PS-00417-2016

1/39 Procedimiento Nº PS/00417/2016 RESOLUCIÓN: R/00087/2017 En el procedimiento sancionador PS/00417/2016, instruido por la Agencia Española de Protección de Datos a las entidades MACRO SELECT PRINT, S.L., MEYDIS, S.L. y PLENISAN, S.L., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 8 de septiembre de 2015 tuvo entrada en esta Agencia un escrito de D. A.A.A. (en adelante el denunciante) en el que declaraba que: <<El pasado día 18 de mayo apareció en el buzón de mi domicilio indicado en el encabezamiento de la presente, la carta de la empresa SISTEMAS MEDICOS PROFESIONALES, S.L. [en la actualidad PLENISAN, S.L.] que les adjunto en fotocopia, así como la del sobre que la contenía (…); en la que como perfectamente se puede apreciar figuraban mis datos personales exactos en los que se refiere a nombre, apellidos y domicilio. En el párrafo primero de dicha carta (que por cierto, nada tiene que ver con “sistemas médicos”) indican textualmente que hace aproximadamente quince días, le enviamos una invitación para asistir a una reunión y recoger unos obsequios que teníamos reservados para usted y por causas que desconocemos no acudió” Puesto en contacto al respecto mediante correo postal con la mercantil SISTEMAS MEDICOS PROFESIONALES, SL, me informan que no disponen de mis datos personales, ni les consta que dichos datos hayan formado nunca parte de sus ficheros. Igualmente me informan de que como “(..) se indica al pie de la invitación que usted ha recibido, la empresa publicitaria, siendo ella la que realiza y efectúa las campañas publicitarias para nosotros utilizando siempre datos personales de sus propios ficheros, (...) entendemos que los utilizados en la publicidad que usted ha recibido deben tener ese origen’. Por ello me dirigí por correo postal certificado y con acuse de recibo a MACRO SELECT PRINT, S.L en fecha 23 de julio (…), sin que hasta el momento (transcurridos casi dos meses) haya tenido ni recepción de la acreditación postal del escrito dirigido, ni por supuesto contestación alguna al respecto… 1. No me consta, ni tengo conocimiento de que haya facilitado voluntaria y conscientemente mis datos personales (nombre, apellidos y domicilio) a ninguna de las dos sociedades anteriormente mencionadas. 2. No he dado expresa autorización a ninguna de ellas para que mis datos personales sean utilizados con fines de propaganda u otros similares al que nos ocupa, ni ninguno otro. 3. Las explicaciones dadas por la empresa SISTEMAS MEDICOS PROFESIONALES, S.L en su escrito de fecha 3 de Junio de 2.015, recibido el día 11 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/39 del mismo mes (…) no resultan convincentes ni justificativos de la cuestión planteada. 4. La empresa MACRO SELECT PRINT, S.L. ni se ha dignado a contestar a mi escrito>> Para acreditar estos hechos, aportaba el denunciante copia del envío citado, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convoca al denunciante a una demostración comercial a realizar en el EUROSTARS HOTEL DE LA RECONQUISTA (en adelante el HOTEL) de Oviedo el día 26 de mayo de 2015. El documento exhibe el logotipo de PLENISAN. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a las entidades más abajo reseñadas. De este modo, en el informe de actuaciones previas de investigación E/06697/2015 se detalla lo siguiente: 1. <<Solicitada información al HOTEL, aporta un correo electrónico remitido en fecha de febrero de 2015 desde una cuenta del dominio sistemasmedicos.com en que se solicita información y disponibilidad de sala para los días 26 al 28 de mayo de 2015. 2. Con fecha 12/6/2014 fue escriturada de constitución notarial de la mercantil MSP. 3. Con fecha 12/6/2014 aparece suscrito un contrato en que MEYDIS proveerá a MSP de los siguientes servicios: <<1. Impresión y envío de las cartas que incluyan las comunicaciones descritas en el expositivo primero de este contrato. Dichos servicios consistirán en cada campana que se lleve a cabo en lo siguiente: a. Recepción del modelo de carta publicitaria que se deba utilizar en la campaña. b. Recepción de un fichero generado por EL CLIENTE con los datos de nombre, apellidos y domicilio postal completo de las personas a las que deba hacerse el envío de la comunicación. Para la transmisión a MEYDIS del modelo y los ficheros mencionados en las dos letras anteriores, podrán utilizarse los siguientes sistemas, a elección del CLIENTE: entrega a través de un ftp, entrega a través de servicios de alojamiento cloud, servicios de mensajería, etc.). c. Impresión de dichos datos en las cartas a enviar. d. Doblado, ensobrado y franqueo de las cartas. e. Depósito de las cartas en el correspondiente operador postal para su envío. II. Adicionalmente, puesto que el CLIENTE carece de infraestructura suficiente para ello, podrá solicitar a MEYDIS que desempeñe funciones de intermediación en la ....3 de las relaciones entre EL CLIENTE y los Clientes Finales, de modo que las peticiones de servicio u otras comunicaciones dirigidas desde estos al CLIENTE se hagan utilizando a MEYDIS como canal. En estos casos, MEYDIS se limitará a trasladar al CLIENTE la comunicación que reciba del Cliente Final.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/39 4. De la información y documentación aportada por Correos respecto del apartado de correos número 61012 de Madrid se desprende: a. Mediante contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual del apartado de correos citado, el domicilio aportado fue en la calle (C/...1) nº 18, 8, 14 - ***CP.1 Madrid. Aportaban igualmente como teléfono de contacto del administrador el número de línea móvil ***TEL.1. b. Junto a la documentación se incluye copia del DNI del administrador de la entidad, en el que figura como domicilio la calle (C/...2) 26, PBJ IZ de Madrid. c. Aporta igualmente Correos copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014. En dicha escritura figura D. B.B.B., quien crea la misma actuando en su propio nombre, suscribiendo la totalidad de las acciones emitidas de dicha sociedad constituyéndose como socio único y administrador de la misma. En dicha escritura D. B.B.B. cita como domicilio propio la calle (C/...1) 8 de Madrid, que coincide con la sede social de la entidad constituida. d. Aparecen como autorizados a retirar la correspondencia del apartado de correos de MSP dos personas que, de la información aportada por la Tesorería General de la Seguridad Social, trabajan para MEYDIS. 5. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle C/ (C/...1) 8, 8º 14 de Madrid, sede social de MACRO SELECT PRINT S.L., llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono ***TEL.1, teléfono conocido del administrador único de la entidad, que no es contestada. - A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el interior. Durante la espera se realiza una nueva llamada al número de teléfono ***TEL.1, que no es contestada. - Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo D. B.B.B., administrador de MACRO SELECT PRINT S.L. Pese a ser el domicilio conocido de MACRO SELECT PRINT S.L. no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. C/ Jorge Juan, 6 28001 – Madrid Se intenta acceder a la calle (C/...1) 18, pero se observa que no www.agpd.es sedeagpd.gob.es 4/39 existe dicho número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/...1) 8 que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle (C/...2), 26, PBJ IZ, y tras llamar a dicho domicilio, atiende una persona …, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a D. B.B.B.. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee XXXXX indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con D. B.B.B., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>>. Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones profesionales, solicitan ponerse en contacto con D. B.B.B., la persona que les atiende, que se identifica como D. C.C.C., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a D. B.B.B. que se ponga en contacto con el mismo. El gerente de ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. 6. Mediante escrito con fecha 28 de octubre de 2015 el administrador de MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/39 Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> 7. Se ha solicitado al administrador de MSP que informe de la dirección efectiva de administración y ....3 de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. Mediante escrito de fecha 19/5/2016 se remitió una carta a la dirección postal del administrador de MSP. Se realizaron dos intentos de entrega por Correos, en fechas 23 y 30/5/2016, resultando finalmente devuelta la carta como “Caducada”. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos. 8. Según consta en las actuaciones previas de inspección de referencia E/03693/2015, de la que se ha abierto el procedimiento sancionador de referencia PS/00124/2016, una exempleada de HOME XXI informa, entre otros extremos: a. Fecha en que comenzó la relación comercial de HOME XXI con MSP. <<La relación comercial entre HOME XXI y MSP comenzó en julio de 2014 ya que anteriormente la empresa MSP tenía otras razones sociales, detalló a continuación las que recuerdo: -Megadis -Mega Data integral services>> Megadis y Mega Data Integral Services son la misma empresa. b. Respecto de las comunicaciones con MSP: <<La forma de comunicación era vía telefónica y sobre todo vía email. En los inicios la persona de contacto era Rosa (no recuerdo el apellido) luego asignaron a D.D.D. (se ha jubilado) y posteriormente tratábamos todo con: -E.E.E.(.......1@meydis.com) -F.F.F. (.......2@meydis.com) -G.G.G. (.......3@meyis.com) Estas personas son las que trabajábamos el día a día, luego con otras personas se trataban otros temas, que normalmente se encargaba directamente el gerente o director ejecutivo de la compañía: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/39 -H.H.H. (.......4@meydis.com, .......5@meydis.com) -I.I.I. (.......6@meydis.com) -.......7 (.......7@meydis.com) -macro select print (macroselectprint@mail.com) EI teléfono donde nos comunicábamos es el ***TEL.2>> Se ha podido comprobar que este teléfono es de MEYDIS. 9. Según consta en las actuaciones de inspección de referencia I/00005/2015/I-01 (PS/00435/2015) a una solicitud de datos realizada por el inspeccionado para presentar un documento ante esta Agencia como aportado por MSP, fue respondida mediante un correo electrónico procedente de la cuenta .......7@meydis.com con copia para la cuenta .......5@meydis.com. 10. De la información aportada por la Tesorería General de la Seguridad Social consta que la única empleada de MSP ha sido J.J.J., quien anteriormente trabajó para MEGA DATA INTEGRAL SERVICES SL (Megadis) y para DATA INTEGRAL ACTION SL, empresas reiteradamente sancionadas por esta Agencia con motivo de denuncias similares a la actual. El administrador de estas dos últimas empresas también lo ha sido de TODO DATA INTEGRAL SERVICES, SL, igualmente sancionada por esta Agencia por denuncias similares a la actual. 11. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. 12. Solicitada información al BANCO BILBAO VIZCAYA ARGENTARIA, S.A. respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos a MSP, se ha podido comprobar que entre el 10/9/2015 y el 2/2/2015 se han realizado un total de 20 accesos desde la dirección IP ***IP.1, que está asignada a MEYDIS. 13. La Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda ha informado que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección IP ***IP.1. Dicha IP está asignada a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/39 MEYDIS. 14. En fecha 7 de abril de 2016 se realizó visita de inspección a MEYDIS. Durante la misma, los inspectores comunican al representante de MEYDIS S.L. que su visita tiene relación con la denuncia presentada con motivo de un envío publicitario impreso por la entidad. Manifiestan los representantes de la entidad que en ese momento existen abiertos un total de siete procedimientos sancionadores contra la misma por idénticos hechos a los que van a ser objeto de la presente inspección, sobre los cuales se ha solicitado la acumulación ante la Agencia y sobre los cuales no se ha abierto fase probatoria, por lo que la información que se obtenga en las presentes actuaciones podría vulnerar el derecho de defensa en dichos procedimientos. Igualmente desean manifestar que se están recabando mediante inspección información que se podría haber recabado igualmente por escrito, sin necesidad de interrumpir el funcionamiento de la empresa. También solicitan hacer constancia que la autorización en base a la cual se realiza la inspección el día de hoy fue concedida por la directora de la Agencia con fecha 21/1/2016, antes de que se incoaran contra MEYDIS los procedimientos sancionadores actualmente abiertos, lo cual entienden que puede afectar a la legalidad de la inspección. 15. Los representantes de MEYDIS S.L. realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Solicitada a la entidad copia en soporte digital de la hoja Excel de la solicitud de información de la campaña SM4436 de PLENISAN SL (en adelante PLENISAN), informan los representantes de MEYDIS que dicha información no está disponible en soporte electrónico solo en papel, además la empleada que se encargaba del tema está de baja desde el día 29/1/2015, mostrando a los inspectores copia de dicho documento, que no se recaba. Solicitado el acceso al ordenador en que se recibieron los correos electrónicos, los representantes de la entidad señalan que tienen permitido el uso privado a los empleados, por lo que consideran que se estaría vulnerando el secreto de la comunicaciones y no pueden dar acceso dichos correos. Señalado por los inspectores que existe jurisprudencia que permite a la empresa el acceso al correo del empleado, señalan los representantes de la entidad que es únicamente cuando no se permite a los empleados el uso privado, pero en MEYDIS si se permite dicho uso. Respecto al motivo por el que han podido aportar la documentación en posteriores solicitudes de información, los representantes de la entidad informan que se debe a que dicha documentación ha sido impresa y se encuentra archivada. Solicitada documentación relativa a la campaña aludida, manifiestan los representantes de la entidad que solicitemos los documentos que estimemos oportunos, que ellos los proporcionaran. Señalan los inspectores que desean obtenerlos, examinando el lugar en el que los documentos se encuentren, a lo que los representantes de la entidad se niegan, pues consideran que la información obtenida podría ser utilizada en perjuicio de su derecho de defensa en los procedimientos ya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/39 incoados por hechos idénticos. b. Los representantes de la entidad aportan copia impresa del correo electrónico por el que se encargaba a MEYDIS la realización de la citada campaña, así como de su fichero adjunto. c. Solicitado ir al puesto de G.G.G., a fin de que ésta pueda realizar la búsqueda de la documentación y obtener el soporte electrónico de los correos, los representantes de la entidad niegan el acceso al puesto de la misma, por las mismas razones invocadas en el último párrafo de la letra a. , afirmando además que los archivos y equipos se encuentran ubicados en locales que tienen la consideración legal de domicilio de la entidad y no ha dado MEYDIS consentimiento para acceder a ellos y carecer los inspectores actuantes de autorización judicial para ello. A tal efecto, invocan el apartado 2 del artículo 28 del Real Decreto 428/1993 por el que se aprueba el Estatuto de la Agencia, por el que se dispone que: <<2. El responsable del fichero estará obligado a permitir el acceso a los locales en los que se hallen los ficheros y los equipos informáticos previa exhibición por el funcionario actuante de la autorización expedida por el Director de la Agencia. Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá ajustarse además a las reglas que garantizan su inviolabilidad.>> Informan los inspectores al inspeccionado que, según señala el RLOPD: <<Artículo 124. Obtención de información. Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de ....3 y soporte del fichero o ficheros sujetos a investigación, accediendo d. Aportan los representantes de la entidad copia de la factura relativa a la campaña, así como detalle de dicha factura, y de la ficha contable de PLENISAN S.L. e. Aportan los representantes de la entidad copia de la factura relativa a la campaña, así como detalle de dicha factura, de la ficha contable y órdenes de pago de MACRO SELECT PRINT S.L. Solicitada información a PLENISAN mediante escrito con salida en fecha 26/7/2016, siendo devuelta por el Servicio de Correos tras dos intentos de entrega como “No retirado de la oficina”>>. TERCERO: Con fecha 2 de septiembre de 2016 la Directora de esta Agencia acordó iniciar procedimiento sancionador a MACRO SELECT PRINT, S.L., a MEYDIS, S.L. y PLENISAN, S.L. por presuntas sendas infracciones del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica, pudiendo ser sancionada cada una de las citadas sociedades con multa de 40.001 € a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/39 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley Orgánica. CUARTO: Con fecha 22 de septiembre de 2016 tuvo entrada en esta Agencia un escrito del denunciante en el que manifestaba su “agradecimiento y sobre todo mi felicitación por la labor inspectora –ardua, profunda y exhaustiva-“ con la finalidad de esclarecer los hechos; esperando la notificación de la correspondiente resolución. QUINTO: Con fecha 4 de octubre de 2016, previa trámite de audiencia con remisión de copia del expediente de actuaciones previas de investigación E/06697/2015 y concesión de ampliación de plazos en fecha 9 de septiembre de 2016, tuvo entrada en esta Agencia un escrito de la entidad MEYDIS, S.L. en el que se realizaban las correspondientes alegaciones al Acuerdo de inicio del presente procedimiento sancionador detallado más arriba. En síntesis, se solicitaba el archivo de actuaciones al no haber cometido infracción a la normativa de protección de datos personales, una utilización fraudulenta de las actuaciones inspectoras (con nulidad de la inspección realizada, con violación del derecho de defensa) y dado que MEYDIS no era responsable del tratamiento de los datos del denunciante, al actuar como encargado del tratamiento habido (con “tareas de impresión, manipulado y puesta en correos”), ello de acuerdo con el contrato aportado entre las partes en fecha 6 de mayo de 2016, cumpliendo la oportunas medidas de seguridad y obligándose a destruir los datos una vez prestado el servicio para el que fueron contratados. Asimismo, alegaba que la entrada en vigor del nuevo Reglamento europeo en materia de protección de datos personales vendría a producir una atipicidad sobrevenida de los hechos, con su aplicación retroactiva de la norma más favorable, de acuerdo de la doctrina del “interés legítimo”. En conclusión, se alegaba la vulneración de la presunción de inocencia y prueba indiciaria y el principio de seguridad jurídica, existiendo por todo esa ya citada nulidad de actuaciones (por utilización fraudulenta de las actuaciones inspectoras, con menoscabo al derecho de defensa), con vulneración también del principio de tipicidad. Se destacaba que el testimonio de la extrabajadora de HOME XXI no podría valorarse como se está valorando, pues fue realizado dicho testimonio “en un escenario concreto y específico”. Para acreditar estos extremos, se solicitaba la práctica de determinadas pruebas, que se van a analizar con más detalle más abajo. SEXTO: Con fecha 14 de octubre de 2016, y transcurrido el plazo de alegaciones que se concedió en el citado Acuerdo de iniciación del presente Procedimiento Sancionador, se acordó abrir periodo de práctica de pruebas por un plazo de treinta días, según lo dispuesto en el artículo 17.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, de aplicación de acuerdo con lo establecido en la Disposición transitoria tercera de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, practicándose las siguientes: Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/39 reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección E/06697/2015, consistente en la denuncia y su documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante las entidades investigadas, en concreto, informes de OPALO HOTELS, S.L., de MEYDIS, S.L. y de la Inspección de Datos de esta Agencia, Informe de actuaciones previas de Inspección de fecha 29 de agosto de 2015, con el Acta de Inspección E/06697/2015/I-01 de fecha 7 de abril de 2016 a MEYDIS, S.L. y diligencia de 29 de julio de 2016 de incorporación de documentos, en especial, informes de la FÁBRICA NACIONAL DE MONEDA Y TIMBRE de fecha 29 de febrero 2016, de la ex empleada de HOME XXI, cliente de MEYDIS, testimonio de fechas de 15 de diciembre de 2015 y 29 de mayo de 2016, Dª. K.K.K.(datos personales que constan en el expediente), de la S.E. CORREOS Y TELÉGRAFOS, S.A. de fecha 19 de octubre de 2015 y de la TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL del MINISTERIO DE EMPLEO Y SEGURIDAD de fechas 31 de mayo de 2015 y 13 de junio de 2016; así como las alegaciones de fecha 4 de octubre de 2016 al Acuerdo de inicio citado más arriba. También se incorporaron al expediente y, por tanto, dada por reproducida a efectos probatorios la documentación obrante en los archivos de esta Agencia, de manera especial, en los procedimientos sancionadores PS/00047/2016, PS/00053/2016, PS/00107/2016, PS/00121/2016, PS/00124/2016 y PS/00190/2016. Todo ello con su correspondiente documentación adjunta. De manera concreta, se especifica de manera especial la incorporación al expediente a efectos probatorios del testimonio que, en fechas de 15 de diciembre de 2015 y 29 de mayo de 2016, Dª. K.K.K.(datos personales que constan en el expediente), ex empleada de un cliente de MEYDIS, hizo a esta Agencia, manifestando que MSP era una entidad meramente formal y que nunca trató con personal de dicha entidad, a pesar de que era la responsable de los asuntos a tratar, y en cambio trató con personal de MEYDIS. Asimismo manifestó que MSP cambiaba de denominación social según le iba indicando MEYDIS. Finalmente manifestó que el esquema de negocio en acciones de marketing postal nominativo respondía a la determinación de las características de los destinatarios por parte del cliente (en este caso PLENISAN) para que el proveedor de la base de datos genere un determinado fichero de destinatarios de dichas acciones. Asimismo, afirmó, entre otras cuestiones, lo siguiente: “(…) En su comienzo HH solicitaba el número de registros o ....2es fijando unos determinados criterios como son rango de edad, sexo, nacionalidad, nivel socio cultural, nivel de estudios etc. Estos registros se pedían-por c.p o poblaciones y la empresa Meydis se encargaba de su manipulación, ensobrado y envió.(…) (…) La relación comercial entre HH y Msp comenzó en julio de 2014 ya que anteriormente la empresa msp tenía otras razones sociales, detalló a continuación las que recuerdo: -Megadis -Mega Data integral services(…) (…) se le solicitaba la información de cuantos registros tenían para una población en concreta o c.p y posteriormente nosotros les decíamos cuántos envíos queríamos que realizasen indicándoles el lugar de celebración de la campaña, la invitación a utilizar horarios de reuniones etc. y ellos seleccionaban dicho fichero, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/39 imprimían y manipulaban las invitaciones para su posterior envió.(…) (…) En el año 2014 comenzamos a comprar dichas bases de datos, se le solicitaba por email las poblaciones o c.p que queríamos comprar, ellos nos enviaban una estadística en la que salía por población y c.p los registros de los que disponían según nuestros criterios marcados por la compañía, se les daba un ok de aceptación y posteriormente Msp nos enviaba la base de datos solicitada en formato Excel con la información que nosotros pedíamos: - Nombre y apellidos - DNI - Dirección completa - Localidad - Provincia - C.P - Fecha de nacimiento - Datos del cónyuge (nombre y apellidos, DNI y fecha de nacimiento) - Teléfono (…) (…) aclaro que siempre hemos trabajado con Meydis con Macro era puro formalismo mediante un contrato pero realmente esta empresa ni siquiera nos facturaba siempre era Meydis incluso los ficheros que nos proporcionaban con la información de clientes nos la mandaban desde Meydis. La única diferencia ha sido que en nuestras cartas íbamos modificando según nos solicitaba Meydis la empresa que era propietaria de los ficheros y que es obligatorio ponerlo en la parte inferior de la carta, esta empresa si no recuerdo mal se cambió unas tres o cuatro veces, por lo que yo tenía entendido era que en cuanto tenían alguna denuncia importante cerraban dicha empresa y abrían otra, pero realmente con la que siempre hemos trabajado es Meydis.(…) (…) TODO lo tratábamos con Meydis, solicitudes, cambios, estadísticas, composiciones de cartas, etc nunca he tratado con nadie de la empresa Macro Select Print, el correo que aparece en mi antiguo escrito es porque recibí un único mail de esta dirección, todo lo demás eran de Meydis (…)”. SÉPTIMO: Con fecha 1 de diciembre de 2016 se formuló propuesta de resolución en el sentido de: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a PLENISAN, S.L. con multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.1 de la misma norma y en relación también con los artículos 45 y 46 del RLOPD; infracción tipificada como grave en el artículo 44.3.
2. b)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica. SEGUNDO: Que también por la Directora de la Agencia Española de Protección de Datos se sancione a MEYDIS, S.L. y con multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.1 de la misma norma y en relación también con los artículos 45 y 46 del RLOPD; infracción tipificada como grave en el artículo 44.3.
3. b)de dicha norma y de conformidad con lo establecido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/39 en el artículo 45. 2 y 4 de esa misma Ley Orgánica. TERCERO: Que también por la Directora de la Agencia Española de Protección de Datos se sancione a MACRO SELECT PRINT, S.L. y con multa de 60.000 € (sesenta mil euros) por la infracción del artículo 6.1 de la LOPD, en relación con el artículo 30.1 de la misma norma y en relación también con los artículos 45 y 46 del RLOPD; infracción tipificada como grave en el artículo 44.3.
4. b)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica>>. En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del procedimiento, de acuerdo con el artículo 19.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, de aplicación de acuerdo con lo establecido en la Disposición transitoria tercera de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento. OCTAVO: Dicha propuesta de resolución fue notificada en efecto a MEYDIS, S.L. en fecha 5 de diciembre de 2016, concediéndose el citado plazo para formular alegaciones, y remitida en fecha 9 de diciembre de 2016 copia del expediente a su solicitud, de los documentos no obrantes ya en su poder; alegaciones que fueron recibidas en esta Agencia en fecha 28 de diciembre de 2016. Se reiteraban los argumentos ya expuestos en anteriores alegaciones. En este punto hay que reseñar que el acuerdo de inicio del presente procedimiento sancionador fue notificado a las entidades MACRO SELECT PRINT, S.L. y PLENISAN, S.L. (folios 219 y 236); sin que hayan presentado alegaciones a tal acuerdo de inicio. HECHOS PROBADOS PRIMERO: Que con fecha 8 de septiembre de 2015 D. A.A.A. manifestó a esta Agencia Española de Protección de Datos que: <<El pasado día 18 de mayo apareció en el buzón de mi domicilio indicado en el encabezamiento de la presente, la carta de la empresa SISTEMAS MEDICOS PROFESIONALES, S.L. [en la actualidad PLENISAN, S.L.] que les adjunto en fotocopia, así como la del sobre que la contenía (…); en la que como perfectamente se puede apreciar figuraban mis datos personales exactos en los que se refiere a nombre, apellidos y domicilio. En el párrafo primero de dicha carta (que por cierto, nada tiene que ver con “sistemas médicos”) indican textualmente que hace aproximadamente quince días, le enviamos una invitación para asistir a una reunión y recoger unos obsequios que teníamos reservados para usted y por causas que desconocemos no acudió” Puesto en contacto al respecto mediante correo postal con la mercantil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/39 SISTEMAS MEDICOS PROFESIONALES, SL, me informan que no disponen de mis datos personales, ni les consta que dichos datos hayan formado nunca parte de sus ficheros. Igualmente me informan de que como “(..) se indica al pie de la invitación que usted ha recibido, la empresa publicitaria, siendo ella la que realiza y efectúa las campañas publicitarias para nosotros utilizando siempre datos personales de sus propios ficheros, (...) entendemos que los utilizados en la publicidad que usted ha recibido deben tener ese origen’. Por ello me dirigí por correo postal certificado y con acuse de recibo a MACRO SELECT PRINT, S.L en fecha 23 de julio (…), sin que hasta el momento (transcurridos casi dos meses) haya tenido ni recepción de la acreditación postal del escrito dirigido, ni por supuesto contestación alguna al respecto… 1. No me consta, ni tengo conocimiento de que haya facilitado voluntaria y conscientemente mis datos personales (nombre, apellidos y domicilio) a ninguna de las dos sociedades anteriormente mencionadas. 2. No he dado expresa autorización a ninguna de ellas para que mis datos personales sean utilizados con fines de propaganda u otros similares al que nos ocupa, ni ninguno otro. 3. Las explicaciones dadas por la empresa SISTEMAS MEDICOS PROFESIONALES, S.L en su escrito de fecha 3 de Junio de 2.015, recibido el día 11 del mismo mes (…) no resultan convincentes ni justificativos de la cuestión planteada. 4. La empresa MACRO SELECT PRINT, S.L. ni se ha dignado a contestar a mi escrito>> (folios 2 y 3). SEGUNDO: Que para acreditar estos hechos aportó copia del envío citado en el punto anterior, escrito con el logotipo de PLENISAN, y ref. SM4435 ***********, en el que aparecen el nombre y apellidos del denunciante, así como su dirección postal completa, incluyendo el piso y la puerta; con la convocatoria para un acto de objeto indeterminado, en el que se procedería al regalo de “2 extraordinarios regalos”, un “olla eléctrica o las sartenes cerámicas más un regalo adicional”, a realizar en el EUROSTARS HOTEL DE LA RECONQUISTA en Oviedo el día 26 de mayo de 2015; en dicha carta se hace referencia a se había enviado otra anterior hacía aproximadamente quince días sobre otra invitación, a la que “por causas que desconocemos no acudió” (folios 4 y 5). TERCERO: Que en el pie del escrito detallado el punto 2º anterior se recoge que los datos personales tenían su origen en un fichero de MACRO SELECT PRINT, S.L. e informando que los derechos de acceso, rectificación, cancelación u oposición podían ejercitarse en el Apartado de Correos núm. ***** Madrid (folio 4, ver también folio 72). CUARTO: Que MACRO SELECT PRINT, S.L. ha manifestado a esta Agencia, y como consta suficientemente acreditado en respuestas a múltiples requerimientos de información realizados en diversas actuaciones previas de inspección, que los datos personales para campañas publicitarias habían sido obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.), revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/39 comercial utilizable, etc; sin que nunca se haya aportado prueba acreditativa de ello y utilizando parámetros de identificación de los destinatarios de cada campaña, consistiendo en una segmentación por zona de ubicación del domicilio (por todos, folio 284). QUINTO: Que SISTEMAS MÉDICOS PROFESIONALES, S.L. remitió al denunciante un escrito de fecha 3 de junio de 2015, en respuesta al previo ejercicio del derecho de acceso (folios 6 a 9), en el que le informaba que “no disponemos de sus datos personales, ni nos consta que dichos datos hayan formado nunca parte de nuestros ficheros” y que, como “se indica al pie de la invitación que usted ha recibido, la empresa publicitaria (por MACRO SELECT PRINT, S.L.), siendo ella la que realiza y ejecuta las campañas publicitarias para nosotros utilizando siempre datos personales de sus propios ficheros” (folio 10). SEXTO: Que MEYDIS manifestó a esta Agencia, en relación con el fichero para la confección de la impresión publicitaria, para la que estaba contratado, lo siguiente: “la empresa MSP no nos informaba de que un fichero estaba disponible para confeccionar la impresión de la publicidad. Simplemente, cada vez que recibíamos una orden de trabajo de nuestro cliente Plenisan, accedíamos al FTP en el que MSP colocaba los ficheros y ya nos encontrábamos colocado ahí el que debía utilizarse para esa concreta carta publicitaria. Como también se ha indicado a esa Agencia en ocasiones anteriores, en la actualidad, ya no conservamos en nuestros sistemas los registros de actividad”; sin embargo, la entidad no ha aportado documentación alguna que acredite lo expuesto (folio 284). SÉPTIMO: Que la entidad OPALO HOTELS, S.L. informó a esta Agencia en fase de actuaciones previas de investigación que por correo electrónico, remitido en fecha de 23 de febrero de 2015, desde una cuenta del dominio sistemas-medicos.com, se le solicitó información y disponibilidad de sala para los días 26 al 28 de mayo de 2015, siendo confirmada en fecha 25 de febrero de 2015 para el salón Naranco del Hotel de la Reconquista en Oviedo (folios 36 y 37). OCTAVO: Que la Inspección de Datos de esta Agencia en inspección realizada a la entidad MEYDIS, S.L., Acta de Inspección E/06697/2015/I-01 (folios 42 a 64), en fecha 7 de abril de 2016, ha constatado que el envío publicitario detallado en el punto 2º anterior fue impreso por esta entidad MEYDIS, S.L. en la campaña SM4436, estando relacionada en soporte papel y no electrónico (folio 42, 43 y 185). NOVENO: Que la Inspección de Datos de esta Agencia en fecha 23 de febrero de 2016 constató que en la URL http://es.slideshare.net............. aparecía una presentación publicitaria de MEYDIS, S.L. en la que se anunciaba que la entidad dispone de más de 12.000.000 de hogares españoles, todos ellos con los siguientes datos personales: persona de contacto (titular del teléfono), dirección postal completa, nivel socioeconómico de la unidad familiar, edad del titular del teléfono y nivel cultural del titular del teléfono (folios 282, 283, 294 y 295). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/39 DÉCIMO: Que por correo electrónico de PLENISAN con fecha de 4 de mayo de 2015, desde la cuenta .....1@plenisan.com con destino a Dª. E.E.E.y a Dª G.G.G., con el asunto “Fwd: OVIEDO”, con un documento adjunto denominado “6 carátulas OLLA+SARTENES.xlsx, se informaba a MEYDIS que el depósito de las cartas del jueves está mal; en respuesta a otro correo de dichas personas a PLENISAN de fecha 4 de mayo de 2015, en relación con la campaña SMP-4436, recogiendo que la convocatoria se adelantaba un día, del 27 al de mayo de 2015 (folios 46 y 47). UNDÉCIMO: Que la Inspección de Datos de esta Agencia ha constatado que los parámetros de selección de estas campañas publicitarias son (folios 286 y 287): ENVIAR DATOS CARTA: - Una x domicilio <entidad hostelera> - Hombres y Mujeres <dirección> - Preferente Mujeres <población> - Eliminar: Analfabetos SocioEconómico: Bajo DUODÉCIMO: Que los parámetros de selección de los correspondientes datos personales a utilizar en las distintas campañas publicitarias ofrecidos en la página web del Grupo MEYDIS, descrita en el punto 9º anterior, coinciden casi en su totalidad con los criterios de selección fijados y demandados por PLENISAN detallados en el punto 11º anterior (folios 283 a 287). DECIMOTERCERO: Que en fechas de 15 de diciembre de 2015 y 29 de mayo de 2016 Dª. K.K.K.(datos personales que constan en el expediente), ex empleada de un cliente de MEYDIS, manifestó a esta Agencia que MSP era una entidad meramente formal y que nunca trató con personal de dicha entidad, a pesar de que era la responsable de los asuntos a tratar, y en cambio trató con personal de MEYDIS. Asimismo manifestó que MSP cambiaba de denominación social según le iba indicando MEYDIS. Finalmente manifestó que el esquema de negocio en acciones de marketing postal nominativo respondía a la determinación de las características de los destinatarios por parte del cliente (en este caso PLENISAN) para que el proveedor de la base de datos generase un determinado fichero de destinatarios de dichas acciones. Añadiendo de forma literal que “siempre hemos trabajado con Meydis con Macro era puro formalismo mediante un contrato pero realmente esta empresa ni siquiera nos facturaba siempre era Meydis incluso los ficheros que nos proporcionaban con la información de clientes nos la mandaban desde Meydis. La única diferencia ha sido que en nuestras cartas íbamos modificando según nos solicitaba Meydis la empresa que era propietaria de los ficheros y que es obligatorio ponerlo en la parte inferior de la carta, esta empresa si no recuerdo mal se cambió unas tres o cuatro veces, por lo que yo tenía entendido era que en cuanto tenían alguna denuncia importante cerraban dicha empresa y abrían otra, pero realmente con la que siempre hemos trabajado es Meydis. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/39 (…)TODO lo tratábamos con Meydis, solicitudes, cambios, estadísticas, composiciones de cartas, etc nunca he tratado con nadie de la empresa Macro Select Print, el correo que aparece en mi antiguo escrito es porque recibí un único mail de esta dirección, todo lo demás eran de Meydis (…)” (folios 161 a 165 y 288 a 293). DECIMOCUARTO: Que la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda informó a esta Agencia que el certificado digital a nombre de MSP fue solicitado y descargado desde la dirección IP ***IP.1 (folio 136). Dicha IP está asignada a MEYDIS (folio 184). DECIMOQUINTO: Que el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. informó a esta Agencia, respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, que se había comprobado que entre el 10 de septiembre de 2015 y el 2 de febrero de 2016 fueron realizados un total de 20 accesos desde la dirección IP ***IP.1 (folios 156 a 158), que está asignada a MEYDIS, como se ha detallado en el punto anterior. DECIMOSEXTO: Que la entidad S.E. Correos y Telégrafos, S.A., respecto del apartado de correos número 61012 de Madrid, informó a esta Agencia que, por contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual de este apartado de correos, el domicilio aportado fue en la calle (C/...1) nº 18, 8, 14 - ***CP.1 Madrid, con teléfono de contacto del administrador el número de línea móvil ***TEL.1, facilitando copia del DNI del administrador de la entidad y copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014, en la que figura D. B.B.B. como socio único y administrador y domicilio el ya citado (folios 103 a 122). DECIMOSÉPTIMO: Que de igual modo S.E. Correos y Telégrafos, S.A. informó a esta Agencia que estaba autorizado por parte de MSP para “la recogida de documentos que lleguen esta apartado