← España

PS-00378-2015

1/16 Procedimiento Nº PS/00378/2015 RESOLUCIÓN: R/02907/2015 En el procedimiento sancionador PS/00378/2015, instruido por la Agencia Española de Protección de Datos a la entidad JAZZ TELECOM, S.A., ORTELEC COMUNICACIONES S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 10 de julio de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<El pasado día 9 de julio a las 18:50, recibí una llamada publicitaria (spam telefónico) en mi línea ***TEL.1 que tengo contratada con la compañía Jazz Telecom, S.A.U desde el número de teléfono ***TEL.2, en la que un comercial de la misma empresa, de la que soy cliente, intentó convencerme de que contratase sus servicios. Dicha llamada no ha sido la única desde el citado número y todo esto se produce además estando inscrito desde el 19/02/20013 a la lista Robinson. Segundo: dicha llamada se ha producido a pesar de que en su día ya manifesté a la empresa mi oposición a que siguiesen contactando conmigo telefónicamente para presentarme ofertas comerciales recibiendo por parte de la empresa Jazz Telecom, S.A.U. la contestación por escrito (adjunto copia del email) en la que se comprometían a la eliminación de mi DNI y número de teléfono para llamadas comerciales.>> Aporta copia de la siguiente documentación: - Correo electrónico de fecha 2 de abril de 2013 remitido desde una cuenta de ...@... con destino a la cuenta ......@gmail.com y con el asunto “JAZZTEL - ENVIO POLITICA RETENCION”. En dicho correo electrónico se manifiesta que: <<se solicita al área comercial la eliminación de su dni y nombre y número de teléfono para llamadas de ofertas comerciales para su comodidad >> Aunque el correo aportado aparece en formato Microsoft Word, contiene un link alternativo, para el caso en el que no se pudiese visualizar en al aplicación cliente de correo electrónico de que disponga el receptor. En dicho link se ha podido comprobar que está disponible una copia del correo electrónico. Con motivo de dicha denuncia se procedió a la apertura de las actuaciones de previas de inspección de referencia E/05078/2013, habiéndose incorporado copia de la documentación de dichas actuaciones a las presentes. Mediante resolución de fecha 8/8/2014 el director de la Agencia acordó la caducidad de las actuaciones, ordenando el inicio de las presentes actuaciones previas de investigación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad JAZZ TELECOM, S.A., ORTELEC COMUNICACIONES S.L., teniendo conocimiento de que: 1 Durante los días 23 de enero, 6 de febrero y 18 de febrero de 2014 se realizaron visitas de inspección a JAZZTEL en el curso de unas actuaciones de oficio con objeto verificar el procedimiento utilizado por la entidad para atender las solicitudes de oposición o cancelación de los datos utilizados por la compañía para la realización de campañas publicitarias a través de llamadas telefónicas. Durante dichas actuaciones los representantes de la entidad informaron a los inspectores actuantes que los procedimientos que las personas interesadas en solicitar la oposición o cancelación de sus datos con fines publicitarios se detalla en la página web de Jazztel ubicada en la dirección www.jazztel.com que incluye el siguiente texto en el apartado “Aviso Legal”: “El usuario podrá revocar su consentimiento para el tratamiento de sus datos con fines promocionales en cualquier momento y, de conformidad con lo previsto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, ejercitar los derechos de acceso, rectificación, cancelación y oposición legalmente previstos en relación con sus Datos dirigiéndose a Jazz Telecom, SAU (Jazztel) Calle (C/........1)(Madrid), en los Teléfonos gratuitos: 1565 (clientes) o 900****** (no clientes), o por Fax 900******1”. Durante la inspección, en presencia de los Inspectores, una de los representantes de JAZZTEL realizó una llamada como cliente de la compañía, en la que manifestó su oposición al tratamiento de sus datos para fines publicitarios, a continuación se accedió a sus datos en el fichero de clientes, comprobando que se han marcado las opciones de no recibir publicidad y que también se incluyen sus datos en la Lista Robinson de JAZZTEL. 2 Mediante la correspondiente diligencia se ha podido comprobar que: a. Se ha accedido al link incluido en el fichero proporcionado por el denunciante conteniendo el correo electrónico recibido del dominio lumata.com, en donde se comprueba que existe una copia de dicho correo en el servidor list.lumata.com Se ha podido comprobar que tanto el dominio lumata.com, como el servidor list.lumata.com, según su dirección IP, están ubicados en Italia. b. Según la información obrante en el DNS, el dominio lumata.com corresponde Lumata Italia Srl, empresa con sede en Italia, y tanto el servidor web como el servidor list.lumata.com están ubicados igualmente en Italia. Dicha empresa tiene sede en España, en (C/........2) Madrid y teléfono ***TEL.1. c. Según la página principal de la web www.lumata.com, dicha entidad se dedica, entre otras actividades, al marketing. 3 En fecha 27 de junio de 2013 se realizó una visita de inspección a JAZZTEL, durante cual los inspectores de la Agencia solicitaron al representante de la entidad que les permitiera el acceso sus sistemas de información, en donde se realizaron las siguientes comprobaciones: a. Se solicita el acceso al sistema de consulta a los datos de tráfico respecto de las llamadas cursadas en fecha 9 de julio de 2013 desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 la línea número ***TEL.2, comprobándose que no parecen llamada alguna que se corresponda a dicha consulta, de forma on-line. Informan los representantes de la entidad que no han aparecido llamadas en dicha consulta porque al tratarse de una gran cuenta la solicitud ha de hacerse a través de una consulta a Dto. de Sistemas. Se solicita a los representantes de la entidad que cursen la solicitud de las llamadas cursadas en fecha 9 de julio de 2013 desde la línea número ***TEL.2, con destino a la línea ***TEL.1. b. Se realiza una consulta respecto de la titularidad de la línea telefónica número ***TEL.2 en fecha 9 de julio de 2013, comprobándose que dicha línea estaba asignada a ORTELEC COMUNICACIONES S.L. con fecha de alta 2/2/2013, no constando fecha de baja. c. Se realiza una consulta respecto de la titularidad de la línea ***TEL.1 comprobándose que dicha línea estuvo asignada a D. A.A.A. con fecha de alta 3/8/2012, continuando activo y siendo facturado periódicamente sin problemas. d. Se consulta el histórico de contactos de D. A.A.A. con la entidad, verificándose que figuran los siguientes contactos: - De fecha 2/4/2013, figurando en el asunto: “SE ESCALA AL TL PARA ELIMINAR DE LA LISTA DE OFERTAS COMERCIALES”. - De fecha 2/4/2013, figurando en el asunto “ENVIO POLITICA RETENCIÓN.” - De fecha 9/7/2013 (19:03), figurando en el asunto “CLIENTE INFORMA QUE ESTABA RECIBIENDO LLAMADAS DE JAZZTEL DEL AREA COMERCIAL, SIENDO CLIENTE. INFORMA QUE SOLICITÓ QUE NO LE LLAMARAN MAS, PERO SIGUE RECIBIENDO LLAMADAS SE ESCALA A SUPERVISOR”. - De fecha 9/7/2013 (19:13), figurando en el asunto “CLIENTE SOLICITA RECLAMAR PORQUE NO QUIERE QUE LE LLEGUEN LLAMADAS DEL AREA COMERCIAL. LE INFORMO QUE MANDE UN FAX CON UNA CARTA SOLCITANDO ESTE SERVICIO AL NUMERO 900******1 DERECHOS ARCO.” - De 18/8/20123, figurando en el asunto “ CL INDICA QUE YA SE ENCUENTRA ACTIVO CON LOS SERVICIOS DE JAZZTEL Y LO SIGUEN LLAMANDO PARA QUE UNA A JAZZTEL, CL INDICA QUE SE ENCUENTRA INCOMODO YA QUE LO LLAMAN TRES VECES AL DIA, CL INDICA QUE SI NO LO DEJAN DE LLAMAR DARA DE BAJA EL SERVICIO PORQUE YA ESTÁ CABREADO. SE LE INDICAN LOS DERECHOS ARCO PERO EL CLIENTE INDICA QUE SI LO LLAMAMOS ES PORQUE TENEMOS TODOS LOS DATOS. CLIENE INFORMA QUE NO ENVIARÁ NINGUNA COPIA DE NIF QUE LE PARECE UN ABUSO.” e. Consultado los derechos ARCO que figuran en la ficha de cliente de D. A.A.A. se verifica que no consta como ejercido ninguno de ellos. Manifiestan los representantes de la entidad que entienden que la petición de oposición realizada por el cliente a través del centro de atención al cliente, al no cumplir con los requisitos formales para el ejercicio del derecho, por lo que se le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 informó que lo ejerciera de conformidad con la normativa de protección de datos. f. Se realiza una consulta respecto de la titularidad de la línea ***TEL.1 comprobándose que dicha línea estuvo asignada a LUMATA SPAIN S.L.U. (en adelante LUMATA). 4 Se muestra a los representantes de la entidad el correo electrónico aportado por el denunciante, manifestando estos que dicho corre indica que se envía la política de retención, que no se corresponde con la respuesta a una solicitud de ejercicio de derechos ARCO y que el departamento no es el competente para el ejercicio de dichos derechos. 5 Solicitados los contratos suscritos con ORTELEC y con LUMATA, se aporta copia del primero, aportando copia de un segundo contrato con BUONGIORNO MARKETING SERVICES SRL (actual LUMATA). 6 La resolución de caducidad del E/05078/2013 fue comunicada a ORTELEC en su sede social mediante escrito con registro de salida de fecha 11/8/2014, siendo recogida dicha resolución en fecha 21/8/2014. 7 Mediante correo electrónico de fecha 30/6/2014 JAZZTEL aporta: a. Copia del resultado de la consulta enviada al Dto. de Sistemas, según la cual en fecha 9/7/2013 (18:51 horas) se cursó por parte de la entidad una llamada desde la línea ***TEL.2 con destino a la línea ***TEL.1 con una duración de 84 segundo. b. Aporta igualmente una copia del fichero proporcionado a ORTELEC. Se comprueba que el fichero contiene 40.000 registros. Realizada una consulta sobre el mismo respecto de la línea número ***TEL.1, se comprueba que dicho número no figura en el fichero. 8 Solicitada a ADIGITAL información referente al denunciante, la entidad informa que éste tenía incluido el teléfono ***TEL.1 en la lista Robinson desde el 19/2/2013 9 Solicitada información a ORTELEC mediante escrito de fecha 26/5/2015 dirigido a la sede social de la entidad, a fecha del presente informe, dicha solicitud no ha sido contestada, la carta no ha sido devuelta ni consta acuse de recibo de la solicitud. TERCERO: Con fecha 29 de junio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a JAZZ TELECOM, S.A. con arreglo a lo dispuesto en el artículo 127 del RDLOPD en por la presunta infracción del artículo 6 de la LOPD en relación con el artículo 49 del RDLOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica y a ORTELEC COMUNICACIONES S.L. con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 6 de la LOPD en relación con el artículo 49 del RDLOPD, tipificada como grave en el artículo 44.3
  2. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, JAZZ TELECOM, formuló alegaciones, significando, que: El número de teléfono ***TEL.1 del denunciante está excluido del tratamiento con fines comerciales de JAZZTEL desde el día 22 de febrero de 2013, tras su inclusión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 en la Lista Robinson de FECEMD (ADIGITAL). Se muestra en la documentación aportada una copia del Sistema de Gestión de Robinson de JAZZTEL en el que constan los datos del interesado marcados desde el día 22 de febrero de 2013 para su exclusión con fines comerciales Documentos contractuales suscritos entre JAZZTEL y ORTELEC En el Anexo 1 al Contrato de Agencia (SERVICIOS ADSL AGENTE TELEMARKETING) suscrito el día 1 de enero de 2013 entre JAZZTEL y ORTELEC, en la Cláusula II establece lo siguiente: EL AGENTE únicamente comercializará los productos respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue, o bases de datos de numeración que ha van sido previamente filtradas y aprobadas por JAZZTEL. Dichas bases de datos podrán utilizarse por el AGENTE durante el mes en el que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el A GENTE no podrá utilizar dichas bases de datos, salvo autorización expresa de JAZZTEL. La totalidad de las bases de datos remitidas a ORTELEC entre los meses de mayo y julio de 2013 constan en esa Agencia en el marco de los siguientes expedientes: - Inspección E/02258/201 3/1-01 - Inspección E/05078/2013/I-01 Como puede constatarse en dichas pruebas aportadas a esa Agencia, las bases de datos entrenadas por JAZZTEL a ORTELEC en el período de mayo a julio de 2013 no contenían el número de teléfono ***TEL.1 del denunciante. En base a los hechos y pruebas aportadas al presente expediente, cabe concluir lo siguiente: - Las Bases de Datos facilitadas por JAZZTEL a ORTELEC no incluían el teléfono del denunciante. - ORTELEC incumplió el procedimiento establecido por JAZZTEL en el Anexo firmado entre ambas entidades para la utilización de bases de datos en campañas comerciales. El único responsable es ORTELEC puesto que actuó por su cuenta y riesgo y al margen de las instrucciones de JAZZTEL, que aplicó toda la diligencia debida y no decidió realizar la llamada al denunciante, ni incluyó el teléfono de éste entre el colectivo de personas a las que ORTELEC debía realizar llamadas, puesto que el teléfono de éste no figuraba en las bases de datos proporcionadas por JAZZTEL a ORTELEC. El responsable del tratamiento no puede ser sancionado siempre por la conducta de sus encargados del tratamiento, sino únicamente cuando no haya aplicado la diligencia debida para garantizar el cumplimiento de la normativa de protección de datos por parte de sus encargados. En caso contrario, se instauraría un sistema de responsabilidad objetiva proscrito en los principios que han de regir la potestad sancionadora y contrario a la jurisprudencia del Tribunal Supremo que exige la existencia de dolo o culpa en la conducta constitutiva de infracción administrativa. Resulta meridiano, por tanto, que en este caso concreto no concurre el criterio establecido por la Audiencia Nacional (SAN 13/04/2005, SAN 17/05/2013) para atribuir la responsabilidad “también” al Responsable del Fichero, puesto que JAZZTEL actuó con la diligencia debida, cumpliendo con las obligaciones impuestas en la normativa de protección de datos e introduciendo todas las cautelas y controles necesarios para que su encargado del tratamiento (ORTELEC) no realizase una llamada comercial al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 A pesar de todo ello, ORTELEC decidió, por su cuenta y riesgo, realizar una llamada comercial al denunciante, alejándose del encargo del tratamiento de JAZZTEL, incumpliendo las instrucciones de ésta. De conformidad con la propia doctrina de esa Agencia, no ha de ser JAZZTEL sino su encargado del tratamiento el que responda, exclusivamente, de la posible infracción en que hubiera podido incurrir como consecuencia de la llamada telefónica al denunciante, de conformidad con lo dispuesto en el artículo 12.4 LOPD y 20.3 RLOPD, y de acuerdo con los pronunciamientos emitidos por esa Agencia en diversas Resoluciones en los que, frente a casos y circunstancias similares, se atribuyó la responsabilidad únicamente al Encargado del Tratamiento. Además de dicha doctrina de la AEPD, debemos destacar la reciente SENTENCIA de la AUDIENCIA NACIONAL en la que SE ESTIMA el Recurso Contencioso-Administrativo (PO77/20 14) interpuesto por mi representada, JAZZ TELECOM, SA contra la resolución del Director de la AEPD dictada en el PS/00232/2013. Se trataba de en un caso similar al presente, con idénticos hechos, en el que se impuso a JAZZTEL una sanción por incumplimiento del art. 6 LOPD por la realización de llamadas comerciales a un cliente de esta compañía, cuando JAZZTEL no había facilitado a sus distribuidores el número de teléfono de dicho cliente. Pues bien, en dicha Sentencia la Audiencia Nacional anula la sanción de CINCUENTA MIL UN EUROS (50.0001€) impuesta por la AEPD a JAZZTEL, con imposición de costas a la AEPD, por cuanto JAZZTEL adoptó las medidas adecuadas y actuó con la diligencia debida al enviar a sus encargados de tratamiento unas bases de datos para la realización de la campaña comercial en las que no se incluía el número de teléfono del denunciante, sin que hubiera autorizado por escrito a dichos distribuidores, como se exigía en los anexos a los contratos suscritos, el uso de otras bases distintas, quienes actuaron por su cuenta y riesgo y al margen de las instrucciones de JAZZTEL. Indica, además, la Audiencia Nacional que no obsta, como así señalaba la AEPD, el término “también” que utiliza el artículo 12.4 LOPD, ya que hay que estar a las circunstancias del caso concreto para determinar la responsabilidad en que se haya podido incurrir tanto por el responsable del fichero, como por el encargado del tratamiento o por ambos, sin que resulte extrapolable el criterio expuesto en la sentencia de la AN (Rec. 280/2005) referida a un supuesto con peculiaridades propias que no son extrapolables al presente. Solicitan se aplique la amplia y reiterada doctrina de esa Agencia y de la Audiencia Nacional y se exonere de responsabilidad a JAZZTEL en relación con la conducta de su encargado de tratamiento, procediendo al ARCHIVO DE ACTUACIONES y a la imposición de una sanción únicamente al responsable y culpable de la conducta infractora, la entidad ORTELEC. QUINTO: En fechas de 8 y 13 de julio de 2015 se intentó la notificación del citado Acuerdo de Iniciación, en el domicilio de ORTELEC COMUNICACIONES S.L. que consta en el Registro Mercantil Central, dicha notificación tuvo como resultado Ausente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 en reparto:  En fecha de 04/08/2015 la notificación el Acuerdo de Inicio se publicó en el B.O.E núm. 185 Suplemento de Notificaciones Pág. 1 SEXTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas por parte de ORTELEC COMUNICACIONES S.L, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. SEPTIMO: Con fecha 10/08/2015 se inició el período de práctica de pruebas, en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante JAZZ TELECOM, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04808/2014 y las alegaciones al acuerdo de inicio PS/00378/2015 presentadas por JAZZ TELECOM, S.A., y la documentación que a ellas acompaña. OCTAVO: En fecha de 11/08/2015 se incorporó como prueba documental la impresión de pantalla de la consulta en el repertorio de abonados a servicios telefónicos utilizando como criterios de búsqueda los datos personales del denunciante y el resultado de la búsqueda en Google del número ***TEL.2 y ORTELEC COMUNICACIONES. NOVENO: En fecha de 16/10/2015 el Instructor del Procedimiento emitió Propuesta de Resolución solicitando el archivo en relación con JAZZ TELECOM S.A. y la imposición de una sanción a ORTELEC COMUNICACIONES, S.L. por la vulneración del art. 6 de la LOPD. DECIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- Los datos personales del denunciante constan asociados a un servicio de JAZZTEL desde el 03/08/2012 (folio 26), la captura de pantalla que muestra esta información es de fecha 07/06/2014 y en el campo relativo a INFORMACION DE GESTION Y OPERATIVA (No recibir comunicaciones, No recibir llamadas, No recibir comunicaciones electrónicas (e-mail y SMS) No recibir comunicaciones postales), no consta ninguna marca, no consta activada ninguna casilla. DOS.- Los datos personales del denunciante constan en el servicio de Listas Robinson de AIDIGITAL desde el 19/02/2013 (Folio 123) y en los sistemas de JAZZTEL según escrito aportado en el presente procedimiento sancionador consta los campos que a continuación se citan con las marcas correspondientes FECEMD: SI-22/02/2013 y LISTA_ROBINSON: SI-27/02/2013 (Folio 145). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 TRES.- JAZZTEL y ORTELEC firmaron un contrato de Agencia de fecha 01/08/2009 en virtud del cual ésta promocionara los servicios de aquella. (Folios 29 y siguientes). En la cláusula 12 PROTECCION DE DATOS DE CARÁCTER PERSONAL en el punto 5 consta lo siguiente: (folio 36 y 37) (…)EL AGENTE acuerda cumplir en todo momento con lo dispuesto en la Ley Orgánica de Protección de Datos así como lo dispuesto en la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico y resto de normativa aplicable para el envío de comunicaciones comerciales. EL AGENTE será responsable del uso en la prestación de los servicios relacionados en el presente contrato, de aquellos datos personales a los que haya tenido acceso a través de otras fuentes distintas a JAZZTEL. EL AGENTE se compromete a no utilizar los datos de carácter personal que haya podido tener acceso con otra finalidad distinta a la de dar cumplimiento a lo dispuesto en las actividades a desarrollar en el contrato. (…) CUATRO.- En fecha de 02/04/2013 el denunciante se opuso frente a JAZZTEL a que sus datos fueran objeto de tratamiento para finalidades comerciales (Folio 4) CINCO.- En fecha de 09/07/2013, el denunciante recibe una llamada de prospección comercial de productos de JAZZTEL a través del número ***TEL.2 que lo utiliza ORTELEC COMUNICACIONES. SEIS.- En el Anexo de fecha 1/01/2013 al contrato de Agencia entre JAZZTEL y ORTELEC consta: (…) EL AGENTE únicamente comercializara los productos respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue (…) (Folio 152) En la base de datos remitida en el mes de julio de 2013 por JAZZTEL a ORTELEC de los destinatarios de las acciones comerciales no constaban los datos personales del denunciante (Folio 88 y 146). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 y 2 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 30 de la LOPD dispone lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” Dispone el artículo 43.1 de la LOPD que: Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. III En el presente caso han participado en el tratamiento de los datos personales del denunciante JAZZTEL y ORTELEC por lo que procede abordar el análisis de su estatus jurídico. Dispone el art. 3
  4. d)que es Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. Dispone el art. 3.
  5. g)de la LOPD, que es Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. De acuerdo con lo expuesto JAZZTEL ha de considerarse responsable del tratamiento, pues decidió la realización de la campaña y delimito su ámbito y ORTELEC encargado de tratamiento. Asimismo en el art. 12 de la LOPD se establece la posibilidad de comunicación de datos a un encargado de tratamiento para la prestación de determinados servicios, debiendo tener en cuenta que consta en el expediente el contrato de fecha 01/08/2009 y el Anexo del año 2010, donde se regulan las obligaciones de ambos y el Anexo de fecha 1/01/2013 al contrato de Agencia entre JAZZTEL y ORTELEC, que serán los parámetros para analizar la responsabilidad y culpabilidad de ambas entidades en el tratamiento de los datos del denunciante. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Por su parte, el Reglamento de desarrollo de la LOPD, aprobado por el R.D. 1720/2007 (RLOPD) dedica el Título III, artículos 23 a 36, a los Derechos de acceso, rectificación, cancelación y oposición, y establece en el artículo 24.4, a propósito de las condiciones generales a las que debe ajustarse el ejercicio de estos derechos: “4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos.” Es de aplicación el citado precepto al caso analizado en la medida en que el denunciante se dirigió a JAZZTEL para ejercer su derecho de oposición al tratamiento de sus datos con fines comerciales y dicha entidad requirió la subsanación de la solicitud. V En el presente caso, de la documentación que obra en el expediente consta acreditado que JAZZTEL suscribió con la mercantil ORTELEC el 01/08/2009, un contrato de Agencia para la comercialización de sus productos. Una copia del citado contrato y del Anexo firmado en 2010 relativo a los protocolos de actuación en materia de protección de datos obran en el expediente así como el Anexo de fecha 1/01/2013 al contrato de Agencia entre JAZZTEL y ORTELEC aportado en las alegaciones formuladas al Acuerdo de Inicio. Resulta acreditado, asimismo, a la vista de la documentación recabada durante la Inspección, que el 09/07/2013 se cursó una llamada telefónica desde el número ***TEL.2 al número del que el denunciante es titular, a las 18:51:09 horas y con una duración de 84 segundos. Por otra parte, la inspección practicada en la sede de Jazztel permitió acceder al Histórico de contactos que el denunciante mantuvo con la operadora denunciada y comprobar que existen registros de dos contactos entre ambos en fecha 02/04/2013. Uno de éstos incorpora la siguiente anotación: “SE ESCALA A TL PARA ELIMINAR DE LA LISTA DE OFERTAS COMERCIALES”. (El subrayado es de la AEPD) De esa misma fecha, 02/04/2013, es también el correo electrónico que el denunciante dice haber recibido de JAZZTEL confirmándole que se atendía su solicitud de oposición telefónica al tratamiento de sus datos con fines comerciales. En el correo electrónico, cuya copia el denunciante ha aportado, JAZZTEL le informa de que “Se solicita al área comercial la eliminación de su dni y nombre y número de teléfono para llamadas ofertas comerciales para su comodidad”. Asimismo, destacar que los datos del denunciante se encontraban registrados desde el 19/02/2013 en el fichero de exclusión publicitaria denominado “Servicio Lista Robinson” de AIDIGITAL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Finalmente, es de destacar que en el Anexo de fecha 1/01/2013 al contrato de Agencia entre JAZZTEL y ORTELEC consta: (…) EL AGENTE únicamente comercializara los productos respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue (…) (Folio 152) En la base de datos remitida en el mes de julio de 2013 por JAZZTEL a ORTELEC de los destinatarios de las acciones comerciales no constaban los datos personales del denunciante (Folio 88 y 146). VI De lo expuesto se extraen las siguientes conclusiones: Respecto del derecho de oposición realizado por el denunciante y la conducta de JAZZTEL: JAZZTEL manifiesta en sus alegaciones formuladas al acuerdo de inicio, en fecha de 23/07/2015 que los datos del denunciante constan marcados desde el día 2/02/2013 para su exclusión con fines comerciales y aporta una captura de pantalla de sus sistemas ( Folio 144 y 145), sin embargo en el folio 26 que hace referencia a la captura de pantalla de los sistemas de JAZZTEL ( CRM) obtenido durante la visita de Inspección en la sede de JAZZTEL, consta la ficha del denunciante y nada consta en los campos relativos a las marcas para excluir los datos del denunciante en acciones comerciales, por lo que de ser cierto la afirmación de que desde dicha fecha están excluidos dichos datos, en la captura de pantalla de fecha 27/06/2014 debería aparecer. Asimismo JAZZTEL debió incluir en su propio fichero Lista Robinson (art. 48 RDLOPD) en fecha de 02/04/2013, sin requerirle otra formalidad o subsanación de acuerdo con el art. 24.4 RDLOPD. No obstante lo anterior dicha circunstancia no tiene relevancia ni virtualidad en el resultado producido, pues debe tenerse en cuenta que los datos del denunciante NO constaban en el fichero enviado a ORTELEC para la realización de las llamadas. Respecto de la responsabilidad y diligencia desplegada de JAZZTEL en el tratamiento de los datos del denunciante: JAZZTEL incluye en la documentación que recoge el “encargo” a ORTELEC medidas que de cumplirse hubieran evitado los hechos producidos. En el Anexo de 1/01/2013 se prohíbe la utilización de bases de datos distintas a las entregadas por JAZZTEL por parte del ORTELEC, y teniendo en cuenta que no constaban los datos del denunciante en el fichero entregado en el mes de Julio de 2013 al AGENTE, de haberse cumplido tal previsión, los datos del denunciante no hubieran sido objeto del tratamiento. Asimismo incluye la cláusula que dice: (…) EL AGENTE acuerda cumplir en todo momento con lo dispuesto en la Ley Orgánica de Protección de Datos así como lo dispuesto en la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico y resto de normativa aplicable para el envío de comunicaciones comerciales. (…) y que si bien el cumplimiento de la ley y normas de desarrollo es una obligación con independencia de que así conste en un contrato, a la hora de analizar la diligencia y responsabilidad de cada actor, puede determinarse por parte de quien se ha procedido a incumplir las obligaciones impuestas por la normativa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 No obstante lo anterior y sin perjuicio de que en la citada cláusula consta la “coletilla” (…)y resto de normativa aplicable para el envío de comunicaciones comerciales (…) donde debe entenderse incluido el RDLOPD y en concreto el Capítulo II “Tratamientos para actividades de publicidad y prospección comercial” del Título IV, se echa en falta en la documentación que regula la relación entre JAZZTEL y su AGENTE (Contrato y Anexos), la inclusión de la de la obligación especifica de consulta del fichero de exclusión de AIDIGITAL Lista Robinson, donde figuraban los datos personales del denunciante de acuerdo con lo dispuesto en el art. 49.4 del RDLOPD, sin perjuicio de que con posterioridad en el Acta de Inspección E/3116/2013-I/2 en el punto 3 se informe que tal previsión de consulta a Lista Robinson de AIDIGITAL se ha incluido en el protocolo de ejecución de los contratos con sus AGENTES. Respecto de ORTELEC, hay que señalar que no ha acreditado que tuviera el consentimiento del denunciante o que se diera algún supuesto previsto en el art. 6.2 LOPD que lo dispensa, debiendo recordar que tampoco constan los datos de este en el repertorio de abonados a servicios telefónicos como fuente accesible al público. Asimismo le es de plena aplicación lo dispuesto en el art. 49.4 RDLOPD, con independencia de su no inclusión en el contrato con JAZZTEL, en la medida en que va a hacer una acción publicitaria cuyo destinatario no es su cliente y su inobservancia conlleva a la infracción del art. 6 de la LOPD que requiere el consentimiento del afectado para el tratamiento de sus datos. En conclusión, a quien realiza el tratamiento, le compete guardar prueba de que cuenta con el consentimiento del afectado , así tal como se recoge ut supra la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” VII JAZZTEL alega en su descargo que ORTELEC ha incumplido las indicaciones dadas en la medida en que los datos personales del denunciante no constaban en la última remisión del fichero de destinatarios de potenciales clientes y por ello debe ser exonerado de responsabilidad. En este sentido debe recordarse que el art. 12.4 LOPD establece que: 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” Sobre este particular decir que interpreta el art. 12.4 de la LOPD la sentencia de 14/03/2007 Recurso 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec.241/2003, establece que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <<…será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente…>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Por lo que el término “también” que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del tratamiento no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento, que incumpla lo estipulado, se le atribuya “también” la consideración de responsable del tratamiento, para ello es necesario analizar elementos que acrediten la ausencia total de culpabilidad. En el presente, no consta acreditada conducta típica y antijurídica por parte de JAZZTEL, ni por tanto el elemento subjetivo de la culpabilidad, pues no puede responsabilizarse de actuaciones que al margen de lo estipulado, realice ORTELEC por su cuenta, debiendo recordarse que según el Anexo de 2013, no podía realizar llamadas a aquellas personas que no estuvieran en las bases de datos remitidas por aquella. Todo ello de acuerdo con la reciente Sentencia de la Audiencia Nacional recaída en el Recurso 77/2014 de 28/04/2015: (….)Ahora bien, como señala la STS de 26 de abril de 2005 (Rec. 217/2004) dictada en un recurso para unificación de doctrina en esta materia de publicidad, “bajo ningún concepto puede sostenerse, como entiende la Agencia de protección de Datos, que por el mero hecho de ser responsable del tratamiento la entidad haya cometido la infracción imputada del art. 44.3.
  6. d)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con el art. 3.
  7. d)y 6.1 de la misma Ley. Para la existencia de infracción, como ocurre también con el delito, se precisa de dos títulos de exigencia o reproche: el del dolo y el de la culpa. Elementos que habrá de concurrir en cada caso para que a una conducta pueda hacerse una imputación de esta naturaleza”. En el caso de autos y a tenor de las circunstancias específicas expuestas no cabe apreciar la concurrencia del requisito de la culpabilidad en la actuación de Jazztel, necesario para poder imputarle la infracción del artículo 44.3.
  8. b)de la LOPD, por cuanto dicha entidad adoptó las medidas adecuadas y actuó con la diligencia debida, al enviar a sus encargados de tratamiento unas bases de datos para la realización de la campaña comercial en las que no se incluía el número del teléfono del denunciante, sin que hubiera autorizado por escrito a dichos distribuidores, como se exigía en los anexos a los contratos suscritos, el uso de otras bases distintas, quienes actuaron en ese sentido por su cuenta y riesgo y al margen de las instrucciones establecidas en los citados Anexos. Por tanto, y con independencia de la responsabilidad en que, en su caso, hayan podido incurrir los citados distribuidores, que no nos corresponde enjuiciar en el presente procedimiento, no cabe apreciar en el concreto caso que nos ocupa la existencia de culpabilidad en la actuación de la entidad recurrente, por lo que no puede imputársele o ser sancionada ex articulo 130 LRJPAC por vulneración del principio del consentimiento. A lo expuesto no obsta, como señala la AEPD, el término también” que utiliza el artículo 12.4 de la LOPD, ya que hay que estar a las circunstancias del caso concreto para determinar la responsabilidad en que se haya podido incurrir tanto por el responsable del fichero, como por el encargado del tratamiento o por ambos, (….) VIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 El art. 44.3.
  9. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente se ha acreditado que es responsable de la conducta típica y antijurídica ORTELEC, al tratar los datos de la denunciante sin su consentimiento. IX El artículo 45 apartados 2, 4 y 5 de la LOPD establece lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» En relación con las previstas en el art. 45.5 de la LOPD, se dan en el caso analizado los supuestos referidos en el apartado 5.
  25. a)en relación con los supuestos previstos en las letras
  26. e)y
  27. h)del art. 45.4 LOPD y se impondrá la sanción dentro de la cuantía de las infracciones leves. Ahora bien y de acuerdo con los criterios previstos en el art. 45.4 de la LOPD, debe tenerse en cuenta los apartados c),
  28. f)y
  29. g)que operan como circunstancia agravante y determinan la imposición de la sanción en la cuantía de 20.000 euros. En cuanto al apartado
  30. c)y La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal
  31. f)el grado de intencionalidad, ambos relacionados con la diligencia prestada, cuyo parámetro es la profesionalidad del presunto infracción, debe recordarse que ha sido analizada en multitud de sentencias de la Audiencia Nacional, sirva citar la recaída en el Recurso 104/2006 señala que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”. En el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que “así es, no se aprecia la disminución de la culpabilidad del sancionado o de la antijuridicidad del hecho, pues la naturaleza de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentalesart. 18.4 CE-.” (El subrayado es de la Agencia Española de Protección de Datos). En el caso analizado ORTELEC COMUNICACIONES está en continuo contacto con el tratamiento de datos de carácter personal pues precisamente las acciones de marketing y el uso de bases de datos de carácter personal son buena parte del objeto de su negocio, por lo que ha de mostrar un celo y rigor que no ha empleado en el tratamiento de datos acreditado, lo que aumenta el desvalor de la acción típica y le hace merecedora de un mayor reproche sancionador. En cuanto a lo dispuesto en el apartado
  32. g)en la reincidencia en la comisión de infracciones de la misma naturaleza, debe señalarse que mediante Resolución R/02586/2013 ORTELEC COMUNICACIONES fue objeto de sanción por hechos similares a los aquí valorados, por lo que también concurre esta circunstancia agravante. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORTELEC COMUNICACIONES S.L., por una infracción del artículo 6 de la LOPD, tipificada como GRAVE en el artículo 44.3
  33. d)de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 LOPD, una multa de 20.000 € ( veinte mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: ARCHIVAR EL PROCEDIMIENTO a JAZZ TELECOM, S.A. TERCERO: NOTIFICAR la presente resolución a JAZZ TELECOM, S.A., ORTELEC COMUNICACIONES S.L., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.