PS-00381-2016

1/58 Procedimiento Nº PS/00381/2016 RESOLUCIÓN: R/00012/2017 En el procedimiento sancionador PS/00381/2016, instruido por la Agencia Española de Protección de Datos a las entidades MACOALBA CONSULTING, S.L., MACRO SELECT PRINT, S.L. y MEYDIS S.L., vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18 de agosto de 2015 tiene entrada en esta Agencia un escrito de Dña. A.A.A., en lo sucesivo la denunciante, manifestando: <<Que días atrás recibí en mi domicilio una carta en la cual me invitaban a asistir a la presentación de unos productos, siendo la empresa remitente de dicha invitación HOGAR Y DESCANSO, con dirección en el apartado de correos n° **, -Madrid. Que en dicha invitación y para poder recoger un regalo que entregan por asistir a la reunión, debo rellenar en el impreso de la invitación dos campos, uno destinado a mí y otro a mi acompañante, consignando el número de DNI, teléfono y fecha de nacimiento de ambos. Que como quiera que yo no le he facilitado mis datos personales a dicha mercantil, ni tampoco les he autorizado para el tratamiento de los mismos y no observo en dicha publicidad la cláusula informativa para la recogida de mis datos personales, pongo estos hechos en conocimiento de esa Agencia Española de Protección de Datos, solicitando su intervención por si se hubiese vulnerado la LOPD.>> La denunciante aporta copia del envío citado, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convoca a la denunciante a una demostración comercial a realizar en el HOTEL BIENESTAR ***LOCALIDAD.1 (en adelante el HOTEL) el día 20 de julio de 2015. El documento exhibe el logotipo "HOGAR Y DESCANSO", no apareciendo identificación de la entidad a la que corresponde dicha marca ni relativa al origen de los datos utilizados para la campaña publicitaria. SEGUNDO: A la vista de los hechos denunciados, se inician actuaciones previas de inspección a raíz delas cuales se tiene conocimiento de los siguientes hechos: 1. De la información y documentación aportada por el HOTEL se desprende que con fechas 23 y 30 de junio de 2015 fueron remitidos al HOTEL dos correos electrónicos desde la cuenta ...1@hogardescanso.com relacionados con la reserva en nombre de HOGAR Y DESCANSO de un salón, en principio para el día 13 de julio de 2015 que posteriormente se sustituyó por el día 20 de julio, según se desprende de dichos envíos, a los que se adjuntaba los datos fiscales de MACOALBA CONSULTING S.L., en adelante MACOALBA, para la factura proforma. 2. Con fecha 12/6/2014 fue escriturada de constitución notarial de la mercantil MSP. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/58 3. Con fecha 12/6/2014 se suscribe contrato en virtud del cual proveerá a MACRO SELECT PRINT S.L. , en lo sucesivo MSP, servicios: MEYDIS, S.L. los siguientes <<1. Impresión y envío de las cartas que incluyan las comunicaciones descritas en el expositivo primero de este contrato. Dichos servicios consistirán en cada campana que se lleve a cabo en lo siguiente: a. Recepción del modelo de carta publicitaria que se deba utilizar en la campaña. b. Recepción de un fichero generado por EL CLIENTE con los datos de nombre, apellidos y domicilio postal completo de las personas a las que deba hacerse el envío de la comunicación. Para la transmisión a MEYDIS del modelo y los ficheros mencionados en las dos letras anteriores, podrán utilizarse los siguientes sistemas, a elección del CLIENTE: entrega a través de un ftp, entrega a través de servicios de alojamiento cloud, servicios de mensajería, etc.). c. Impresión de dichos datos en las cartas a enviar. d. Doblado, ensobrado y franqueo de las cartas. e. Depósito de las cartas en el correspondiente operador postal para su envío. II. Adicionalmente, puesto que el CLIENTE carece de infraestructura suficiente para ello, podrá solicitar a MEYDIS que desempeñe funciones de intermediación en la gestión de las relaciones entre EL CLIENTE y los Clientes Finales, de modo que las peticiones de servicio u otras comunicaciones dirigidas desde estos al CLIENTE se hagan utilizando a MEYDIS como canal. En estos casos, MEYDIS se limitará a trasladar al CLIENTE la comunicación que reciba del Cliente Final.>> 4. De la información y documentación aportada por Correos respecto del apartado de correos número 61012 de Madrid se desprende: a. Mediante contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual del apartado de correos citado, el domicilio aportado fue en la calle (C/...1) nº 18, 8, 14 - Madrid. Aportaban igualmente como teléfono de contacto del administrador el número de línea móvil ***TEL.1. b. Junto a la documentación se incluye copia del DNI del administrador de la entidad, en el que figura como domicilio la calle (C/...2) 26, PBJ IZ de Madrid. c. C/ Jorge Juan, 6 28001 – Madrid Aporta igualmente Correos copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014. En dicha escritura figura D. B.B.B., en adelante B.B.B., quien crea la misma actuando en su propio nombre, suscribiendo la totalidad de las acciones emitidas de dicha sociedad constituyéndose como socio único y administrador de la misma. En dicha escritura B.B.B. cita como domicilio propio la calle (C/...1), 8 de Madrid, que coincide con la sede social de la entidad constituida. www.agpd.es sedeagpd.gob.es 3/58 d. Aparecen como autorizados a retirar la correspondencia del apartado de correos de MSP dos personas que, de la información aportada por la Tesorería General de la Seguridad Social, trabajan para MEYDIS. 5. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle C/ (C/...1) 8, 8º 14 de Madrid, sede social de MSP llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono ***TEL.1, teléfono conocido del administrador único de la entidad, que no es contestada. - A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el interior. Durante la espera se realiza una nueva llamada al número de teléfono ***TEL.1, que no es contestada. - Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo B.B.B. administrador de MSP. Pese a ser el domicilio conocido de MSP no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. - Se intenta acceder a la calle (C/...1) 18, pero se observa que no existe dicho número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/...1) 8 que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle (C/...2), 26, PBJ IZ, y tras llamar a dicho domicilio, atiende una persona …, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a B.B.B.. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee B.B.B. … EIRA indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con B.B.B., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>>. Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/58 profesionales, solicitan ponerse en contacto con B.B.B., la persona que les atiende, que se identifica como D. C.C.C., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a B.B.B. que se ponga en contacto con el mismo. El gerente de ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. 6. Mediante escrito con fecha 28 de octubre de 2015 el administrador de MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> 7. Se ha solicitado al administrador de MSP que informe de la dirección efectiva de administración y gestión de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. Mediante escrito de fecha 19/5/2016 se remitió una carta a la dirección postal del administrador de MSP. Se realizaron dos intentos de entrega por Correos, en fechas 23 y 30/5/2016, resultando finalmente devuelta la carta como “caducada”. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/58 8. Según consta en las actuaciones previas de inspección de referencia E/03693/2015, de la que se ha abierto el procedimiento sancionador de referencia PS/00124/2016, una exempleada de HOME XXI informa, entre otros extremos: a. Fecha en que comenzó la relación comercial de HOME XXI con MSP. <<La relación comercial entre HOME XXI y MSP comenzó en julio de 2014 ya que anteriormente la empresa MSP tenía otras razones sociales, detalló a continuación las que recuerdo: -Megadis -Mega Data integral services>> Megadis y Mega Data Integral Services son la misma empresa. b. Respecto de las comunicaciones con MSP: <<La forma de comunicación era vía telefónica y sobre todo vía email. En los inicios la persona de contacto era Rosa (no recuerdo el apellido) luego asignaron a D.D.D. (se ha jubilado) y posteriormente tratábamos todo con: -E.E.E. (E.E.E.@meydis.com) -F.F.F. (F.F.F.@meydis.com) -G.G.G. (G.G.G.@meyiscom) Estas personas son las que trabajábamos el día a día, luego con otras personas se trataban otros temas, que normalmente se encargaba directamente el gerente o director ejecutivo de la compañía: -H.H.H. (H.H.H.@meydis.com, H.H.H.@meydis.com) -I.I.I. (I.I.I.@meydis.com) -J.J.J. (J.J.J.@meydis.com) -macro select print (macroselectprint@.....) EI teléfono donde nos comunicábamos es el ***TEL.2>> Se ha podido comprobar que este teléfono es de MEYDIS. 9. Según consta en las actuaciones de inspección de referencia I/00005/2015/I-01 (PS/00435/2015, PS/00436/2015, PS/00536/2015 y PS/00568/2015) a una solicitud de datos realizada por el inspeccionado para presentar un documento ante esta Agencia como aportado por MSP, fue respondida mediante un correo electrónico procedente de la cuenta J.J.J.@meydis.com con copia para la cuenta H.H.H.@meydis.com. 10. De la información aportada por la Tesorería General de la Seguridad Social consta que la única empleada de MSP ha sido K.K.K., quien anteriormente trabajó para MEGA DATA INTEGRAL SERVICES SL (Megadis) y para DATA INTEGRAL ACTION SL, empresas reiteradamente sancionadas por esta Agencia con motivo de denuncias similares a la actual. El administrador de estas dos últimas empresas también lo ha sido de TODO DATA INTEGRAL SERVICES, SL, igualmente sancionada por esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/58 11. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. 12. Solicitada información al BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en lo sucesivo BBVA, respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos a MSP, se ha podido comprobar que entre el 10/9/2015 y el 02/02/2016 se han realizado un total de 20 accesos desde la dirección IP ***IP.1, que está asignada a MEYDIS. 13. La Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda FNMT, en lo sucesivo FNMT, ha informado que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección IP ***IP.1. Dicha IP está asignada a MEYDIS. 14. En fecha 11/1/2016, fue realizada una visita de inspección a MEYDIS, de referencia E/02253/2015/I-01. Los inspectores de la Agencia solicitaron al representante de MEYDIS S.L. que les permitiese el acceso sus sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Solicitado un acceso al servicio FTP del cual obtienen los ficheros proporcionados por MSP para la elaboración de las campañas y tras realizar un intento de acceso al servicio, se comprueba que no existen ficheros alojados en el mismo. Se comprueba que la dirección del servidor es ***IP.2. Realizada la búsqueda de dicha IP en el servicio WHOIS se comprueba que está asignada a un prestador de servicio ubicado en EEUU. Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es menor de 1 milisegundo. Los representantes de la entidad manifiestan que dicho servidor pertenece a MEYDIS, que proporciona un FTP a algunos clientes para que puedan enviar los ficheros de ejecución de las campañas. Solicitado el acceso al directorio real al que se asocia el servicio FTP del usuario MACRO, se comprueba que dicho directorio está vacío. Solicitado el acceso al registro de actividad del servicio FTP se comprueba que únicamente se guarda registro de los accesos de mismo día de la inspección. Informa un miembro de sistemas que esto es debido a que acaban de instalar un antivirus y que se ha estropeado la configuración del sistema perdiéndose los datos de los registros de acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/58 Aclaración respecto de los tipos direcciones IP’s y sus usos: Las direcciones IP pueden clasificarse según su accesibilidad en públicas o privadas. Las direcciones IP públicas son gestionadas por organizaciones internacionales que a través de agentes las asignan a distintos operadores, prestadores de servicios de acceso a Internet y organizaciones. Estas direcciones sirven para identificar unívocamente un dispositivo en Internet y su asignación, estática o dinámica, la decide el operador, prestador de acceso u organización que la tiene asignada. Las direcciones IP privadas son un subconjunto del rango total de direcciones IP que pueden ser utilizadas dentro de las redes internas (Intranet) de cualquier hogar, empresa u organización. Dichas direcciones son únicas dentro de la red interna, y así identifican a un dispositivo dentro de la red, pero pueden repetirse a través de distintas organizaciones. La utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna. En el caso de las presentes actuaciones, la dirección IP ***IP.2 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica, pero a través de la dirección ***IP.2, el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde Internet. Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.2, no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada. Por tanto, a través de la dirección IP ***IP.2 únicamente se puede tener acceso desde la red interna de MEYDIS sin que se hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP sería únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS. b. Se realiza una búsqueda en el correo electrónico de uno de los administradores de sistemas de MEYDIS utilizando como criterio de búsqueda “MACRO”. Se encuentran varios correos de los que se recaban únicamente los que se consideran de interés: - Correo electrónico de fecha 31/6/2014 mediante el cual se reenvía otro correo del día anterior en el que la asesora jurídica de Multigestión Iberia SL envía a diferentes direcciones de correo de MEYDIS copia de un contrato por el que informa del su cambio de razón social, que pasa a Multigestión Iberia 2014 SL y que debe firmar MSP. Manifiestan los representantes de MEYDIS que en realidad dicho contrato se lo envían para que sea remitido a MSP ya que, en ocasiones, canalizan las comunicaciones con dicha entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/58 Solicitada copia del correo mediante el cual se remitía a MSP dicho documento, los representantes de MEYDIS manifiestan que las relaciones con MSP las lleva directamente el presidente de la entidad. Solicitado al abogado de la entidad el motivo por el que él modifica el contrato, manifiesta que no recordar el motivo por el que lo haría. Examinado dicho correo, se observa que contiene múltiples reenvíos: o El 30/7/2014 una persona de Multigestión Iberia SL comunica al abogado de MEYDIS: <<… aquí tienes una nueva versión del contrato, mas simplificada.>> o El mismo día el abogado de MEYDIS reenvia a una persona de la entidad dicho contrato: <<Te adjunto el contrato revisado conforme a lo hablado>>. o Seguidamente, una persona de MEYDIS responde: <<Conforme a los cambios. Procedo a imprimir y pasar a firma aquí. Te enviaré el pdf y luego circulamos dos ejemplares a través de Esperanza y Beatriz, y doy la orden de pago de las facturas.>> o Posteriormente, personal de Multigestión Iberia SL solicita a MEYDIS: <<Para adelantar, os sugiero que imprimáis dos ejemplares del contrato, que os envío en pdf “macro select print” los firméis y nos enviéis esos dos ejemplares a nosotros para firmarlos aquí y os devolvemos uno.> - Correo electrónico de fecha 31/6/2014 remitido por quien aparece en el mismo como la responsable de Control de Gestión de MEYDIS a un administrador de sistemas de la entidad, con copia a otros empleados de MEYDIS y a la dirección macroselectprint@......... en el que la empleada de MEYDIS manifiesta tener instalado en su ordenador un nuevo certificado de la FNMT de MSP, que debe ser enviado a dicha entidad. Manifiestan los representantes de la entidad que la remitente se ha tomado el día libre, el destinatario manifiesta ignorar el sentido del correo, y las dos personas que aparecen en copia no se encuentran en ese momento en la oficina. Solicitado el motivo por el que tienen el certificado de la FNMT de MSP previamente a que lo tenga MSP, los representantes de la entidad informan desconocer el motivo por no ser los destinatarios ni los usuarios de dicho certificado. La documentación referida a dicha inspección consta en el procedimiento sancionador de referencia PS/00047/2016. 15. En fecha 7 de abril de 2016 se realizó visita de inspección a MEYDIS. Los inspectores comunicaron al representante de la misma que su visita tiene relación con la denuncia presentada con motivo de un envió publicitario impreso por la entidad, cuya copia se aporta. Manifiestan los representantes de la entidad que actualmente existen abiertos un total de siete procedimientos sancionadores contra la misma por idénticos hechos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/58 los que van a ser objeto de la presente inspección, sobre los cuales se ha solicitado la acumulación ante la Agencia y sobre los cuales no se ha abierto fase probatoria, por lo que la información que se obtenga en las presentes actuaciones podría vulnerar el derecho de defensa en dichos procedimientos. Igualmente desean manifestar que se están recabando mediante inspección información que se podría haber recabado igualmente por escrito, sin necesidad de interrumpir el funcionamiento de la empresa. También solicitan hacer constancia que la autorización en base a la cual se realiza la inspección el día de hoy fue concedida por la directora de la Agencia con fecha 21/1/2016, antes de que se incoaran contra MEYDIS los procedimientos sancionadores actualmente abiertos, lo cual entienden que puede afectar a la legalidad de la inspección. 16. Los representantes de MEYDIS S.L. realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Solicitada a la entidad copia en soporte digital de la hoja Excel de la solicitud de información de la campaña HD***** de MACOALBA, informan los representantes de MEYDIS que dicha información no está disponible en soporte electrónico solo en papel, además la empleada que se encargaba del tema está de baja desde el día 29/1/2015, mostrando a los inspectores copia de dicho documento, que no se recaba. Solicitado el acceso al ordenador en que se recibieron los correos electrónicos, los representantes de la entidad señalan que tienen permitido el uso privado a los empleados, por lo que consideran que se estaría vulnerando el secreto de la comunicaciones y no pueden dar acceso dichos correos. Señalado por los inspectores que existe jurisprudencia que permite a la empresa el acceso al correo del empleado, señalan los representantes de la entidad que es únicamente cuando no se permite a los empleados el uso privado, pero en MEYDIS si se permite dicho uso. Respecto al motivo por el que han podido aportar la documentación en posteriores solicitudes de información, los representantes de la entidad informan que se debe a que dicha documentación ha sido impresa y se encuentra archivada. Solicitada documentación relativa a la campaña aludida, manifiestan los representantes de la entidad que solicitemos los documentos que estimemos oportunos, que ellos los proporcionaran. Señalan los inspectores que desean obtenerlos, examinando el lugar en el que los documentos se encuentren, a lo que los representantes de la entidad se niegan, pues consideran que la información obtenida podría ser utilizada en perjuicio de su derecho de defensa en los procedimientos ya incoados por hechos idénticos. b. Los representantes de la entidad, tras buscar dicho correo electrónico, informan que no lo encuentran, se ofrecen a remitirlo a la Agencia en las próximas fechas. c. Solicitado ir al puesto de G.G.G., a fin de que ésta pueda realizar la búsqueda de la documentación y obtener el soporte electrónico de los correos, los representantes de la entidad niegan el acceso al puesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/58 de la misma, por las mismas razones invocadas en el último párrafo de la letra a. , afirmando además que los archivos y equipos se encuentran ubicados en locales que tienen la consideración legal de domicilio de la entidad y no ha dado MEYDIS consentimiento para acceder a ellos y carecer los inspectores actuantes de autorización judicial para ello. A tal efecto, invocan el apartado 2 del artículo 28 del Real Decreto 428/1993 por el que se aprueba el Estatuto de la Agencia, por el que se dispone que: <<2. El responsable del fichero estará obligado a permitir el acceso a los locales en los que se hallen los ficheros y los equipos informáticos previa exhibición por el funcionario actuante de la autorización expedida por el Director de la Agencia. Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá ajustarse además a las reglas que garantizan su inviolabilidad.>> Informan los inspectores al inspeccionado que, según señala el RLOPD: <<Artículo 124. Obtención de información. Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación, accediendo a los lugares donde se hallen instalados.>> d. Aportan los representantes de la entidad copia de la factura relativa a la campaña, así como detalle de dicha factura, y de la ficha contable de MACOALBA. Se recaba copia de la misma. e. Aportan los representantes de la entidad copia de la factura relativa a la campaña, así como detalle de dicha factura, de la ficha contable y órdenes de pago de MSP. 17. De la información y documentación aportada por MEYDIS mediante escrito con entrada en fecha 10/5/2018 MEYDIS se desprende: a. Manifiesta la entidad que: <<Los servicios contratados con MEYDIS por la empresa MACOALBA son únicamente los de manipulado de piezas publicitarias y depósito de las mismas en el operador postal correspondiente, para su envío. Esta empresa no tiene contratados con MEYDIS servicios de impresión. En la campaña objeto de estas actuaciones previas, los servicios de impresión le fueron prestados por la entidad Macro Select Print, quien los subcontratá con MEYDIS en virtud del contrato de servicios que, en esa fecha, se hallaba vigente entre ambas entidades y que esa Agencia ya tiene en su poder.>> b. Respecto de la petición de la campaña, manifiesta MEYDIS que <<La petición del cliente en esta campaña se recibió por teléfono. Posteriormente, se confirmó por e-mail la corrección del modelo publicitario utilizado, de entre los facilitados por el cliente. Se adjuntan dichos e-mails>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/58 c. Aporta la entidad: - Correo electrónico de fecha 2 de julio de 2015 emitido desde una cuenta del dominio hogarydescanso.com con destino a una serie de destinatarios entre los que se encuentran G.G.G.. El asunto del correo es “PORTADAS SEMANA DEL 20 AL 23 DE JUNIO”. Entre los ficheros incluidos en dicho correo figura el denominado “EVENTO HOTEL BIENESTAR ***LOCALIDAD.1 20-07-2015.xls”. Aporta igualmente la, según la entidad, sería impresión de dicho fichero, en que figura el lugar de celebración de la campaña HD*****, así como la fecha de depósito en correos, el día 10/7/2015. - Correo electrónico de fecha 3 de julio de 2015 (11:40) remitido desde la cuenta de G.G.G. con destino a varias cuentas del dominio hogarydescanso.com y con el asunto “CARTAS PARA OK DE 20 AL 23 DE JULIO.” En este correo, según la entidad, se remitía una copia anonimizada de la convocatoria del evento a realizar en el HOTEL el día 20/7/2015. - Correo electrónico de fecha 3 de julio de 2015 (11:51) remitido desde una cuenta del dominio hogarydescanso.com con destino a una serie de destinatarios entre los que se encuentran G.G.G. con el asunto “Re: CARTAS PARA OK (EVENTOS DE 20 al 23 JULIO” en que se informa que todas están correctas. d. Aporta finalmente - Copia parcial de la factura de fecha 31/7/2015 en que aparecen los trabajos realizados para MACOALBA en tres campañas del mes de julio de 2015, ascendiendo a 67.415 el número cartas emitidas que aparecen facturadas. - Copia de la carta de abono bancario de los servicios realizados a MACOALBA. 18. De la información y documentación aportada por MACOALBA se desprende: a. Manifiesta la entidad: <<Las comunicaciones entre MACRO SELECT PRINT y MACOALBA se efectuaban por vía telefónica, por lo que no existe documentación al respecto que podamos aportar. Era la empresa MACRO SELECT PRINT la que diseñaba las campañas fijando los criterios de selección del lugar, fecha y destinatarios que seleccionaba los datos en sus ficheros. MACOALBA no tiene acceso a ningún tipo de datos, ni constan en nuestro poder.>> b. Mediante correo electrónico de fecha 23 de junio de 2015 emitido desde una cuenta del dominio hogarydescanso.com en que la entidad se pone en contacto con el HOTEL para la realización de un evento, en principio, para el día 13 de julio. c. Mediante correo electrónico de la misma fecha remitido desde el HOTEL en que se confirma la reserva. d. Copia parcial de la factura emitida por MEYDIS de fecha 31/7/2015 en que aparecen los trabajos realizados para MACOALBA en tres campañas del mes de julio de 2015, 19. Pese a haber sido solicitado expresamente a MEYDIS en múltiples actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/58 previas de investigación y procedimientos sancionadores información acreditativa de la participación real de MSP en las campañas origen de las cartas aportadas por los denunciantes nunca ha sido aportada. TERCERO: Con fecha 2 de agosto de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las entidades MACOALBA CONSULTING, S.L., MACRO SELECT PRINT, S.L., MEYDIS S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada cada una de las entidades citadas con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley Orgánica. Dicho acuerdo se notifica a MEYDIS el día 4 de agosto de 2016, fecha en la que, en contestación a las correspondientes solicitudes. Dicho acuerdo se intenta notificar a MSP en la c/ (C/...1), 8 de Madrid a través del Servicio de mensajería de ENVIALIA. El primer intento efectuado con fecha 4 de agosto de 2016 resulta infructuoso por “Dirección incorrecta”, según figura en el informe se seguimiento de dicho envío. Posteriormente, se produjeron otros dos intentos de entrega con fechas 18 y 19 de agosto realizados por la Sociedad Estatal Correos y Telégrafos, SA que no pudieron practicarse por estar “Ausente” el destinatario, siendo entregada dicha notificación el 25 de agosto de 2016 en la Oficina de Correos. En el caso de MACOALBA el intento de notificación de dicho acuerdo efectuado en el (C/...3) del municipio ***MUNICIPIO.1 (Zaragoza) por el servicio de mensajería de ENVIALIA resultó infructuoso por “Ausente” con fechas 4 y 5 de agosto de 2016, al igual que ocurrió en los intentos realizados por la Sociedad Estatal Correos y Telegrafos, S.A . con fechas 10 y 11 de agosto de 2016, siendo devuelto por “Sobrante” a origen al no ser retirado de la Oficina de Correos por el destinatario. De conformidad con lo dispuesto en los artículos 59.5, 60.2 y 61 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y de Procedimiento Administrativo Común el acuerdo de inicio de procedimiento sancionador abierto a MACOALBA se notificó mediante su publicación en el BOE nº 211 de fecha 1 de septiembre de 2016. CUARTO: Notificado el acuerdo de inicio, y previo acuerdo de fecha 4 de agosto de 2016 acordando la remisión a MEYDIS de copia de la documentación que integraba el procedimiento y la ampliación del plazo concedido a la misma para formular alegaciones al acuerdo de inicio, con fecha 2 de septiembre de 2016 se registra de entrada en esta Agencia escrito de la reseñada entidad solicitando el archivo de actuaciones practicadas con fundamento, en síntesis, en los siguientes argumentos: Primero, Con arreglo a la normativa de protección de datos para que MEYDIS hubiera sido responsable de la infracción imputada, debería haber adoptado alguna decisión sobre la finalidad, contenido y uso del tratamiento de los datos del denunciante, no habiendo pruebas en tal sentido en el expediente. MEYDIS no tuvo capacidad de influencia sobre el tratamiento de los datos y se limitó a ejecutar las peticiones de servicios recibidas de sus clientes MACOALBA y MSP, no ejerció ningún control real sobre los datos del denunciante. MEYDIS aparece contractualmente configurada como encargada del tratamiento, tal y como reflejan las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/58 cláusulas II a V del contrato de servicios suscrito el 17/02/2015 con MACOALBA, relativas a las previsiones que anuda a este tipo de contratos el artículo 12 de la LOPD. Además, la cláusula VII del contrato contiene una exigencia de legalidad respecto de los datos personales utilizados para el envío de la publicidad, lo que muestra la diligencia de MEYDIS a la hora de controlar la adecuación a la normativa de protección de datos de las acciones comerciales realizadas. A su vez, la cláusula Sexta del contrato suscrito entre MEYDIS y MACOALBA regula su actuación como encargada del tratamiento. MEYDIS no puede ser considerada responsable de las infracciones que haya cometido el responsable del tratamiento al haberse ajustado su actuación a las instrucciones contractuales recibidas como encargada de tratamiento. Segundo, La inculpación parece deducirse de ciertas informaciones obtenidas durante las fases de actuaciones previas de otros procedimientos incoados a MEYDIS, que incorporadas por el inspector de la AEPD al informe de actuaciones previas de inspección E/06698/2015, en forma parcial y sesgada, revelarían que MEYDIS podría tener capacidad de disposición y decisión sobre los datos del fichero de MSP en las campañas de marketing realizadas por terceras empresas, cuando estas supuestas pruebas no se refieren al presente procedimiento, sino a su relación con otros clientes (beneficiarios) en campañas distintas a la que afecta al presente expediente, todo ello limitándose a invocar esas eventuales pruebas sin aportar los documentos que las acreditarían al expediente.
2. a)Sobre las tareas de intermediación y otras actuaciones auxiliares realizadas por MEYDIS para MSP, afirma que no pueden interpretarse como indicios de un supuesto poder de disposición de la primera sobre los ficheros de MSP. En concreto argumenta: - Que resulta lógico que PLENISAN, que es un cliente de MEYDIS distinto de MACOALBA, se relacionase con MSP con intermediación del Presidente y de una empleada de MEYDIS, ya que PLENISAN confiaba en MEYDIS por la buena relación comercial existente entre ambas y fue el Presidente de MEYDIS quien presentó a PLENISAN la empresa MSP, a lo que hay que sumar las tareas de intermediación a las que MEYDIS se había comprometido con MSP en virtud del contrato firmado entre ambas. -El correo electrónico que figura en los documentos 7 y 8 de las actuaciones de inspección I/00005/20015/I-01 que la AEPD interpreta en contra de MEYDIS, y en el que PLENISAN solicita a MSP una muestra de 50 registros del fichero de MSP que figuren en los repertorios telefónicos de la ciudad de Leon, y que posteriormente MEYDIS, por orden de MSP, devuelve esta petición a PLENISAN enviándole un fichero extraído de los ficheros de MSP por orden de ésta, constituye también un ejemplo de canalización de comunicaciones entre MSP y PLENISAN a través de MEYDIS. La referencia a que se incluye en el expediente impresión de pantalla, supuestamente obtenida de la CMT, en la que figura que MEYDIS consta entre las entidades que tienen acceso al SGDA, queriendo sugerir el inspector que el origen de los datos devueltos a PLENISAN es el fichero de dicha entidad en lugar del de MSP no está corroborada por ningún medio de prueba, constando en el citado email que PLENISAN solicitó registros del fichero de MSP que estuviesen en dichos repertorios, lo que evidencia que los datos que PLENISAN estaba pidiendo a MSP debían extraerse del fichero de ésta y no de los listados públicos de teléfonos. - El auxilio que MEYDIS presta a MSP responde a tareas que le venían dificultadas a ésta por su pequeña infraestructura, como el reflejado en los correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/58 electrónicos obrantes en el documento 6 de los Anexos del Acta de Inspección E/02253/2015/I-01, en los que MULTIGESTION (cliente de MEYDIS) remitió a MSP (a través de MEYDIS) un contrato para su revisión y firma ante la inexistencia de una asesoría jurídica propia en MSP y en el marco de la buena relación comercial existente, el Presidente de MEYDIS pidió a su abogado externo que revisase el contrato de MSP y, un vez definido el texto, MULTIGESTIÓN solicitó a MEYDIS que lo trasladase a MSP para su firma por ésta y posterior devolución por el mismo canal. La cadena de emails pone de manifiesto que MEYDIS actuaba como mero intermediario. - El correo electrónico de 31/07/2014, que figura en el documento 7 de los anexos al Acta de Inspección E/02253/2015/I-01, remitido desde la cuenta de una empleada de MEYDIS a otros empleados de la entidad y a MSP, en el que se comunica que se dispone de un certificado de la FNMT obtenido para MSP desde MEYDIS con orden de trasladar a aquélla, es una gestión auxiliar que da respuesta a la petición de MSP al Presidente de MEYDIS del favor de obtener para ella un certificado digital ante la falta de conocimientos técnicos para hacerlo por sí misma. El Presidente de MEYDIS pidió a una de sus empleadas que lo hiciese en nombre de MSP, gestión que se llevó a cabo desde una IP titularidad de MEYDIS. - MEYDIS permitió a MSP que autorizase a sus mensajeros Don L.L.L. y Don M.M.M. para facilitar la recogida de las devoluciones que se producían en el apartado de correos de MSP.
3. b)En relación con los 20 accesos realizados entre el 10/09/2015 y el 02/02/2016 mediante banca electrónica por MEYDIS a la cuenta corriente titularidad de MSP desde una dirección IP asignada a MEYDIS, esta empresa indica que ante el riesgo de la desaparecieron de MSP dejando incobrables las facturas pendientes de pago, MSP y MEYDIS firmaron un contrato de cesión de créditos el 09/09/2015, en virtud del cual pactaron que los créditos correspondientes a las facturas emitidas por MSP contra sus clientes fuesen cedidos a MEYDIS en pago de la deuda que MSP tenía con aquella. En la cláusula Cuarta B de dicho contrato MEYDIS exigió a MSP que le facilitase las claves de acceso a dicho servicio al ser el único modo de comprobar los pagos efectuados a MSP. La ausencia de accesos anteriores al 10/09/2015 prueba que son consultas realizadas con la finalidad descrita.
4. c)La AEPD conecta la información que aparece en una orden de servicio remitida por PLENISAN junto a los datos del Hotel que debían imprimirse en la carta publicitaria con la circunstancia de que en la URL http://es.slideshare.net.................. esté accesible una presentación comercial del año 2009 en la que se menciona que MEYDIS dispone de ficheros que contienen información que pudiera ser similar a la que figura en una orden de trabajo de PLENISAN. Esta información se ha utilizado por la AEPD para indicar que “los criterios de selección fijados están entre los que aparecen en la presentación publicitaria de MEYDIS encontrada en Internet”, precisión dirigida a que se razone que “si MEYDIS indicaba en su publicidad que disponía de datos segmentables conforme a ciertos criterios y PLENISAN, en una orden de trabajo, incluyo algunos, es porque dicha orden iba dirigida a MEYDIS para que realizase la selección de los datos conforme a los aludidos criterios, aunque, de esta argumentación, la AEPD busca inferir que MEYDIS sería la que habría realizado la segmentación de los datos conforme a las instrucciones de PLENISAN.“. Es un razonamiento erróneo, ya que esa información era innecesaria para las funciones desarrolladas por MEYDIS (impresión en las cartas publicitarias de los datos previamente segmentados por MSP en su propio fichero), bastando con conocer el lugar y hora de convocatoria que debían C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/58 constar en la publicidad. La AEPD utiliza una presentación comercial desfasada (año 2009) que no guarda relación con las campañas de marketing desarrolladas durante el año 2015, ya que en la orden de servicio no aparece ninguno de los supuestos criterios de selección. Hubiera sido más lógico visitar la página web corporativa de MEYDIS existente en el momento en que se practicó la diligencia, en la que se promocionaban los servicios actualizados de la empresa, entre otros, el servicio de “Caracterización de bases de datos de particulares y empresas”, que permite a sus clientes caracterizar estadísticamente sus ficheros, tratándose de una base de datos de “hogares” no de personas físicas. Tercero, Las conclusiones que parece alcanzar la AEPD sobre el poder de disposición de MEYDIS sobre el fichero de MSP vulneran la presunción de inocencia del artículo 24.2 de la Constitución Española en su relación con lo previsto en el artículo 137 de la LRJ-PAC. No hay ninguna prueba que permita concluir que ésta tomó decisiones sobre el tratamiento de los datos del denunciante o, al menos, en la campaña en que dichos datos fueron tratados ni de que tuviera poder de disposición sobre el fichero de MSP, basándose la imputación en hechos o falsos o accesorios, o susceptibles de varias interpretaciones. Las siguientes circunstancias confirman que MEYDIS se limitó a acatar las instrucciones recibidas en su calidad de encargada del tratamiento de los datos (maquetación, impresión, manipulado y puesta en correos de las cartas publicitarias: que el clausulado de los contratos suscritos con MACOALBA y MEYDIS refleja que MEYDIS prestará servicios como encargado del tratamiento, de acuerdo con las previsiones del artículo 12 de la LOPD y siguiendo las instrucciones del cliente, que tratará los datos de carácter personal contenidos en los ficheros de MSP en nombre y por cuenta del cliente; consta en el expediente que la orden de trabajo en la campaña se recibió de MACOALBA mediante llamada telefónica, sin que MEYDIS adoptase decisión al respecto, así como que MACOALBA comunicó a la AEPD que los parámetros identificativos de las campañas fueron fijados por MSP; el concepto de las facturas emitidas por MEYDIS a MACOALBA y MSP por los servicios prestados en la campaña objeto de denuncia; de la factura emitida por MEYDIS contra MSP, se deduce que el servicio prestado por MEYDIS a aquella es únicamente de impresión y maquetación para sus clientes, como subcontratación de dichos servicios, que igualmente son facturados por MSP a MACOALBA. Cuarto, Nulidad de las actuaciones inspectoras que fundamenta en: - Nulidad de la inspección efectuada a MEYDIS por realización fraudulenta de la misma “ante la posibilidad de que la información que pudiera obtenerse en la inspección fuera interpretada en nuestro perjuicio y utilizada en los procedimientos sancionadores que ya se encontraban incoados contra nosotros (como ya se había hecho con anterioridad en los expedientes en curso), informábamos de que si, bajo la amenaza de abrirnos expediente por obstaculización, se realizaban actuaciones que, directa o indirectamente, pudieran servir para obtener información susceptible de ser utilizada en nuestra contra en los expedientes sancionadores incoados, ello podría conllevarla nulidad de lo actuado por el inspector.”. . La visita, realizada el 7 de abril de 2016 amparándose en una autorización de la Directora de la AEPD expedida el 26 de enero de 2016, es decir, dos meses y medio antes de esa fecha, y cuando las circunstancias que la justificaban se habían visto alteradas al haber sido inculpada la entidad inspeccionada en siete procedimientos después de la fecha de la autorización y omitiendo responder a la pregunta de cuál C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/58 era el objeto de la inspección, se efectuó para obtener de modo personal información en relación con la campaña de marketing objeto del presente procedimiento, análoga a las que están siendo objeto de los expedientes incoados, pese a las advertencias previas de que la misma violaría el derecho de defensa de la entidad, conducta que, según MEYDIS, constituye un fraude en el desarrollo de las actuaciones inspectoras que buscan obtener evidencias de cargo que se utilizan de forma transversal sin cumplir las garantías que nos ampararían en la fase probatoria de los procedimientos sancionadores, clara desviación de poder que determina la anulabilidad de estas actuaciones inspectoras por aplicación del artículo 63 de la Ley 30/1992. - Nulidad de las actuaciones previas por uso de fraudulento de las diligencias de investigación que, tanto en este expediente como en el resto de expedientes incoados, se han utilizado con el único fin de evitar la caducidad del procedimiento sancionador. En derecho sancionador es inadmisible y contrario al principio de seguridad jurídica, que tras la recepción de una denuncia, sistemáticamente y de modo arbitrario, no se concluyan las actuaciones previas de investigación hasta casi un año después, justo días antes de que transcurra el plazo de un año desde que la denuncia tiene entrada en la AEPD que determina la caducidad establecida en el artículo 122.4 del RLOPD. En el expediente que nos ocupa, el procedimiento sancionador se ha incoado justo unos días antes de que se produjese la caducidad de las actuaciones previas, ya que la denuncia tuvo entrada en la AEPD el 18/08/2015 y el acuerdo de inicio del procedimiento se firmó el 03/08/2016, siendo notificado a MEYDIS el 04/08/2016, empresa que mantiene que esta actuación se ha reproducido en todos de expedientes incoados a la misma, cuyas actuaciones previas de inspección han sido realizadas por el mismo inspector de la AEPD. Añade que el número o complejidad de las diligencias de investigación practicadas no justifican la dilación en el tiempo de las actuaciones inspectoras realizadas en el E/06698/2015, ni el transcurso de periodos de tiempo innecesariamente prolongados entre las mismas, proceder que el inspector que también se ha reproducido en los restantes expedientes de investigación que dieron lugar a los procedimientos sancionadores abiertos a MEYDIS. Cuando la demora en incoar el procedimiento sancionador se produce, como en el presente caso, durante un largo periodo de tiempo, que no se concilia con la complejidad de las actuaciones que se están realizando, y, o existe justificación alguna para tal demora, se incurre en una utilización espuria y fraudulenta de lo previsto tanto en el artículo 12 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, en adelante REPEPOS, como en el artículo 59.2 de la LRJ-PAC. En cuanto garantía encaminada a asegurar el correcto ejercicio de la potestad sancionadora, la actuación del inspector de la AEPD sobrepasa sistemáticamente, el tiempo en el que razonablemente debería de haberse incoado el procedimiento sancionador. Por lo que ha habido una utilización fraudulenta de la institución de las diligencias previas, conforme al artículo 6.4 del Código Civil, por cuanto se pretende burlar la aplicación del artículo 122.4 del RLOPD y del 42.2 de la Ley 30/1992, usando las actuaciones previas sólo para evitar la caducidad del expediente sancionador. Este proceder de la inspección de la AEPD ha causado los siguientes efectos perniciosos, contrarios a la más elemental seguridad jurídica:
5. a)Si cuando se recibieron las primeras denuncias, la inspección de la AEPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/58 hubiera concluido diligentemente las actuaciones previas, se habrían incoado hace ya muchos meses los procedimientos sancionadores, lo que hubiera evitado que se siguiesen realizando las campañas denunciadas. Esta dejación constituye un flagrante abandono de las tareas encomendadas a la AEPD para la tutela de los derechos fundamentales de los ciudadanos, imputable, en primera instancia, al inspector y, en las sucesivas, a quienes deben supervisar el desempeño de sus funciones
6. b)MEYDIS no ha tenido conocimiento de la posible ilegalidad de las campañas de marketing hasta un año después de que éstas tuvieran lugar, plazo de tiempo en que siguió llevándolas a cabo, lo que ha originado un elevado número de procedimientos sancionadores en los que aparece como inculpado, cuando podría haber cesado inmediatamente en la realización de las campañas publicitarias si la AEPD, al recibir la primera denuncia, hubiese realizado sin dilación las actuaciones previas e incoado, en su caso, el procedimiento sancionador contra MEYDIS. Quinto, La resolución del expediente PS/00124/2016 en el que la AEPD ha acordado el archivo de las actuaciones seguidas contra MEYDIS por no haber quedado acreditada su participación en las campañas de Home XXI Hogar y Descanso, en adelante HOME XXI, convierte en ineficaz el testimonio de N.N.N., empleada de dicha empresa, como prueba de cargo en este expediente y en el resto de procedimientos incoados contra MEYDIS. Dicho testimonio se refiere a un específico procedimiento sancionador, a una denuncia determinada y se relaciona con las campañas de HOME XXI, por lo que no es extrapolable a otras relaciones jurídicas diferentes, clientes o campañas. Sexto, Sobre la supuesta dependencia de MSP de MEYDIS, no se entiende la utilización de dicho argumento en relación con el objeto del expediente. Junto a lo expuesto en anteriores alegatos rebatiendo el carácter instrumental de MSP, destruyen las conexiones en las que basa tal argumento la APED los siguientes argumentos:
7. a)el testimonio de N.N.N. carece de eficacia en este caso al deber limitarse a las campañas realizadas por MSP para HOME XXI;
8. b)que el actual director comercial de MEYDIS fuese administrador de una empresa ajena a este expediente y de la que, en otro momento, también lo fue Ñ.Ñ.Ñ., que fue administrador de Print Laser Spain, SL no conlleva una vinculación de esas sociedades con MEYDIS, justificando únicamente la existencia de una relación entre Print Lasser Spain y MSP que no afecta a la relación entre MSP y MEYDIS. La coincidencia de personas del mismo sector en distintas personas es habitual en el tráfico mercantil. Tampoco se entiende la relación establecida con MEYDIS a partir del hecho de que una empleada de MSP lo fuese también, en su momento, de Mega Data Integral Servicies, ya que se trata de empresas dedicadas a la misma actividad en las que puede prestar sus servicios;
9. c)Las limitaciones que la AEPD ha encontrado en la realización de las investigaciones sobre MSP no son imputables a MEYDIS, sino a MSP, empresa de la que MEYDIS indica “es una entidad independiente, con personalidad jurídica propia, legalmente constituida, con un administrador único propio que no tiene ninguna vinculación con Meydis, que ha contratado por sí sola cuentas corrientes bancarias, que emite facturas que son efectivamente pagadas y lleva su propia contabilidad, que contrata certificados digitales propios, , que contrata su propio apartado de correos en el que realizar las devoluciones , que suscribe sus propios contratos con sus clientes, que tiene su propia sede y que dispone de sus propios empleados. De Todo ello sólo cabe deducir que se trata de una sociedad real e independiente, con sus propios medios de producción y, por tanto responsable de sus propios actos. No se entiende entonces por qué ha de hacerse a Meydis responsable de ellos cuando, más allá de las acciones realizadas en nombre u C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/58 por cuenta de MSP como tareas de intermediación o auxiliares, nada tiene que ver condicha entidad”, añadiendo que ha quedado acreditado que MSP tenía empleados propios y, por tanto medios de producción, lo que desmonta el argumento de la AEPD de que era una sociedad ficticia, sin infraestructura real, idea que también enerva la resolución del PS/00124/2016 citado, el que en una campaña llevada a cabo para HOME XXI por MSP se reconoce que MEYDIS no participa, evidenciando que MSP actúa de forma independiente, con sus propios medios y al margen de MEYDIS. Séptimo, La entrada en vigor del nuevo Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, denominado Reglamento General de Protección de Datos, en adelante RGPD, vendría a provocar una atipicidad sobrevenida de los hechos, resultando por ello de aplicación lo dispuesto en el artículo 9.3 de la CE, a sensu contrario, y la aplicación retroactiva de la norma más favorable recogida en el artículo 128 de la LRJ-PAC. El artículo 6.1.
10. f)del RGPD establece que el tratamiento de los datos también será lícito, cuando “sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.”, por lo que dándose dichas circunstancias podrán tratarse los datos personales del interesado aun sin su consentimiento. Para determinar el alcance que debe cumplir ese concepto de “interés legítimo” debe acudirse al Considerando 47 que en su último inciso dispone que: “El tratamiento de datos personales confines de mercadotecnia directa puede considerarse realizado por interés legítimo”. Por tanto, la entrada en vigor del RGPD implica que la remisión de comunicaciones comerciales directas, en la medida en que se considera realizada en aplicación del criterio del “interés legítimo” del responsable o de un tercero no requiere el consentimiento previo del interesado, sin perjuicio de que éste pueda oponerse a tales envíos y su solicitud deba ser atendida conforme a los artículos 21.2 y e del RGPD. Ello supone que la conducta estudiada, aun si fuese cierta, ya no sería una conducta típica, puesto que dicho tratamiento de datos es lícito, al basarse en el interés legítimo de MACOALBA en comercializar sus productos, interés que se deriva del derecho a la libertad de empresa y que viene constitucionalmente positivado en el artículo 38 de la CE. Existiendo ese interés legítimo y, tratándose de un uso de datos para fines de mercadotecnia directa por declaración expresa del RGPD, puede llevarse a cabo sin que prevalezcan los derechos y libertades del interesado a estos solos efectos y para esta concreta finalidad, debe aplicarse retroactivamente el artículo 6.1.
11. f)del RGPD, conforme a la interpretación del mismo que hace el último inciso del Considerando 47, debiendo archivarse el expediente por atipicidad sobrevenida de los hechos imputados. Octavo, La incoación de un procedimiento sancionador independiente por cada denuncia recibida vulnera lo dispuesto en el artículo 4.6 del REPEPOS, ya que de ser ciertas las inculpaciones realizadas a MEYDIS en los procedimientos sancionadores abiertos constituirían una única infracción continuada en la que MEYDIS, de forma persistente en el tiempo, habría realizado con un fichero ilegal de MSP una pluralidad de acciones que vulnerarían el mismo artículo de la LOPD, aprovechando un supuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/58 poder de disposición sobre el fichero de MSP o ejecutando un presunto plan preconcebido. Por lo que, la apertura de sucesivos procedimientos sancionadores antes de que recaiga resolución sancionadora en el primer procedimiento incoado, cuando aquellos se refieren a hechos de la misma naturaleza, realizados en periodos de tiempo próximos y que conculquen el mismo precepto legal vulnera el citado precepto. En consecuencia, los procedimientos sancionadores instruidos a MEYDIS con posterioridad al PS/000 47/2016, incluido el presente PS/00381/20916, no deberían haberse abierto hasta que en aquel hubiese recaído resolución ejecutiva, motivo por el cual el presente procedimiento debe ser anulado y seguirse el curso único del PS/0047/2016. Subsidiariamente, en aplicación de lo dispuesto en el artículo 4.6 del Real Decreto 1398/1993, MEYDIS solicita la anulación del acuerdo de inicio del PS/00381/2016 al haberse incoado, con anterioridad, el PS/00047/2016, por lo que de ser ciertas las infracciones imputadas en el mismos estaríamos ante una única infracción continuada, debiendo seguirse el curso del PS/00047/2016. Para acreditar los extremos alegados, MEYDIS solicitaba la práctica de determinadas pruebas cuyo detalle se cita más adelante. QUINTO: Con fecha 30 de septiembre de 2016 se inicia período de práctica de pruebas, en el que se ACUERDA dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/06698/2015, las alegaciones al acuerdo de inicio PS/00381/2016 presentadas por a MEYDIS, S.L., lo que se comunica a esta entidad con fecha 3 de octubre de 2016 así como a MSP y MACOALBA. 5.1 Asimismo, con fecha 3 de octubre de 2016 se comunica a MEYDIS que en relación con las pruebas solicitadas en su escrito de alegaciones, se incorporan al expediente las relacionadas como DOCUMENTAL: Primera, Segunda, Tercera, Cuarta, Quinta, Sexta, Octava y Novena. En lo que respecta a la Documental Quinta, se observa a dicha entidad que a los efectos de evitar la duplicidad de documentación que dicha prueba supone únicamente se incorpora al procedimiento copia de los documentos citados en dicho punto correspondientes a los adjuntados al escrito de alegaciones formulado por MEYDIS, S.L. en el PS/00047/2016, dándose por reproducidos esos mismos documentos aportados también en el PS/00053/2016 . En lo que se refiere a la Documental Séptima, “Consistente en que, para su comprobación por esta parte, se incorpore al expediente administrativo copia de la respuesta íntegra ofrecida por el BBVA a la AEPD, en relación con la solicitud de información sobre los accesos efectuados a través de la banca on-line a la cuenta corriente titularidad de MSP.”, se solicita a MEYDIS indicación del expediente concreto en el que obra la documentación requerida y fecha de los documentos. A su vez, se incorporan al expediente las pruebas solicitadas relacionadas en su escrito de alegaciones como TESTIFICAL Primera, Segunda y Tercera. En lo que respecta a la solicitud efectuada en la testifical Primera señalando que “En caso de que esta información haya sido ya facilitada por el Banco a la AEPD en el marco de la diligencia de inspección firmada por D. O.O.O. el 16 de febrero de 2Ó16, 50 solicite que, en lugar de la referida testifical, se incorpore dicha información al expediente administrativo, ya que en la documentación que nos ha sido facilitada no consta.”, se solicita a MEYDIS especifique el procedimiento concreto al que se refiere C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/58 la mencionada diligencia de inspección. Paralelamente, se solicita la siguiente documentación: Copia en soporte papel de la información de la campaña HD ***** de MACOALBA CONSULTING, S.L. requerida en el apartado 2.a del Acta de Inspección E/06698/2015/I-01 levantada durante la inspección celebrada el 7 de abril de 2016 en el establecimiento de esa empresa; Copia del correo electrónico al que se refiere el apartado 2.b de la mencionada Acta de Inspección E/06698/2015/I-01; Remisión copia de las ordenes de trabajo y/o servicio específicas de la campaña. 5.2 También con fecha 3 de octubre de 2016, se incorpora, al procedimiento sancionador PS/00381/2016 mediante Diligencia la siguiente documentación asociada a la práctica de la documental y testifical propuestas por MEYDIS en el escrito de alegaciones al acuerdo de inicio del citado procedimiento sancionador: DOCUMENTAL Primera. Consistente en incorporar los documentos que forman parte del procedimiento PS 190/2016 y que se relacionan a continuación:
12. a)Certificación emitido el 22 de abril de 2016 por la empresa que gestiona la página Web de Meydis
13. b)E-mail remitido desde Meydis a D. P.P.P., en adelante el Inspector de Datos, tras el intento de inspección en la sede de aquella entidad que tuvo lugar con fecha de 8 de febrero de 2016
14. c)E-mail de 28 de marzo de 2016 por el que el Inspector de Datos informaba a MEYDIS de que el día 7 de abril tendría lugar una nueva visita de inspección en la sede de MEYDIS.
15. d)E-mail de respuesta remitido por MEYDIS en esa misma fecha advirtiendo de que la inspección vulneraria nuestro derecho de defensa.
16. e)E-mail de 30 de marzo de 2016 del Inspector de Datos en el que justifica la inspección anunciada por las facultades que le reconocen los artículos 37 y 40 de la LOPD, manifestando que “el objeto de la inspección será el control del cumplimiento por parte de MEYDIS, S.L. de la legislación de protección de datos y su correcta aplicación’
17. f)E-mail de Meydis de esa misma fecha, remitido al inspector de la AEPD y manifestando que, si la inspección fuera utilizada para obtener información susceptible de ser utilizada en nuestra contra en los expedientes sancionadores incoados, ello conllevaría la nulidad de lo actuado por el inspector. Segunda.- Resultado del acceso efectuado por la Instructora al efectuar una búsqueda en Google con la palabra ‘Meydis” y otra con las palabras “servicios Meydis”, tanto con comillas como sin éstas, a los efectos de comprobar, según señala dicha empresa ”que el link a la presentación comercial del año 2009 aparece en la segunda página de los resultados de la búsqueda, mientras que la Web corporativa de la entidad aparece en el primero de los resultados de la primera página” . Tercera,- Incorporación, a modo de ejemplo, del escrito de 5 de octubre de 2015 de MSP, por el que da respuesta al requerimiento de la AEPD E/03229/2015, que forma parte del procedimiento PS 107/2016. Cuarta.- Copia del documento descriptivo de las fuentes de información y procesos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/58 informáticos seguidos por MEYDIS para los servicios de caracterización estadística de bases de datos que ofrece a sus clientes, junto con muestra del resultado de dichos procesos, que son estrictamente confidenciales, todo ello incorporado al PS/0007/2016. Quinta- Copia de los documentos que se relacionan a continuación extraídos del escrito de alegaciones formulado en el procedimiento sancionador PS 47/2016: • Declaración de D. Q.Q.Q., empleada de MEYDIS , junto con copia de su DNI. • Declaración de D. L.L.L., empleado de MEYDIS , junto con copia de su DNI. • Copia del contrato de cesión de créditos suscrito entre MEYDIS septiembre de 2015. y MSP el 9 de • Copia de la carta de resolución del contrato de servicios remitida por MSP de fecha 28 de octubre de 2015 • Copia del anverso del sobre de correos en el que figura el código de envío de dicha carta e impresión de pantalla de la web de correos en la que, con dicho código, la carta consta entregada a Meydis el 10 de noviembre de 2015. Sexta.- Copia íntegra del Acta de la Inspección realizada por la AEPD a la empresa PLENISAN con fecha de 3 de noviembre de 2015 (I/0005/2015/I-1), junto con sus anexos, Octava.- Copia del Acta de Inspección a MEYDIS E/2253/20151l-01, junto con sus Anexos. Novena- Consistente en incorporar al expediente copia del os justificantes de correos que acrediten la fecha de notificación del presente procedimiento a MEYDIS. TESTIFICAL. Primera, - Resultado de las actuaciones de comprobación solicitadas por esta parte en el marco del procedimiento PS/107/2016, “consistentes en que se requiera por escrito a la entidad Banco Bilbao Vizcaya Argentaria, S.A. para que confirme si los accesos levados a cabo a la cuenta corriente de MSP a través del servicio de banca electrónica desde la dirección IP ***IP.1 se corresponden todos ellos a meras operaciones de consulta” Segunda.- Resultado de las actuaciones de comprobación solicitadas por esta parte en el marco del procedimiento PS/0010712016, consistentes requerir a la FNMT para que, en relación con el certificado de MSP que fue obtenido desde una dirección IP de MEYDIS, confirmase si se habían realizado o no desde dicha dirección IP cualesquiera otras actuaciones utilizando dicho certificado, al margen de su solicitud, obtención y descarga. Tercera.- Incorporación del resultado de las siguientes pruebas testificales solicitadas por MEYDIS en el procedimiento PS/00147/2016 en los siguientes términos: “Que se requiera por escrito al administrador de la empresa Macro Select Pdnt, S.L., en todos y cada uno de los domicilios (particulares y de su empresa) que figuran en el expediente, para que responda a las siguientes preguntas: ¿Entregaba MSP a Meydis los ficheros a utilizar en las campañas comerciales de Plenisan a través de una carpeta FTP titularidad de Meydis? En caso afirmativo, ¿cuál era la dirección IP a la que MSP se conectaba para depositar dichos ficheros en el FTP? C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/58 Los ficheros depositados en el FTP a tal fin, ¿se encontraban ya segmentados por MSP o Meydis tenía que realizar en ellos algún tipo de segmentación? ¿Ha determinado Meydis alguna vez, de modo directo o indirecto, los criterios de segmentación de destinatarios en dichas campañas y, en concreto, en la que es objeto de este procedimiento sancionador? ¿Ha ordenado MSP alguna vez a Meydis que remita a Plenisan extracciones de ficheros utilizados en campañas comerciales anteriores y que Meydis conservaba bloqueados? ¿Ha adoptado alguna vez Meydis decisiones en relación con los medios o los fines del tratamiento de los datos personales utilizados en las campañas realizadas por MSP para Plenisan S L? ¿Tenla Meydis algún poder de disposición, directo o indirecto, sobre los ficheros de MSP? Que se requiera por escrito a la empresa Multigestión, en el domicilio de esta entidad ((C/...4)Madrid), para que responda alas siguientes preguntas: Como cliente de lá empresa Meydis, S.L., cuando tiene que facilitarle usted ficheros para la prestación de sus servicios, ¿entrega dichos ficheros depositándolos en una carpeta FTP titularidad de Meydis? En caso afirmativo, cúaI es la dirección IP a la que ustedes se conectan para depositar dichos ficheros en el FTP? Que se requiera por escrito a Dña R.R.R., miembro de la Asesoría Jurídica de la empresa Multigestión, en el domicilio de esta entidad (C/ (C/...4) Madrid), para que responda a las siguientes preguntas en relación con los correos electrónicos enviados por ella a Meydis y su abogado externo en fecha de 30 de julio de 2014 con respecto a la revisión y firma de un contrato de MSP: ¿Por qué razón remitió un contrato entre Mulligestión y MSP a un abogado externo de Meydis para su revisión, teniendo en cuenta que el contrato se refería sólo a la relación entre Mulügestión y MSP’? ¿Por qué razón trasladó por e-mail instrucciones a Meydis para la firma de ese contrato y le solicitó a esta misma entldad que se lo devolviese, una vez fuese firmado por MSP? SEXTO: Con fecha 19 de octubre de 2016 se registra escrito de MEYDIS señalando: Primero: Que desconocen la referencia exacta del expediente o número de diligencia que recoge la respuesta del BBVA a la AEPD en relación con la solicitud de información sobre accesos efectuados a través de la banca on-line a la cuenta corriente titularidad de MSP al tratarse de documentos que no figuran incorporados al expediente, aunque se hace referencia a los mismos en el informe de actuaciones previas de inspección como en el acuerdo de inicio del procedimiento. Segundo: La prueba testifical Primera se formula en relación con la prueba testifical solicitada en el marco del PS/00107/2016, consistente en que se requiriese por escrito al BBVA para que confirmase si los accesos llevados a cabo a la cuenta corriente de MSP a través del servicio de banca electrónica desde la dirección IP ***IP.1 se corresponden todos ellos a meras operaciones de consulta. Se solicita la incorporación de su resultado al presente procedimiento, o de no constar el resultado por no haberse practicado la diligencia Testifical, que se lleve a efecto ahora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/58 Tercero: La documentación solicitada, que fue requerida en el Acta de inspección E/06698/2015/I-01, ya fue aportada conforme prueba la documentación adjuntada. SÉPTIMO: Con fecha 20 de octubre de 2016 se incorpora al procedimiento sancionador PS/00381/2016, a efectos probatorios, la siguiente documentación: A) Asociada a la práctica de la prueba Documental Séptima propuesta por MEYDIS, “Consistente en que, para su comprobación por esta parte, se incorpore al expediente administrativo copia de la respuesta íntegra ofrecida por el BBVA a la AEPD, en relación con la solicitud de información sobre los accesos efectuados a través de la banca on-line a la cuenta corriente titularidad de MSP. “, se incorpora la información de las actuaciones previas de inspección E/06878/2015 del PS/00436/2016, con la respuesta del BBVA a la solicitud de información relativa a los accesos realizados a través de la banca on-line a la cuenta titularidad de MSP. B) Asimismo, se incorpora la documentación expedientes que a continuación se señalan: correspondiente a los Procedimiento sancionador PS/00047/2016 • Solicitud de información al BBVA con fecha 13 de octubre de 2015 en relación con la titularidad de la cuenta nº ***CCC.1 • Acta de Inspección E/02253/2015/I-01 de fecha 11 de enero de 2016 documentación adjunta y • Diligencia de fecha 4 de mayo de 2016 de incorporación de documentación. • Ratificación de informa de inspección a de fecha 9 de mayo de 2016 • Solicitud de información de fecha 4 de mayo de 2016 a R.R.R. • Diligencia de fecha 27 de mayo de 2016 conteniendo la contestación de Dña. N.N.N. y escrito de ratificación de la misma. Procedimiento sancionador PS/00053/2016 • Folios 443 al 464 del procedimiento sancionador PS/00053/2016, constituidos por varias Diligencias de incorporación de documentación del PS/000 47/2016. • Solicitud de información a B.B.B. y a MSP. • Diligencia de fecha 13 de mayo de 2016 de incorporación de la solicitud de información realizada a BBVA en el PS/00107/2016. • Diligencia de fecha 20 de mayo de 2016 de incorporación de la solicitud de información realizada a N.N.N. en el PS/00047/2016. • Diligencia de fecha 31 de mayo de 2016 de incorporación de la información remitida por la TGSS en contestación a la solicitud realizada en fecha 03/03/2016 en las actuaciones E/06878/2015. • Solicitud de información a MEYDIS de fecha 13 de mayo de 2016 y contestación de la misma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/58 • Diligencia de fecha 13 de junio de 2016 de incorporación de la información remitida por BBVA respecto de la actividad de los movimientos de la cuenta de MSP en relación con la petición de información efectuada en el PS/00107/2016 • Diligencia de fecha 12 de mayo de 2016 de incorporación del Acta de Inspección I/0005/2015/I-01 y su documentación adjunta. Procedimiento sancionador PS/00107/2016 • Contrato de Prestación de Servicios de Actualización y Enriquecimiento de Datos de fecha 01/06/2014 Procedimiento sancionador PS/00128/2016 • Escrito de alegaciones de Meydis, S.L. y documentación anexa al mismo contestando el acuerdo de inicio del procedimiento sancionador. Se corresponde con los folios 261 al 549 de dicho PS/00128/2016. Procedimiento sancionador PS/00190/2016 • Diligencia de fecha 1 de julio de 2016, (folios 429 al 435 de dicho expediente) Se observa que se han excluido las copias de los DNI incluidos en dicha documentación. Procedimiento sancionador PS/00241/2016 • Copia del Contrato de Prestación de Servicios de Manipulado de Piezas Publicitarias impresas de fecha 17 de febrero de 2015, suscrito entre MACOALBA CONSULTING, SL y MEYDIS, S.L. • Copia del Contrato de Selección de Datos de Carácter Personal y Personalización de Documentos Publicitarios de fecha 26 de febrero de 2015, suscrito entre MACOALBA CONSULTING, SL y MSP. OCTAVO: Con fecha 23 de diciembre de 2016 se formula propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a las entidades MACOALBA CONSULTING, S.L., MACRO SELECT PRINT, S.L. y MEYDIS S.L. con multa, a cada una de ellas, de 60.000 € (Sesenta mil euros), por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
18. b)de dicha norma, de conformidad con lo dispuesto en los artículos 45.2 y 4 de dicha norma.. Los intentos de notificación de dicha propuesta de resolución realizados, con fecha 27 de diciembre de 2016, a través del Servicio de mensajería MRW a las mencionadas entidades resultaron infructuosos por dirección incorrecta en el caso de MSP y MACOALBA y por no aceptar el envío en el caso de MEYDIS. Posteriormente, con fecha 28 de diciembre de 2016 se intenta la notificación de dicho acto a las entidades inculpadas a través de la Sociedad Estatal de Correos y Telégrafos, S.A., constando su notificación a dichas entidades. NOVENO: Con fecha 4 de enero de 2016 se CUERDA denegar la ampliación de plazo solicitada el 3 de enero de 2017 por MEYDIS por considerar que es conocedora de los elementos de juicio en los que se sustenta la propuesta de resolución, puesto que contaba con copia de los folios 1 al 207, excepto el folio nº 3 correspondiente al DNI de la denunciante, del PS/00381/2016, referentes a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/58 hechos concretos que motivaron el acuerdo de inicio del procedimiento sancionador, los cuales fueron remitidos mediante escrito de fecha 4 de agosto de 2016, y ya conocía el resto de hechos en los que se basa la propuesta de resolución del procedimiento, bien por haber sido tenidos en cuenta en diversas resoluciones acordadas en otros expedientes sancionadores instruidos por esta Agencia a esa empresa por hechos semejantes a los ahora analizados, y de los que esa parte había solicitado y obtenido copia en su momento, bien por haber sido propuesta su incorporación al presente procedimiento por MEYDIS, S.L. en el período de práctica de pruebas o bien por haberse hecho referencia a los mismos en sus alegaciones anteriores. A su vez, la solicitud también efectuada el 3 de enero de 2017 por MEYDIS de “copia completa en papel dela parte del expediente PS/00381/2016 que aún no ha sido puesta de manifiesto a esta parte”, es contestada mediante escrito de fecha 5 de enero de 2017 al que se adjunta copia de los folios 1 al 1221 del expediente, a excepción del folio nº 3, el cual consta como recibido por esa empresa el día 10 de enero de 2017. DÉCIMO: Con fecha 24 de enero de 2016 se registra de entrada escrito de la representación de MEYDIS solicitando el archivo del procedimiento con respecto a esta empresa con fundamento, básicamente, en los mismos argumentos utilizados con anterioridad, si bien varias de las alegaciones se realizan en referencia a la empresa PLENISAN que no interviene en el procedimiento como inculpada (alegaciones Tercera y Cuarta ), añadiendo a los ya realizados: - Omisión en el expediente de una serie de documentos, cuyo detalle se cita, que obraban en otros procedimientos sancionadores cuya incorporación al procedimiento fue solicitada en las primeras alegaciones, los cuales resultan relevantes para el ejercicio de su defensa, en la medida en que contienen pruebas que soportan las alegaciones formuladas en su descargo en relación con varios de los supuestos indicios que la AEPD ha tenido en cuenta para sustentar la responsabilidad de la empresa. A su vez, y a los mismos efectos, aduce que como en la propuesta de resolución aparece que en la web de la empresa figura cierta información con carácter comercial, resulta necesario incorporar al expediente copia del documento descriptivo de las fuentes de información y procesos informáticos seguidos por MEYDIS para los servicios de caracterización estadística de bases de datos que ofrece a sus clientes junto con muestra del resultado de dichos procesos, todo lo cual obra en el procedimiento PS/00107/2016. Justifica su derecho a no aportarlos en lo dispuesto en los artículos 28 y 53 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. - C/ Jorge Juan, 6 28001 – Madrid A pesar de que no se ha acreditado el tratamiento de los datos del denunciante por MEYDIS, ya que no se ha probado el suministro de datos por parte de MEYDIS en las campañas denunciadas ni la adopción de decisiones relativas a las mismas, la AEPD sustenta la responsabilidad imputada en la tergiversación de los hechos declarados probados en el procedimiento y en la incorporación de evidencias al procedimiento de forma sesgada que confirman la falta de objetividad que ha inspirado la interpretación de los hechos realizada. www.agpd.es sedeagpd.gob.es 26/58 - Resulta incongruente el seguimiento de procedimiento sancionador tanto a MEYDIS como a MSP como responsables del tratamiento de los datos del denunciante “con el argumento de que MSP es una mera entidad instrumental de MEYDIS, siendo ésta la que realmente adopta las decisiones.”. Se incide en que a la luz de la resolución acordada por la AEPD en el marco del PS/00124/2016, se prueba “que, en ocasiones, MSP actúa de forma independiente, con sus propios medios y al margen de Meydis, lo que ratifica su autonomía en la toma de decisiones y, por tanto, excluye definitivamente la idea de que las decisiones de MSP hayan sido realmente adoptadas por Meydis” - Falta de pronunciamiento en la propuesta de resolución del alegato esgrimido sobre la aplicación retroactiva al presente caso del RGPD, haciendo hincapié en que entró en vigor el 25/05/2016, lo que implica que dicha norma despliega sus efectos desde esa fecha, sin perjuicio de que la referencia del Reglamento a que “Será aplicable a partir del 25 de mayo de 2018” reconozca un periodo de dos años para que “sea exigible” a los sujetos obligados. Con arreglo a todo lo cual MEYDIS solicita: “Primero.- Que se tenga por presentado este escrito. Segundo. Que se incorpore al expediente la documentación, ya en poder de la AEPD, que se relaciona en la alegación primera de este escrito. Tercero.- Que en aplicación del Artículo 87 de la vigente LPAC (que tenía también en la normativa anterior, aplicable a este procedimiento, equivalente precepto), antes de dictar resolución, se practiquen actuaciones complementarias indispensables para resolver el procedimiento, consistentes en:
19. a)Dar traslado a esta parte de los folios del expediente mencionados en el apartado anterior, concediéndosenos un plazo adicional para que podamos formular alegaicones al respecto en ejercicio de nuestro derecho de defensa.
20. b)B) Requerir a los operadores para que, en base a la autorización de esta parte, faciliten los datos de conexión y tráfico efectuados a la IP de Meydis, incorporándose al expediente el resultado de dichas actuaciones y dando traslado a esta parte para que, en su caso, pueda formular alegaciones al respecto.” HECHOS PROBADOS PRIMERO:En fecha de 18/08/2015 tiene entrada en la AEPD escrito de la denunciante indicando que ha recibido en su domicilio una carta comercial de HOGAR Y DESCANSO, en la que le invitan a la presentación de unos productos sin haber facilitado sus datos personales a dicha empresa ni haber autorizado a la misma su uso con dicha finalidad. (folios 1 y 2). SEGUNDO: La denunciante aporta copia del envío postal citado en el hecho anterior dirigido a su nombre y apellidos y enviado a su dirección postal. La carta, con el logotipo de HOGAR Y DESCANSO y con referencia HD ***** **********1, es una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/58 invitación personal a un evento para la presentación exclusiva de los productos de HOGAR Y DESCANSO, sin especificar cuáles, a celebrar el “lunes 20 de julio de 2015” en el HOTEL BIENESTAR ***LOCALIDAD.1, en adelante HOTEL, de ***LOCALIDAD.1 (Pontevedra) en los horarios señalados en el envío. (folios 5 y 6). TERCERO: HOGAR Y DESCANSO, es el nombre comercial de MACOALBA . (folios 13 y 14) CUARTO: BIENESTAR ***LOCALIDAD.1, SLU, entidad propietaria de HOTEL, ha informado que la entidad MACOALBA remitió dos correos electrónicos con fechas 23 y 30 de junio de 2015 desde la cuenta ...1@hogardescanso.com para reservar una sala del establecimiento, el primero fijando la fecha de la reserva para el lunes 13 de julio de 2015 y el segundo modificándola para el 20 de julio de 2015/2015. HOTEL aporta copia de la factura emitida a nombre de MACOALBA por los servicios prestados, pagado por transferencia el 17/07/2015. (folios 11 al 14). QUINTO: Durante la inspección practicada por la AEPD en las instalaciones de MEYDIS con fecha 7 de abril de 2016, Acta de Inspección E/06698/2015/I-01, dicha entidad aportó copia de la siguiente documentación: (folios 15 al 17) - Factura nº 2015 ***FACTURA.1 emitida por MEYDIS a MACOALBA, con fecha 31 de julio de 2015, en cuyo detalle figuraba, entre otros conceptos, el trabajo realizado correspondiente a la Orden de Trabajo 3427/15 “HOGAR Y DESCANSOSALIDA 3- DEPÓSITO 10/07 CORREOS”, por los Trabajos de Julio 2015 de “Plegado de carta, ensobrado, cierre de sobre, clasificación y preparación para su depósito en Correos” de 13.607 unidades. Se adjuntaba un extracto del listado de trabajos realizados ese mes que incluía la campaña publicitaria HD-*****. (folios 15 al 17 y 19 al 22) - Ficha contable de MACOALBA de julio de 2015, que incluye la convocatoria de “***LOCALIDAD.1” asociada al cliente HOGAR Y DESCANSO y nº de pedido HD-*****, con un total de 13.607 envíos. (folios 23 y 24) - Factura nº 2015 ***FACTURA.2 expedida por MEYDIS a MSP, con fecha 31 de agosto de 2015, por el trabajo realizado correspondiente a la “Orden de Trabajo: 3718/15 MAQUETACIÓN, PERSONALIZACIÓN, GRABACIÓN Y OTROS TRABAJOS” (folios 26 y 27) - Extracto de cuentas” de MSP desde 01/04/2015 hasta 30/09/2015 y justificantes bancarios (“Cartas de Abono por Transferencia”) de pago de MSP a MEYDIS de fechas 28 y 29 de junio de 2015 (folios 28 al 30) SEXTO: Consta en el Acta de Inspección E/06698/2015/I-01, que durante la inspección presencial realizada el día 7 de abril de 2016 en la sede de MEYDIS, los representantes de la misma realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: (folios 15 al 17) “a. Solicitada a la entidad copia en soporte digital de la hoja Excel de la solicitud de información de la campaña HD***** de MACOALBA, informan los representantes de MEYDIS que dicha información no está disponible en soporte electrónico solo en papel, además la empleada que se encargaba del tema está de baja desde el día 29/1/2015, mostrando a los inspectores copia de dicho documento, que no se recaba. Solicitado el acceso al ordenador en que se recibieron los correos electrónicos, los representantes de la entidad señalan que tienen permitido el uso privado a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/58 empleados, por lo que consideran que se estaría vulnerando el secreto de la comunicaciones y no pueden dar acceso dichos correos. Señalado por los inspectores que existe jurisprudencia que permite a la empresa el acceso al correo del empleado, señalan los representantes de la entidad que es únicamente cuando no se permite a los empleados el uso privado, pero en MEYDIS si se permite dicho uso. Respecto al motivo por el que han podido aportar la documentación en posteriores solicitudes de información, los representantes de la entidad informan que se debe a que dicha documentación ha sido impresa y se encuentra archivada. Solicitada documentación relativa a la campaña aludida, manifiestan los representantes de la entidad que solicitemos los documentos que estimemos oportunos, que ellos los proporcionaran. Señalan los inspectores que desean obtenerlos, examinando el lugar en el que los documentos se encuentren, a lo que los representantes de la entidad se niegan, pues consideran que la información obtenida podría ser utilizada en perjuicio de su derecho de defensa en los procedimientos ya incoados por hechos idénticos. b. Los representantes de la entidad, tras buscar dicho correo electrónico, informan que no lo encuentran, se ofrecen a remitirlo a la Agencia en las próximas fechas. c. Solicitado ir al puesto de G.G.G., a fin de que ésta pueda realizar la búsqueda de la documentación y obtener el soporte electrónico de los correos, los representantes de la entidad niegan el acceso al puesto de la misma, por las mismas razones invocadas en el último párrafo de la letra a. , afirmando además que los archivos y equipos se encuentran ubicados en locales que tienen la consideración legal de domicilio de la entidad y no ha dado MEYDIS consentimiento para acceder a ellos y carecer los inspectores actuantes de autorización judicial para ello.” A tal efecto, los inspectores invocan el apartado 2 del artículo 28 del Real Decreto 428/1993 por el que se aprueba el Estatuto de la Agencia relativo al acceso a los locales y equipos informáticos y el artículo 124 del RLOPD, relativo a la obtención de información (folios 16 y 17). SÉPTIMO: Con fecha 8 de junio de 2016 MACOALBA informa a esta Agencia que “Las comunicaciones entre MACRO SELECT PRINT y MACOALBA se efectuaban por vía telefónica, por lo que no existe documentación al respecto que podamos aportar. Era la empresa MACRO SELECT PRINT la que diseñaba las campañas fijando los criterios de selección del lugar, fecha y destinatarios que seleccionaba los datos en sus ficheros. MACOALBA no tiene acceso a ningún tipo de datos, ni constan en nuestro poder.” OCTAVO: Consta en el expediente la correspondencia mantenida entre MACOALBA y MEYDIS, vía correo electrónico, en relación con el encargo de la primera a la segunda de la impresión de las cartas correspondientes a los Eventos a celebrar del 20 al 23 de julio, entre los que se encuentra el publicitado en la carta recibida por la denunciante, cuyo detalle es el siguiente: - Correo electrónico de fecha 2 de julio de 2015 enviado a las 13:28 desde la cuenta ...1@hogardescanso.com, de la que es usuaria S.S.S. de HOGAR Y DESCANSO, firma comercial de MACOALBA, a G.G.G., Administradora de Cuentas de MEYDIS, con Asunto: “PORTADAS SEMANA DEL 20 al 23 DE JULIO”, figurando relacionado en datos adjuntos el “EVENTO HOTEL BIENESTAR ***LOCALIDAD.1 20C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/58 07-205.xlsx” constituido por la portada enviada a MEYDIS para la impresión de la carta, con el texto: “Te envío las portadas de la semana del 20 al 23 de julio. Un saludo” (folios 79 al 80) - Correo electrónico de fecha 3 de julio de 2015 enviado a las 11:40 por G.G.G., entre otros destinatarios, a S.S.S., con CC a E.E.E., Administrativa de cuentas de MEYDIS, con Asunto: “CARTAS PARA OK (EVENTOS DE 20 al 23 JULIO)”, de recepción del correo anterior. (folios 81 y 82) - Correo electrónico de fecha 6 de julio de 2015 enviado a las 13:37 por E.E.E., Administrativa de cuentas de MEYDIS, para, entre otros, G.G.G. y S.S.S., con Asunto: “CARTAS MODIFICADAS PARA OK (EVENTOS DE 20 al 23 JULIO)”, figurando relacionado en datos adjuntos el “EVENTO HOTEL BIENESTAR ***LOCALIDAD.1 20-07-205.xlsx”, al que se adjunta impresión sin personalizar de la portada de la invitación correspondiente a la carta del evento a celebrar el 20/07/2015 en el HOTEL BINESTAR ***LOCALIDAD.1, HYD *****, Ref. ******, cuyo texto es: “Te envío las cartas que nos habéis pedido modificar para ok.“ (folios 81 al 83) - Correo electrónico de fecha 6 de julio de 2015 enviado a las 15:03 por S.S.S., de HOGAR Y DESCANSO, a E.E.E., de MEYDIS, con Asunto: Re: CARTAS MODIFICADAS PARA OK (EVENTOS DE 20 al 23 JULIO)”, dando el OK de la portada a MEYDIS. (folio 84) NOVENO: Con fecha 12 de junio de 2014 las entidades MEYDIS y MSP, ésta como el CLIENTE, suscribieron un “Contrato de prestación de Servicios de MEYDIS, S.L. a MACRO SELECT PRINT, S.L.” en virtud del cual MEYDIS actúa como encargada de tratamiento de los datos del fichero de MSP, en los términos que a continuación se indican: (folios 132 al 138) “EXPONEN i.Que EL CLIENTE se encuentra interesado en contratar la prestación de determinados servicios, consistentes en la impresión y envío de determinadas comunicaciones postales de sus propios clientes (en adelante, Clientes Finales), con objeto de anunciar la celebración de eventos en los que el Cliente Final hará presentaciones de sus productos para su venta a las personas convocadas. ii.Que MEYDIS es una empresa dedicada, principalmente, a la prestación de servicios de impresión y manipulado de documentos que dispone de la experiencia y recursos suficientes para el desarrollo y ejecución de los mencionados servicios. iii.Que EL CLIENTE ha seleccionado a MEYDIS para la prestación de dichos servicios, encontrándose esta última interesada en llevarlos a cabo. De conformidad con ello y reconociéndose las partes la capacidad y legitimación con la que actúan, han decidido la formalización del presente CONTRATO DE PRESTACIÓN DE SERVICIOS, que se regirá por las siguientes ESTIPULACIONES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/58 PRIMERA.» OBJETO El objeto del presente Contrato es la regulación de las condiciones en las que MEYDIS prestará a EL CLIENTE los siguientes servicios: I. Impresión y envío de las cartas que incluyan las comunicaciones descritas en el expositivo primero de este contrato. Dichos servicios consistirán en cada campaña que se lleve a cabo en lo siguiente: a. Recepción del modelo de carta publicitaria que se deba utilizar en la campaña. b. Recepción de un fichero generado por EL CLIENTE con los datos de nombre, apellidos y domicilio postal completo de las personas a las que deba hacerse el envío de la comunicación. Para la transmisión a MEYDIS del modelo y los ficheros mencionados en las dos letras anteriores, podrán utilizarse los siguientes sistemas, a elección del CLIENTE: entrega a través de un ftp, entrega a través de servicios de alojamiento cloud, servicios de mensajería, etc.). c. Impresión de dichos datos en las cartas a enviar. d. Doblado, ensobrado y franqueo de las cartas. e. Depósito de las cartas en el correspondiente operador postal para su envío. II. Adicionalmente, puesto que el CLIENTE carece de infraestructura suficiente para ello, podrá solicitar a MEYDIS que desempeñe funciones de intermediación en la gestión de las relaciones entre EL CLIENTE y los Clientes Finales, de modo que las peticiones de servicio u otras comunicaciones dirigidas desde estos al CLIENTE se hagan utilizando a MEYDIS como canal. En estos casos, MEYDIS se limitará a trasladar al CLIENTE la comunicación que reciba del Cliente Final. (…) SEXTA.- TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL. 6.1.- Para llevará cabo los trabajos objeto de este contrato, MEYDIS tendrá acceso a los datos de carácter personal que consten en los ficheros de EL CLIENTE. En este sentido, MEYDIS tratará dichos datos en nombre y por cuenta del cliente, para la prestación de servicios y como encargado del tratamiento. EL CLIENTE declara expresamente que los datos personales a los que accederá MEYDIS para la prestación del servicio forman parte de un fichero que se encuentra oportunamente inscrito en el Registro General de la Agencia Española de Protección de Datos y que dichos datos personales cumplen todas las condiciones exigidas por la vigente normativa sobre protección de datos de carácter personal; en especial, que las personas titulares de dichos datos han sido convenientemente Informados de su tratamiento en las condiciones legalmente exigidas y han prestado su consentimiento para su uso por EL CLIENTE con los fines que son objeto de este contrato. 6.2 Los datos de carácter personal de los ficheros del EL CLIENTE a los que acceda MEYDIS, S.L. para la prestación de sus servicios serán tratados de acuerdo con las previsiones del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), en condición de encargado del tratamiento. A tal efecto, MEYDIS manifiesta expresamente, bajo su responsabilidad, que reúne todas las garantías para el cumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/58 disposiciones del Real Decreto 1720/2007, de 21 de diciembre, por el que se desarrolla la LOPD y se compromete a: III. En la condición de encargado del tratamiento de los datos de EL CLIENTE, únicamente tratará los datos conforme a las instrucciones de este, prohibiéndose expresamente su aplicación o utilización con un fin distinto al establecido en la relación que les vincula. Como norma general, las instrucciones que debe cumplir MEYDIS en el tratamiento de datos personales son las que, en buena lógica se deducen de la propia naturaleza de los servicios contratados y son necesarias para su cumplimiento. En caso de que EL CLIENTE estimase oportuno impartir instrucciones distintas de las mencionadas, las comunicará expresamente a MEYDIS. IV MEYDIS no podrá ceder o comunicar los datos a los que acceda, ni siquiera para su conservación, a terceras personas, salvo indicación expresa de EL CLIENTE.” DÉCIMO: Con fecha 17 de febrero de 2015 las entidades MEYDIS y MACOALBA, ésta como el CLIENTE, suscribieron un “Contrato de prestación de Servicios de manipulado de piezas publicitarias impresas” en que exponen y acuerdan: (folios 87 al 90) I. Que el CLIENTE tiene la voluntad de realizar una campaña de marketing directo consistente en el envío de publicidad. A tal fin, el CLIENTE ha encargado a una tercera empresa los servicios de selección de direcciones postales e impresión de datos personales de los destinatarios de las piezas publicitarias que desea enviar. II. Que, adicionalmente, el CLIENTE necesita contratar los servicios de manipulado material de dichas piezas publicitarias ya impresas, con objeto de que lleguen a sus destinatarios, a cuyo fin requiere los servicios de una empresa que pueda efectuar dichas operaciones en nombre y por cuenta del CLIENTE. III. Que MEYDIS dispone de la infraestructura y experiencia suficientes para llevar a cabo las operaciones de manipulado material y puesta en el correo de las piezas publicitarias impresas que necesita el CLIENTE. IV. Que es voluntad de las partes que MEYDIS preste al CLIENTE los antedichos servicios. Las parte, en virtud de los expositivos precedentes, ACUERDAN: I. Por virtud de este contrato, MEYDIS se compromete a prestar al CLIENTE los siguientes servicios:
21. a)Recepción de las piezas publicitarias, en las que ya se encontraran impresos los datos de nombre, apellidos y dirección postal de las personas a las que deba ser enviadas. Las piezas publicitarias se entregaran a MEYDIS en soporte papel y apiladas en cajas, sin orden o indexación alguna. Dichas cajas serán enviadas a MEYDIS directamente por la tercera empresa que haya sido contratada por el CLIENTE para los servicios de selección e impresión de los datos personales en la publicidad.
22. b)Doblado, ensobrado y franqueo de las piezas publicitarias.
23. c)Depósito de la publicidad en el correspondiente operador postal para su envío. II. MEYDIS únicamente tratará las piezas publicitarias impresas conforme a las instrucciones del CLIENTE, prohibiéndose expresamente su aplicación o utilización C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/58 con un fin distinto al establecido en la relación que les vincula. Como norma general, las instrucciones que debe cumplir MEYDIS son las que, en buena lógica se deducen de la propia naturaleza de los servicios contratados y son necesarias para su cumplimiento. En caso de que CLIENTE estimase oportuno impartir instrucciones distintas de las mencionadas, las comunicará expresamente a MEYDIS. III. MEYDIS no podrá ceder o entregar las piezas publicitarias o la información que contengan a terceras personas, salvo indicación expresa de CLIENTE. IV. MEYDIS se compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para la seguridad de las piezas publicitarias impresas, las medidas de seguridad de nivel básico de las establecidas en el Real Decreto 1720/2007, debiendo elaborar su propio Documento de Seguridad, en el que se recojan todas las medidas legales y cumplirlo. (…) VII. El CLIENTE declara que ha adoptado las medidas contractuales suficientes para garantizar que los datos personales utilizados para el envío de la publicidad cumplen las previsiones impuestas por la Ley Orgánica de Protección de Datos de Carácter Personal y su Reglamento de desarrollo en lo relativo a la realización de campañas de marketing con bases de datos de terceros.” DECIMOPRIMERO: MSP ha manifestado a esta Agencia, y como consta suficientemente acreditado en respuestas a múltiples requerimientos de información realizados en diversas actuaciones previas de inspección, que los datos personales para campañas publicitarias habían sido obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.), revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc; sin que nunca se haya aportado prueba acreditativa de ello y utilizando parámetros de identificación de los destinatarios de cada campaña, consistiendo en una segmentación por zona de ubicación del domicilio (folios 388, 389) DECIMOSEGUNDO: Consta testimonio de N.N.N. una ex empleada de un cliente de MEYDIS donde manifiesta que MSP es una entidad meramente formal y que nunca trato con personal de dicha entidad a pesar de que era la responsable de los asuntos a tratar y en cambio trato con personal de MEYDIS. Asimismo sostiene que MSP cambiaba de denominación social según iba indicando MEYDIS. Finalmente manifiesta que el esquema de negocio en acciones de marketing postal nominativo responde a la determinación de las características de los destinatarios por parte del cliente (en este caso MACOALBA) para que el proveedor de la base de datos genere un determinado fichero de destinatarios de dichas acciones. (folios 756 al 767) DECIMOTECERO: N.N.N. afirma, entre otras cuestiones, lo siguiente: (folios 763-767) (…) En su comienzo HH solicitaba el número de registros o direcciones fijando unos determinados criterios como son rango de edad, sexo, nacionalidad, nivel socio cultural, nivel de estudios etc. Estos registros se pedían-por c.p o poblaciones y la empresa Meydis se encargaba de su manipulación, ensobrado y envió.(…) (…) La relación comercial entre HH y MSP comenzó en julio de 2014 ya que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/58 anteriormente la empresa MSP tenía otras razones sociales, detalló a continuación las que recuerdo: -Megadis -Mega Data integral services (…) (…) se le solicitaba la información de cuantos registros tenían para una población en concreta o c.p y posteriormente nosotros les decíamos cuántos envíos queríamos que realizasen indicándoles el lugar de celebración de la campaña, la invitación a utilizar horarios de reuniones etc. y ellos seleccionaban dicho fichero, imprimían y manipulaban las invitaciones para su posterior envió.(…) (…) En el año 2014 comenzamos a comprar dichas bases de datos, se le solicitaba por email las poblaciones o c.p. que queríamos comprar, ellos nos enviaban una estadística en la que salía por población y c.p. los registros de los que disponían según nuestros criterios marcados por la compañía, se les daba un ok de aceptación y posteriormente MSP nos enviaba la base de datos solicitada en formato Excel con la información que nosotros pedíamos: -Nombre y apellidos -DNI -Dirección completa -Localidad -Provincia -C.P •Fecha de nacimiento -Datos del cónyuge (nombre y apellidos, DNI y fecha de nacimiento) -Teléfono (…) (…) aclaro que siempre hemos trabajado con MEYDIS con Macro era puro formalismo mediante un contrato pero realmente esta empresa ni siquiera nos facturaba siempre era MEYDIS incluso los ficheros que nos proporcionaban con la información de clientes nos la mandaban desde MEYDIS. La única diferencia ha sido que en nuestras cartas íbamos modificando según nos solicitaba MEYDIS la empresa que era propietaria de los ficheros y que es obligatorio ponerlo en la parte inferior de la carta, esta empresa si no recuerdo mal se cambió unas tres o cuatro veces, por lo que yo tenía entendido era que en cuanto tenían alguna denuncia importante cerraban dicha empresa y abrían otra, pero realmente con la que siempre hemos trabajado es MEYDIS (…) (…) TODO lo tratábamos con MEYDIS, solicitudes, cambios, estadísticas, composiciones de cartas, etc., nunca he tratado con nadie de la empresa MSP, el correo que aparece en mi antiguo escrito es porque recibí un único mail de esta dirección, todo lo demás eran de MEYDIS (…) DECIMOCUARTO: Consta que MEYDIS a través de su página web publicita servicios de los que se deduce que es propietaria de diversas bases de datos para uso publicitario (folios 378 al 385) DECIMOQUINTO: La Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda ha informado que el certificado digital a nombre de MSP fue solicitado y descargado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/58 desde la dirección IP ***IP.1 (folio 166). Dicha IP está asignada a MEYDIS. DECIMOSEXTO: El BBVA ha informado, respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, que se había comprobado que entre el 10/09/2015 y el 02/02/2016 fueron realizados un total de 20 accesos desde la dirección IP ***IP.1, que está asignada a MEYDIS, como se ha detallado en el punto anterior. (563-571 574-579 ,580-588) DECIMOSÉPTIMO: En la web de la Comisión Nacional de los Mercados y la Competencia constaba que MEYDIS estaba entre las entidades que tenían acceso al Sistema de Gestión de Datos de Abonado FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
24. g)en relación con el artículo 36 de la LOPD. II El artículo 43.1 de la LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, al disponer que: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley“. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
25. d)de la LOPD, el “Responsable del fichero o tratamiento” es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
26. q)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) se considera como “Responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” A su vez, los apartados b), c), definen los siguientes conceptos:
27. e)
28. g)del mencionado artículo 3 de la LOPD “
29. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
30. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” “
31. e)Afectado o interesado: persona física titular de los datos que sean objeto del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/58 tratamiento a que se refiere el apartado
32. c)del presente artículo”. “ “
33. g)Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” Definición esta última que se completa en el art. 5.1.
34. i)del RLOPD que establece que el encargado del tratamiento es “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.” La LOPD, en su artículo 2, y en relación con el ámbito de aplicación objetivo de la norma, lo circunscribe a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. De acuerdo con esta delimitación, la LOPD establece la definición del fichero y diferencia las figuras de responsable del fichero y de responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
35. b)y
36. d)de ese artículo 3.
37. b)y
38. d)de la LOPD anteriormente transcritos. Ello es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro ordenamiento jurídico, y conforme a ella, en el caso de los datos personales susceptibles de tratamiento automatizado, se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Por otra parte, el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, por el que se deroga la Directiva 94/46/CE, establece en su artículo 2.1 que el objeto de la norma es el “tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”; norma en vigor desde el 25 de mayo de 2016 y aplicable a partir del 25 de mayo de 2018. De acuerdo con lo que se ha señalado, el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros e, incluso, a los meros encargados de aquél conforme a lo previsto en el artículo 12.4 de dicha norma. Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El mencionado artículo 12 de la LOPD establece respecto del “Acceso a los datos por cuenta de terceros” que: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/58 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. “ Sobre este particular, la Audiencia Nacional en su sentencia de 3 de marzo de 2004, citada entre otras en su sentencia de 18 de enero de 2006, al señalar que: “Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
39. d)y g), respectivamente, de la Ley Orgánica 15/1999”. En concordancia con lo expuesto, en el presente caso se ha producido un tratamiento de los datos personales de la denunciante para la realización de un envío de publicidad postal, en el que figuraban su nombre, apellidos y dirección postal, el cual se realizó por MEYDIS por encargo de MACOALBA, que era la empresa cuyos productos y servicios se promocionaban en el envío recibido por la denunciante, cuyos datos personales, a su vez, fueron suministrados por MSP que era la empresa responsable del fichero utilizado para seleccionar el público objetivo o destinario de la campaña en función de los intereses comerciales de la beneficiaria de la publicidad. En consecuencia, estas entidades, MSP, MACOALBA y MEYDIS consideran responsables de este específico tratamiento de datos personales. se III El presente procedimiento se circunscribe a determinar si las mencionadas entidades vulneraron lo dispuesto en el artículo 6.1 de la LOPD al tratar los datos personales de la denunciante (nombre y apellidos y dirección postal contenidos en un fichero de MSP) con fines comerciales, por cuanto ésta recibió una carta invitándola a acudir a un evento publicitario de HOGAR Y DESCANSO, firma comercial de MACOALBA, datos que fueron obtenidos de un fichero de MSP. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/58 encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6.1 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. No obstante, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 38/58 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ En consecuencia, corresponde al responsable del tratamiento estar en disposición de probar que cuenta con el consentimiento del afectado cuando realiza algún tratamiento con los datos personales del afectado, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD. En este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006, por todas, viene a señalar que: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Por otra parte, el artículo 6 del ya citado Reglamento general de protección de datos, Reglamento (UE) 2016/679 establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
40. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
41. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma en vigor y aplicable a partir del 25 de mayo de 2018. El presupuesto factico de la infracción atribuida a MACOALBA, MSP y MEYDIS se concreta en el tratamiento de los datos personales de la denunciante materializado en la realización de acciones de marketing comercial, sin acreditar el consentimiento de la afectada o la existencia de cualquier causa que lo dispensase, excediéndose MEYDIS en su condición de encargado del tratamiento de conformidad con su posición en los contratos suscritos. Consta en el procedimiento que, en el caso examinado, la denunciante ha comunicado la recepción en su domicilio de una carta publicitaria de HOGAR Y DESCANSO promocionando pr