceso al expediente administrativo. Fue remitida copia del expediente al apartado de correos 12 de ***LOCALIDAD.1, mediante escrito con fecha de salida 28/9/2015 y número de registro 272673, constando acuse de recibo de dicha salida en fecha 15/10/2015, si bien consta intento de entrega en fecha 2/10/2015. Mediante escrito con entrada en fecha 6/10/2015 PRINT en que la entidad alega indefensión, tras haber finalizado el plazo de alegaciones sin haber recibido copia del expediente administrativo. En fecha 12/2/2015 fue realizada propuesta de resolución, remitida a PRINT en la dirección (C/...3) de ***LOCALIDAD.1, que resultó devuelta como “Desconocido”. Mediante resolución de fecha 11/3/2015 la Directora de la Agencia acordó sancionar a PRINT, remitiéndose copia de dicha resolución a la entidad en la dirección (C/...3) de ***LOCALIDAD.1, que resultó devuelta como “Desconocido”. Recurrida dicha resolución por PLENISAN, al considerar que el procedimiento sancionador había caducado, dicha caducidad fue estimada mediante resolución de fecha 17/5/2015, ordenándose el inicio de las actuaciones previas de investigación de referencia E/02411/2016. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades MEYDIS S.L., PLENISAN, y PRINT, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas E/02411/2016 que se transcribe: “ACTUACIONES PREVIAS 1. Solicitada información al HOTEL ha aportado documentación acreditativa de que en fecha 4 de julio de 2014 suscribió un contrato con PLENISAN para la celebración de un evento en fechas 2, 3 y 4 de septiembre de 2014. 2. Solicitada información a Correos la entidad ha aportado copia de la siguiente documentación: a. Contrato de fecha 25/3/2013 por el que se suscribe el servicio del apartado postal número 12 de ***LOCALIDAD.1, con domicilio en (C/...2) de ***LOCALIDAD.1. b. Copia del documento notarial de constitución de la sociedad PRINT, en fecha 4/2/2013. 3. Solicitada información a PLENISAN, la entidad manifiesta: <<Desconocemos los parámetros marcados por la entidad emisora de la publicidad para la selección del público objetivo del envío, puesto que dichos criterios son fijados unilateralmente por la tercera empresa a la que, en este caso, encargamos que llevara a cabo las campañas publicitarias de nuestros productos, según figura en el referido contrato. Las medidas adoptadas por nosotros para aseguramos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas Segunda y Tercera del contrato que adjuntamos a este escrito, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/24 de 2011.>> Aporta PLENISAN copia del contrato suscrito con PRINT, en el que consta: <<4. Inclusión en los documentos publicitarios de la siguiente cláusula informativa: “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Pueden ejercerse los derechos de acceso, rectificación, cancelación u oposición en el Apartado de Correos n° de Madrid.”>> (el subrayado es de la Inspección) Y continúa el contrato: <<Segundo. - Garantías.- A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, PROVEEDOR manifiesta que en la ejecución de este contrato:

  1. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3j) de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
  2. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
  3. c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD. Las condiciones establecidas en esta cláusula han sido esenciales en la decisión del CLIENTE de contratar el servicio con PROVEEDOR, a los efectos del cumplimiento de las garantías exigidas por el Reglamento de Desarrollo de la LOPD para la ejecución de campañas de marketing directo con ficheros de tercero.>> 4. De la información y documentación aportada por PRINT se desprende: No aporta acreditación del origen de los datos del denunciante, si bien reconoce disponer de ellos en sus ficheros, aportando copia los mismos que coinciden con los que aparecen en la carta aportada por el denunciante. Aporta igualmente copia de la factura emitida por la entidad a PLENISAN por los servicios, de fecha 21/8/2014, así como copia del contrato suscrito para la prestación del servicio. Según dicha factura, la emisión consistió en 1.503 cartas por un importe de 218,24 €. 5. De la información y documentación aportada por MEYDIS se desprende: a. Manifiesta la entidad: <<En las campañas de marketing realizadas por PLENISAN con su proveedor C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/24 de datos PRINT LASSER SPAIN, mi representada prestaba a PLENISAN únicamente los servicios de doblado, ensobrado y puesta en correos de cartas publicitarias, conforme figura en el contrato suscrito entre ambas y que se adjunta a este escrito. En estas campañas, la empresa PRINT LASSER SPAIN se encargaba con sus propios medios de la impresión completa de todas las cartas publicitarias. Posteriormente, PRINT LASSER SPAIN, por encargo de PLENISAN, remitía a MEYDIS las cartas ya impresas, apiladas en cajas precintadas, y MEYDIS se limitaba a realizar el doblado y ensobrado de las cartas recibidas y su franqueo y puesta en correos.>> b. Aporta la entidad: i.Copia del contrato suscrito con PLENISAN en fecha 6 de mayo de 2013 en donde se contratan los servicios: <<a. Recepción de las piezas publicitarias, en las que ya se encontrarán impresos los datos de nombre, apellidos y dirección postal de las personas a las que deban ser enviadas. Las piezas publicitarias se entregarán a MEYDIS en soporte papel y apiladas en cajas, sin orden o indexación alguna. Dichas cajas serán enviadas a MEYDIS directamente por la tercera empresa que haya sido contratada por el CLIENTE para los servicios de selección e impresión de los datos personales en la publicidad. b. Doblado, ensobrado y franqueo de las piezas publicitarias. c. Depósito de la publicidad en el correspondiente operador postal para su envío. >> ii.Copia del albarán de entrega de las cartas impresas de esta campaña, que justifica su envío por PRINT y recepción en MEYDIS. Se trata de un documento fechado el 14/7/2014 con el logotipo de PRINT en donde figura: <<Hacemos entrega de las cartas impresas de nuestro cliente Sistemas Médicos Profesionales para su ensobrado y depósito… Rogamos coordinen con el cliente fechas y lugares para su perfecta realización>> Y continúa una relación de un total de 14 convocatorias correspondientes a 69.352 envíos, de los que 6000 se corresponden con la convocatoria del evento en HOTEL. iii.Copia del e-mail en el que MEYDIS remitió a PLENISAN una muestra de las cartas impresas recibidas de PRINT LASSER SPAIN para que PLENISAN diese su conformidad al envío. Se trata de un correo electrónico remitido en fecha 19 de agosto de 2014 de F.F.F. con destino a I.I.I.@sistemas-medicos.com con copia para G.G.G., y con el asunto “CARTAS RECIBIDAS DE PRINT LASER PARA PROCEDER AL O.K. DE LA SALIDA A CORREOS”. El correo cuenta con un fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/24 anexo denominado DOC300.PDF. Aporta la entidad copia del documento, consistente en una prueba de la impresión realizada respecto de la convocatoria del evento en el HOTEL en fecha 4 de septiembre. Se supone que MEYDIS debería realizar el doblado, ensobrado, franqueo y puesta en correos, por lo que sorprende que remita prueba de un trabajo que MEYDIS atribuye a PRINT y que no muestra el trabajo realizado por MEYDIS. c. Manifiesta la entidad que: <<… PRINT LASSER SPAIN no ponía a disposición de MEYDIS ningún fichero de datos personales, porque las cartas publicitarias las recibíamos ya impresas en papel y apiladas en cajas, sin orden ni indexación de ningún tipo. No existía ningún contrato entre mi representada y PRINT LASSER SPAIN para realizar esa campaña. Como se ha indicado, nuestro contrato estaba firmado con PLENISAN. PRINT LASSER SPAIN nos enviaba las cartas ya impresas en virtud de un contrato que ellos tenían firmado con PLENISAN >> d. Informa la entidad que, dado que no existió prestación de servicios entre MEYDIS y PRINT en la campaña, por tanto, no hay ninguna factura. e. Aporta la entidad copia de la ficha contable de PLENISAN. Con respecto a PRINT, manifiesta la entidad que no existió en el ejercicio 2014 ninguna prestación de servicios en relación con estas campañas de marketing. 6. Se ha podido comprobar que: i.En el Registro Mercantil Central constan los siguientes datos relativos a PRINT:  Primera inscripción de fecha 18/2/2013 en que se fija domicilio en la calle E.E.E. - ***LOCALIDAD.1 (Madrid), siendo socio único y administrador D. B.B.B..  Inscripción de fecha 21/3/2014 en que cambie el socio único, siendo a partir de este momento D. D.D.D..  Inscripción de fecha 28/10/2015 en que se cambia el domicilio en (C/...3) - ***LOCALIDAD.1 (Madrid).  D. B.B.B. aparece como administrador de múltiples empresas entre ellas DATA JTL SL y BEST CLONE SL. ii.Figuran en el Registro Mercantil Central múltiples empresas en las que figure D. B.B.B. como administrador o apoderado, entre ellas BEST CLONE SL, variad de ellas domiciliadas en ***LOCALIDAD.1, en distintas direcciones:  (C/...3) 10  (C/...3), 25  (C/...3) Km 10  (C/...2) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/24 iii.En el Registro Mercantil Central constan los siguientes datos relativos a BEST CLONE SL:  Primera inscripción de fecha 22/12/2010 por la que se anota la constitución y el nombramiento como administrador único de D. B.B.B..  Inscripción de fecha 28/6/2013 por la se cesa el administrador único, siendo sustituido por D. C.C.C.. Este señor es un directivo de MEYDIS.  Inscripción de fecha 21/5/2014 por la se cesa el administrador único, siendo sustituido por B.B.B.. 7. En fecha 17 de junio de 2016 inspectores de la Agencia se desplazaron a ***LOCALIDAD.1, a fin de realizar una inspección a PRINT, haciendo constar que: - Personados en la dirección de (C/...3) 10 y (C/...3) Km 10, no se ha localizado dicha empresa, resultando, según el GPS, ser el mismo lugar. - Personados posteriormente en (C/...3) 25, no se ha localizado dicha empresa. Tras preguntar en una tienda situada en el número 11, son informados de que no existe el número 25. - Personados en calle E.E.E., se encuentra que se trata de un domicilio particular, si bien en la puerta del mismo aparece DATA JTL SL, empresa cuyo administrador es D. B.B.B., a su vez administrador de PRINT LASSER SPAIN, S.L. Según el Registro Mercantil Central, el domicilio de DATA JTL SL es (C/...3) Km 10 de ***LOCALIDAD.1. - Tras llamar a la puerta de dicha vivienda, nadie atiende la llamada. - Tras esperar unos momentos en la calle, se observa que entra una persona en dicha dirección, a la que se le pregunta por D. B.B.B.. Dicha persona entra en la casa y momentos después sale de ella quien se identifica como D. B.B.B.. 8. Los inspectores habiendo acreditado su personalidad y habiendo entregado la autorización de entrada expedida por la Directora de la Agencia, no son autorizados por para que efectúen su entrada en el citado inmueble, dado que es domicilio particular de D. B.B.B., quien atiende a los inspectores en la puerta de la vivienda. 9. Los inspectores comunican a D. B.B.B., representante de PRINT, que su visita tiene relación con la denuncia presentada ante la Agencia con motivo de una carta publicitaria recibida por un denunciante. 10. El representante de PRINT realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Las entidades PRINT LASSER SPAIN SL, HOJAS AMARILLAS SL, DATA JTL SL, PVCMULTIIMPRENTA SL, KAPROCITI SL, BEST CLONE SL son entidades de las que D. B.B.B. ha sido administrador, pero ha cesado la actividad en todas ellas con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/24 motivo de su elevada edad, 80 años. b. La dirección de calle E.E.E. - ***LOCALIDAD.1 (Madrid) ha sido sede social de dichas entidades, pero ya no lo es, sino que es la dirección particular de D. B.B.B.. c. Los inspectores actuantes solicitan a D. B.B.B. que aporte documentación acreditativa del cese de actividad de PRINT LASSER SPAIN SL, así como las facturas relativas a encargos realizados solicitados por PLENISAN S.L. (antes SISTEMAS MEDICOS PROFESIONALES SL) manifestando que toda la documentación relativa a la entidad está en una gestoría. Solicitado que identifique la gestoría, no lo hace, manifestando que, dado que hace tiempo que no paga, imagina que habrá destruido toda la documentación. d. Informa D. B.B.B. que su empresa recibía los encargos publicitarios, identificando el lugar en que iban a ser realizados los eventos, realizaba la impresión a través de diversas imprentas (que no identifica) y los remitía a la entidad que realizaba el ensobrado y puesta en correos. e. El origen de los datos utilizados en las acciones publicitarias era personal de diversos partidos políticos, que le vendían el censo electoral, tanto en soporte papel como en soporte CD. Esta documentación ha sido destruida debido al cese de actividad, no disponiendo de copia. f. Preguntado por la relación existente entre D. B.B.B. y D. C.C.C., informa que se trata de un conocido suyo que trabaja en MEYDIS S.L. 11. De la información aportada por el Banco Santander SA, se desprende que ha habido accesos de banca electrónica a la cuenta de PRINT que aparece en la factura emitida por la entidad hasta el 4/4/2016. 12. Según consta en el Registro Mercantil Central, aparece inscrito en fecha 17 de junio de 2016 (el mismo día que el intento de inspección a PRINT) la entidad 2016 DATA MART PRINT SL cuyo administrador único es D. B.B.B.. 13. Solicitada información a la Tesorería General de la Seguridad Social respecto a los empleados que haya tenido PRINT informa que: a. Según la información existente en el Fichero General de Afiliación, a fecha 23 de junio de 2016 no existe información sobre la misma. b. Respecto a las empresas para las que haya trabajado D. B.B.B., informa que no ha figurado de alta en el periodo de 22 de junio de 2013 a 22 de junio de 2016. 14. De la información obrante en anteriores actuaciones previas de inspección de referencia: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/24 a. Que MACRO SELECT PRINT S.L. es una entidad sobre la que se han abierto numerosas actuaciones previas de investigación y procedimientos sancionadores por hechos idénticos a los aquí denunciados. b. Que en dichas campañas MEYDIS ha prestado servicios de impresión, ensobrado y puesta en correos en diversas campañas publicitarias a PLENISAN. c. Que MSP dispone de una cuenta de correo electrónico de Gmail, cuya cuenta de recuperación es printlasser@ H.H.H.. d. Que MEYDIS ha publicitado a través de Internet sus servicios de mailing, asegurando disponer de un fichero con datos de más de 12 millones de personas.” TERCERO: Con fecha 16/08/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a PLENISAN y a PRINT por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  4. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Dicho acuerdo fue notificado a PLENISAN mediante publicación en el Boletín Oficial del Estado núm. 223 (15/09/2016) al resultar infructuosa su notificación mediante envío por correo certificado al domicilio de la entidad por encontrarse ausente y no recoger el envío en la oficina de correos tras serle dejado aviso en tal sentido. Igualmente fue notificado a PRINT mediante publicación en el Boletín Oficial del Estado núm. 226 (19/09/2016) al resultar infructuosa su notificación mediante envío por correo certificado al domicilio de la entidad por el mismo motivo que en el caso de PLENISAN. QUINTO: El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aplicable al presente procedimiento en virtud de lo establecido en el apartado
  5. a)de la Disposición Transitoria Tercera de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, dispone lo siguiente: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” HECHOS PROBADOS PRIMERO: Con fecha de 16 de septiembre de 2014 tiene entrada en esta Agencia un escrito del denunciante en el que declara: <<El pasado día 26 de Agosto de 2014, he recibido en mi domicilio un envío publicitario de SISTEMAS MEDICOS PROFESIONALES, S.L. Dicho envío lo he C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/24 recibido por correo postal dirigido a mi dirección, que no figura en ninguna fuente de acceso público y que sólo ha podido ser obtenida de ficheros como el Censo o Padrón Municipal, ya que se comprueba que en la dirección de envío aparece piso, puerta y zona o barrio del municipio. Según mis averiguaciones la empresa SMP, S.L. (Sistemas Médicos Profesionales, S.L.), tiene su domicilio en MANISES (VALENCIA), (C/...1). Si bien en el sobre utilizado para el envío postal consta el remitente desde un Apartado de Correos de MADRID. En el escrito publicitario figura la siguiente leyenda: “La información utilizada para éste envío publicitario procede de ficheros de PRINT LASER SPAIN, S.L. – Apartado de correos nº ** – ***LOCALIDAD.1 (MADRID) donde Ud. podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición”.>> SEGUNDO: Consta en el expediente copia de una carta recibida por el denunciante en cuyo encabezamiento figuran su nombre y apellidos y dirección completa (calle con número, piso y puerta). La carta que exhibe el logo de SISTEMAS MEDICOS PROFESIONALES (actual PLENISAN) le convoca a un evento a realizar en el hotel NH VIAPOL (en adelante el HOTEL) de Sevilla en fecha 4 de septiembre de 2014. La carta muestra un pie de página en que se informa que los datos utilizados para la emisión publicitaria provienen de un fichero cuyo responsable es PRINT dando como dirección de contacto para el ejercicio de derechos ARCO el apartado de correos 12 de ***LOCALIDAD.1 (Madrid). TERCERO: Consta en el expediente documentación que acredita que en fecha 04/07/2014 el HOTEL suscribió un contrato con SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) para la celebración de un evento en fechas 2, 3 y 4 de septiembre de 2014. CUARTO: En fecha 17/02/2014 y PRINT y SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) suscribieron un “Contrato de selección de datos de carácter personal y personalización de documentos publicitarios”, en el que (el CLIENTE) y PRINT (el PROVEEDOR), ponen de manifiesto lo siguiente: <<… EXPONEN: Primero.- Que PROVEEDOR es una empresa dedicada, entre otras actividades, al diseño de campañas de marketing y la recopilación y selección de datos de carácter personal para su ejecución. Segundo.- Que CLIENTE desea que PROVEEDOR idee y ejecute campañas de marketing directo y prospección comercial para la promoción de sus productos entre el público objetivo que determine PROVEEDOR. Tercero.- Que PROVEEDOR dispone de la experiencia y conocimientos necesarios para la prestación de dichos servicios y, además, es titular de un fichero de datos de carácter personal que puede ser utilizado para la realización de antedichas campañas de marketing directo y prospección comercial. ….. ACUERDAN: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/24 Primero.- Objeto del contrato.- Constituye el objeto del presente Contrato la prestación por parte de PROVEEDOR de los siguientes servicios: 1. La recopilación y determinación de criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en las campañas de marketing que PROVEEDOR idee para el CLIENTE. Al llevar a cabo la selección de datos de los destinatarios de la campaña. PROVEEDOR deberá excluir, en todo caso, los datos de aquellas personas que hayan ejercido previamente sus derechos de cancelación u oposición a recibir publicidad en los ficheros de PROVEEDOR. 2. La confrontación de los datos de carácter personal con la Lista Robinson de AGITAL con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. … Segundo. - Garantías.- A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, PROVEEDOR manifiesta que en la ejecución de este contrato:
  6. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3j) de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
  7. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
  8. c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD. Las condiciones establecidas en esta cláusula han sido esenciales en la decisión del CLIENTE de contratar el servicio con PROVEEDOR, a los efectos del cumplimiento de las garantías exigidas por el Reglamento de Desarrollo de la LOPD para la ejecución de campañas de marketing directo con ficheros de tercero.>> QUINTO: Consta en el expediente factura de fecha 31/08/2014 girada por PRINT a SISTEMAS MEDICOS PROFESIONALES (actualmente denominada PLENISAN) por un importe de 8.647,21 €, cantidad **** y descripción “(SMP AGOSTO 2.014) Del 1 al 31 de Agosto de2.014 Selección de direcciones, tratamiento, spool de impresión y personalización” SEXTO: En los ficheros de PRINT constan los siguientes datos personales del denunciante: A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/24 Dichos datos coinciden con los que constan como destinatario en la carta publicitaria objeto de denuncia. SEPTIMO: PRINT manifestó los encargos publicitarios, identificando el lugar en que iban a ser realizados los eventos, realizaba la impresión a través de diversas imprentas (que no identifica) y los remitía a la entidad que realizaba el ensobrado y puesta en correos. El origen de los datos utilizados en las acciones publicitarias era personal de diversos partidos políticos, que le vendían el censo electoral, tanto en soporte papel como en soporte CD. Esta documentación ha sido destruida debido al cese de actividad, no disponiendo de copia. Manifestó asimismo que utilizó el código postal de residencia como parámetro para la selección de los destinatarios del envío publicitario objeto de denuncia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 59.5 de la Ley 30/1992, de 26 de noviembre en cuanto a la práctica de las notificaciones, según redacción dada por el artículo 25 de la Ley 15/2014, de 16 de septiembre, de racionalización del Sector Público y otras medidas de reforma administrativa, que: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el “Boletín Oficial del Estado” En el presente caso se han observado las prescripciones legales, tal como se ha señalado en los Antecedentes Cuarto y Quinto de la presente Resolución. III El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/24 necesarios varios requisitos:  Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación.  Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo.  Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación.  Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. IV El presente procedimiento se circunscribe a determinar la existencia de consentimiento del denunciante para el tratamiento de sus datos personales utilizados para el envío de una carta para acudir a un evento publicitario de SISTEMAS MEDICOA PROFESIONALES (actualmente PLENISAN), datos que fueron obtenidos de ficheros de PRINT. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/24 precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. En el presente caso nos encontramos con el tratamiento de datos de la denunciante (nombre y apellidos y dirección postal contenidos en un fichero de PRINT) efectuado con fines comerciales por cuanto es objeto de su denuncia la carta que recibió invitándole a un evento publicitario de SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN). En este sentido la LOPD regula de modo específico este tipo de tratamientos: “Artículo. 30 Tratamientos con fines de publicidad y de prospección comercial: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. A ello debe añadirse lo establecido en el CAPÍTULO II “Tratamientos para actividades de publicidad y prospección comercial” (artículos 45 y siguientes) del Real Decreto 1720/2007, que aprueba el Reglamento de desarrollo de la LOPD (RLOPD): “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  10. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  11. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/24
  12. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos. Así pues tanto la LOPD como, más en concreto, su RLOPD, establece que el tratamiento de datos con fines comerciales sólo es posible cuando los mismo figuren en fuentes de acceso público y enumeran una relación cerrada (“numerus clausus”) de las denominadas fuentes de acceso público, es decir de los datos contenidos en ficheros para los cuales, no es que sea necesario consentimiento para ser consultados, sino que no se exige el mismo para su tratamiento o cesión. Así el artículo 3.
  13. f)de la LOPD define como “Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación”, y el artículo 7.1 del RLOPD dispone que sólo tendrán el carácter de fuentes accesibles al público: “
  14. a)El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
  15. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
  16. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
  17. d)Los diarios y boletines oficiales.
  18. e)Los medios de comunicación social.” Conforme a lo expuesto, caso que los datos personales no procedan de fuentes de acceso público sólo es posible su tratamiento si el interesado ha otorgado su consentimiento a tal efecto, esto es, para fines comerciales y conocimiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/24 sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. En el presente caso, conforme a la información facilitada en el envío publicitario, los datos del denunciante utilizados para efectuar dicho envío objeto de denuncia procedían de un fichero del cual es responsable PRINT, entidad que no ha acreditado el origen de los mismos, esto es, si estos procedían de las fuentes de acceso público citadas, o, en caso contrario, si contaba con el consentimiento de la denunciante para el tratamiento de sus datos personales. La única información facilitada en la tramitación del expediente es manifestar que el origen de los datos utilizados en las acciones publicitarias era personal de diversos partidos políticos, que le vendían el censo electoral, tanto en soporte papel como en soporte CD, así como que esta documentación había sido destruida debido al cese de actividad, cese que no acreditó en el procedimiento. Por su parte, el artículo 46 del RLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  19. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  20. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  21. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso nos encontramos con una campaña publicitaria encargada por SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) a PRINT, esto es, el supuesto contemplado en el citado artículo 46.2 RLOPD, conforme a cuyas reglas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/24 deberá determinarse la entidad responsable del tratamiento de los datos de la denunciante. En este punto debemos acudir a lo establecido en el contrato “Contrato de selección de datos de carácter personal y personalización de documentos publicitarios” suscrito en fecha 17/02/2014 entre SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) (el CLIENTE) y PRINT (el PROVEEDOR), donde se pone de manifiesto lo siguiente: <<… EXPONEN: Primero.- Que PROVEEDOR es una empresa dedicada, entre otras actividades, al diseño de campañas de marketing y la recopilación y selección de datos de carácter personal para su ejecución. Segundo.- Que CLIENTE desea que PROVEEDOR idee y ejecute campañas de marketing directo y prospección comercial para la promoción de sus productos entre el público objetivo que determine PROVEEDOR. Tercero.- Que PROVEEDOR dispone de la experiencia y conocimientos necesarios para la prestación de dichos servicios y, además, es titular de un fichero de datos de carácter personal que puede ser utilizado para la realización de antedichas campañas de marketing directo y prospección comercial. ….. ACUERDAN: Primero.- Objeto del contrato.- Constituye el objeto del presente Contrato la prestación por parte de PROVEEDOR de los siguientes servicios: 1. La recopilación y determinación de criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en las campañas de marketing que PROVEEDOR idee para el CLIENTE. Al llevar a cabo la selección de datos de los destinatarios de la campaña. PROVEEDOR deberá excluir, en todo caso, los datos de aquellas personas que hayan ejercido previamente sus derechos de cancelación u oposición a recibir publicidad en los ficheros de PROVEEDOR. 2. La confrontación de los datos de carácter personal con la Lista Robinson de AGITAL con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. … Segundo. - Garantías.- A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, PROVEEDOR manifiesta que en la ejecución de este contrato:
  22. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/24 en el artículo 3j) de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
  23. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
  24. c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD. Las condiciones establecidas en esta cláusula han sido esenciales en la decisión del CLIENTE de contratar el servicio con PROVEEDOR, a los efectos del cumplimiento de las garantías exigidas por el Reglamento de Desarrollo de la LOPD para la ejecución de campañas de marketing directo con ficheros de tercero.>> En este punto debemos analizar que entidad es la responsable del fichero en donde se encontraban los datos de la denunciante utilizados para el envío publicitario, así como cuál fue la entidad responsable del tratamiento de datos efectuado para realizar el envío de la carta publicitaria y, en su caso la entidad encargada del tratamiento de los datos. Recordar que el art. 3 apartados
  25. d)y
  26. g)de la LOPD define: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” Dispone el art. 5.1.
  27. i)del RLOPD que el encargado del tratamiento es La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Por su parte el art. 5.1.
  28. q)del citado RDLOPD establece que el responsable del fichero o del tratamiento es “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados del tratamiento (art. 43), “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley” concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
  29. d)y 3.g). Por tanto, ambas figuras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/24 están sujetas al régimen sancionador de la LOPD. Analizaremos a continuación la responsabilidad de SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) y PRINT en la infracción del artículo 6.1 de la LOPD que se les imputa. En el presente caso debe considerarse a PRINT responsable de la infracción del artículo 6.1 de la LOPD en atención a su doble condición de: A) responsable del fichero en el que se encontraban los datos del denunciante utilizados para el envío comercial denunciado y que no ha acreditado su origen en fuentes de acceso público, o en su caso, el consentimiento del denunciante para el tratamiento de sus datos con fines publicitarios o comerciales. B) responsable del tratamiento por cuanto el contrato suscrito con SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) se identifica a PRINT como la entidad que determina los criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en las campañas de marketing que ésta idee para SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) Recordar que el artículo 5.1.
  30. q)del RLOPD establece que “el responsable del fichero o del tratamiento es Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. La actuación de SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) debe ser encuadrada en la figura de responsable del tratamiento, y ello por dos razones: A) SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) si bien no efectuó el tratamiento material de los datos del denunciante, si decidió sobre la finalidad, contenido y uso del tratamiento habida cuenta que fue la entidad que encargó a PRINT la campaña publicitaria en la que se enmarca el envío publicitario objeto de denuncia. B) SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) fijó al menos un parámetro identificativo de los destinatarios de la campaña comercial que encargó a PRINT, debido a la elección del lugar en el que se realizó el evento, parámetro básico para la realización material de las campañas publicitarias contratadas. Téngase en cuenta que la publicidad debe ser dirigida a personas que residen en una determinada zona geográfica, lo que determina la variable asociada al público objetivo del que se extraerán los datos personales de los destinatarios individuales de la campaña en función de la segmentación que se determine. Recordemos que fue SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) la entidad que suscribió contrato con el HOTEL en donde se realizó el evento publicitario y abonó la factura correspondiente al servicio prestado por el establecimiento hotelero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/24 En conclusión, SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) decidió sobre la finalidad y el uso de los datos contenidos en el fichero de MSP, lo que le sitúa como responsable del tratamiento de los datos del denunciante de acuerdo con la definición prevista en el artículo 3.
  31. d)de la LOPD, con arreglo a lo que está sujeta al régimen sancionador que determina el artículo 43 de la LOPD al reunir los requisitos subjetivos legalmente exigidos para poder ser sancionada por vulneraciones a lo previsto en dicha norma. Amén de lo cual, dada la naturaleza publicitaria del tratamiento de datos personales analizado, en este caso resulta de aplicación lo previsto en los citados artículos 30.1 de la LOPD y 45.1 del RLOPD. Así, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el artículo 6.1 de la LOPD en su relación con lo previsto en el artículo 30.1 de esa misma norma, y en relación también con su desarrollo reglamentario, el consentimiento inequívoco de los afectados o que sus datos procedan de fuentes de acceso público. En consecuencia cabe concluir que SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) también es responsable de la infracción del artículo 6.1 de la LOPD al ser responsable del tratamiento de los datos del denunciante, materialmente efectuado por PRINT, pero sobre el cual SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) decidió sobre su uso, finalidad y contenido, al encargar la campaña comercial a PRINT y fijar un parámetro identificativo de los destinatarios de la misma; todo ello sin que pudiera acreditar que los datos del denunciante utilizados para el envío publicitario hubieran sido obtenidos de fuentes de acceso público, o con el consentimiento de la denunciante. V El art. 44.3.
  32. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) y PRINT al tratar los datos del denunciante sin su consentimiento, han cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable, a PRINT en su doble condición de responsable del fichero y del tratamiento, y a SISTEMAS MEDICOS PROFESIONALES (actualmente PLENISAN) en su condición de responsable del tratamiento, ya que si bien, no efectuó materialmente el tratamiento de datos del denunciante, si decidió sobre su uso finalidad y contenido al encargar la campaña publicitaria y acotar sus destinatarios a aquellas personas resientes en concreto municipio donde se realizó el evento publicitario, al margen de otros parámetros identificativos de los destinatarios de la campaña fijados por PRINT según el contrato suscrito entre ambas, si bien no se explicitan cuales fueron. VI El artículo 45 apartados 2, 4 y 5 de la LOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/24 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  33. a)El carácter continuado de la infracción.
  34. b)El volumen de los tratamientos efectuados.
  35. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  36. d)El volumen de negocio o actividad del infractor.
  37. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  38. f)El grado de intencionalidad.
  39. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  40. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  41. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  42. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  43. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  44. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  45. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  46. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  47. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/24 mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Asimismo, la sentencia de 21 de enero de 2004 de la Audiencia Nacional ha señalado que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos” (rec. núm. 1939/2001). E incidiendo en este aspecto, la sentencia de la Audiencia Nacional de fecha 20 de noviembre de 2013, respecto a la solitud de aplicación del apartado 5 del artículo 45 de la LOPD, dice que: “Si ello lo relacionamos con que para aminorar Ia sanción, a tenor del apartado 5 del artículo 45 LOPD, deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera “significativa”, concurrencia significativa que no se da en el presente supuesto y que por otra parte, en el mismo apartado 4, se prevé como circunstancia agravante Ia reincidencia, y es un hecho notorio Ia reiteración de conductas infractoras en materia de protección de datos por parte de (…), de todo ello concluimos que el articulo 45.5 LOPD no puede ser aplicado en el caso” (R. núm. 279/011). Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/24 el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. 2. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12 de noviembre de 2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que las entidades hubieran actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrieron en una grave falta de diligencia. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (SSTS de fecha 23 de octubre de 2006 y 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  48. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” 3. Por las medidas adoptadas (apartado 4.i), no se acredita que en los hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/24 concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. En el presente caso no consta que ni SISTEMAS MEDICOA PROFESIONALES (actualmente PLENISAN ni PRINT hayan implantado medidas suficientes para verificar, en forma fehaciente, la licitud del tratamiento efectuado utilizados para desarrollar en beneficio de aquélla campañas de marketing directo, lo que lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de ambas entidades. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave en cualquier caso. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular, la vinculación de la actividad de las entidades infractoras con la realización de tratamientos de datos de carácter personal (apartado 4.c), el grado de intencionalidad (apartado 4.
  49. f)y en relación a las medidas adoptadas (apartado 4.i), procede imponer por ello sendas multas de cuantía próxima al mínimo de 60.000 € a cada entidad por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PLENISAN, S.L. una multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.1 de la misma norma y en relación también con los artículos 45 y 46 del RLOPD; infracción tipificada como grave en el artículo 44.3.
  50. b)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica. SEGUNDO: IMPONER a la entidad PRINT LASER SPAIN, S.L. una multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.1 de la misma norma y en relación también con los artículos 45 y 46 del RLOPD; infracción tipificada como grave en el artículo 44.3.
  51. b)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a PLENISAN, S.L., PRINT LASER SPAIN, S.L. y a D. A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/24 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.