← España

PS-00428-2016

1/23 Procedimiento Nº PS/00428/2016 RESOLUCIÓN: R/00779/2017 En el procedimiento sancionador PS/00428/2016, instruido por la Agencia Española de Protección de Datos a la entidad BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., DKV SEGUROS Y REASEGUROS, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 3 de noviembre de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que desde el 15 de septiembre de 2015, ha recibido numerosas llamadas publicitarias en la línea ***TEL.1, contratada por su madre B.B.B. con Movistar. Adjunta un listado con más de doscientas llamadas recibidas entre los meses de septiembre y octubre de 2015. Las llamadas se han realizado desde los números ***TEL.2, ***TEL.3, ***TEL.4, ***TEL.5 y ***TEL.6 y en ellas se identificaban como comerciales de DKV, compañía de seguros, de la que el denunciante manifiesta no ser cliente. Se ha puesto en contacto en numerosas ocasiones con el departamento de defensa al asegurado de la compañía de seguros, tanto por teléfono como por escritos de fechas 2, 5, 6, 7,8 y 13 de octubre de 2015, solicitando no recibir llamadas publicitarias. Así mismo y también ha inscrito sus datos en la Lista Robinson. Aporta la siguiente documentación: Copia de varios correos electrónicos y escritos remitidos por el denunciante a DKV Seguros, en los que solicita no recibir llamadas publicitarias y de la contestación a los mismos por parte de la empresa, el primero de los correos remitidos es de fecha 2 de octubre de 2015 y la contestación de DKV de fecha 5 de octubre de 2015, en el que le informan de que tomaran las medidas necesarias para atender a su reclamación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias teniendo conocimiento de que: Con fecha 1 de marzo de 2015, TELEFONICA DE ESPAÑA S.A. ha confirmado la recepción en la línea de teléfono ***TEL.1, de la que es titular B.B.B. (madre del denunciante) de las siguientes llamadas en el periodo comprendido entre el 15 de septiembre y el 29 de octubre de 2015: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 1. 235 llamadas desde el número ***TEL.7, 16 de ellas realizadas desde el 14 al 29 de octubre de 2015. 2. 33 llamadas recibidas desde el número ***TEL.3 hasta el 5 de octubre de 2015. 3. 14 llamadas recibidas desde el número ***TEL.5 con fechas 6 y 7 de octubre de 2015. 4. 12 llamadas recibidas desde el número ***TEL.6 entre el 9 y el 29 de octubre de 2015. Con fecha 18 de marzo de 2016, ORANGE ESPAGNE S.A (JAZZTEL) ha remitido a esta Agencia la siguiente información: 1. El titular de la línea ***TEL.3, es ORTELEC COMUNICACIONES S.L. 2. El titular de la línea TELEMARKETING S.L. ***TEL.6, es ACCIONES Y SERVICIOS DE Respecto a la titularidad de las líneas ***TEL.7 y ***TEL.5, con fecha 16 de febrero de 2016, se solicitó información al operador al que pertenecen VOZ TELECOM SISTEMAS S.L., sin que a la fecha del informe de actuaciones previas E/08158/2015 se haya recibido información. Con fechas 3 de mayo y 24 de agosto de 2016, DKV Seguros S.A.E., ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Aunque en el escrito de 3 de mayo, DKV informa de que el número de teléfono del denunciante estaba incluido en una base de datos adquirida a WEBPILOTS ESPAÑA S.A. que se facilitó a BUBLEFISH SALES & MARKETING SOLUTIONS S.L. (en adelante BUBLEFISH) para la realización de una campaña de tele-marketing. 2. En el escrito de fecha 24 de agosto rectifican la información anterior, manifestando que DKV no han adquirido la base de datos a WEBPILOTS, de hecho no tienen suscrito ningún contrato con dicha empresa. Los datos tienen su origen en el patrocinio de la página web (no especifican a que página se refieren: 3. Así mismo, informan de que la compañía tiene un contrato suscrito con BUBLEFISH para la realización de una campaña de tele-marketing, cuya copia adjuntan. Siendo, a su vez dicha empresa la encargada de la captación de contactos para la realización de campañas comerciales, Según la orden de compra de fecha 5 de enero de 2015, cuya copia adjuntan:  DKV encarga a BUBLEFISH el alquiler de registros cualificados con la finalidad de llegar a cabo una campaña publicitaria para promocionar sus productos a través de acciones de marketing directo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23  DKV actúa como encargado de tratamiento de los datos obtenidos.  DKV realizará un solo uso de los registros entregados, en el plazo máximo de 90 días desde la entrega del fichero.  Una vez finalizada la prestación contractual, DKV deberá proceder a la eliminación de los datos que le han sido suministrados. 4. Por su parte BUBBLEFISH contrata con la entidad WEBPILOTS ESPAÑA S.L., la realización de una campaña de captación de leads (contactos) para DKV a través de una página web alemana propiedad de HELLOMAIL. Los datos que se obtienen a través de la página son para uso por parte de los titulares de la misma y de sus patrocinadores, entre los que se encuentra BUBBLEFISH. 5. El número de teléfono del denunciante, figuraba incluido en el citado fichero, y los únicos datos de que dispone DKV en la actualidad son los derivados de la reclamación y solicitud de cancelación del denunciante. 6. En relación con dichas reclamaciones y a las gestiones realizadas como consecuencia de las mismas, aportan la siguiente información y copia de numerosos correos electrónicos recibidos y remitidos por DKV en relación con dichas reclamaciones:  Con fecha 2 de octubre de 2015, se recibió en el Servicio de Defensa del Cliente, una reclamación por correo electrónico en la que manifiesta que recibe numerosas llamadas publicitarias de DKV Con fecha 6 de octubre de 2015, dicho servicio comunica internamente la situación para que se resuelva la incidencia y se notifica a los responsables de la empresa externa encargada de realizar las llamadas publicitarias, la cual les informa de que han bloqueado el número de teléfono del denunciante que al parecer aparecía duplicado en el fichero y asociado a distintos datos.  Con fecha 13 de octubre se recibe una nueva reclamación del denunciante y de nuevo se gestiona el bloqueo de los datos.  Con fecha 29 de octubre de 2015, se recibe una solicitud de ejercicio del derecho de oposición del denunciante. La solicitud fue atendida y contestada con fecha 3 de noviembre de 2015. Por su parte BUBBLEFISH ha remitido a esta Agencia, en su escrito de fecha 29 de julio de 2016, la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 1. El número de teléfono del denunciante figura como teléfono de contacto de la página web www.naturacons.es, y el denunciante consta como contacto administrativo de dicho dominio, por lo que consideran que no se puede considerar un “dato personal”, al figurar relacionado en fuentes accesibles al público, con una empresa. 2. No obstante, manifiestan que dicho dato no ha figurado nunca en sus ficheros ya que su origen fue la adquisición de una base de datos por parte de DKV a WEBPILOTS ESPAÑA S.L. y HELLOMAIL INTERACTIVE GMBH con domicilio en Alemania. Así mismo, según manifiestan el citado número de teléfono se remitió en varias ocasiones con titulares distintos. (Sin embargo según la orden de compra de fecha 5 de enero de 2015, cuya copia ha sido aportada por DKV en su escrito de 24 de agosto de 2016, DKV encarga a BUBLEFISH el alquiler de registros cualificados con la finalidad de llegar a cabo una campaña publicitaria para promocionar sus productos a través de acciones de marketing directo) 3. El trabajo desarrollado por BUBBLEFISH ha sido la realización de una campaña de tele-marketing para DKV. 4. La empresa que ha realizado las llamadas publicitarias de DKV ha sido ORTELEC COMUNICACIONES S.L. con quien tienen suscrito un contrato marco de fecha 17 de octubre de 2013, del que aportan copia y en el que figura que el fichero (lista de distribución) a la que se dirigirán las llamadas es propiedad de DKV SEGUROS S.A. Con fecha 30 de mayo de 2016, WEBPILOT ESPAÑA S.L. ha remitido a esta Agencia la siguiente información en relación con la obtención del dato del número de teléfono del denunciante: 1. La participación de la empresa en dicha obtención es la de agente comercial externo de una sociedad alemana (HELLOMAIL INTERACTIVE GMBH), a la que prestan servicios como explotación de sus páginas web y bases de datos y ayuda a la gestión de los derechos ARCO de los usuarios lusos e hispanohablantes. 2. Según consta en el contrato que aportan suscrito con fecha 8 de mayo de 2014, entre BUBBLEFISH Y HELLOMAIL:  HELLOMAIL es propietaria de ficheros de datos personales que contiene datos utilizados para la realización de campañas de marketing y que dicha finalidad ha sido aceptada por los afectados. Dichos datos se obtienen en una serie de páginas web de las que es titular HELLOMAIL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23  HELOMAIL habilita a WEBPILOTS para que, en su nombre, pueda recibir y realizar pagos del cliente así como encargos profesionales.  Entre las modalidades de utilización de dichos ficheros, consta la posibilidad de que el cliente (en este caso BUBBLEFISH) realice directamente el contacto comercial a los registros de los ficheros de HELLOMAIL, para lo que suscriben un anexo al contrato. En este caso aportan copia del ANEXO firmado entre BUBBLEFISH Y WEBPILOTS para la captación de registros de la campaña “Patrocinio DKV”.  En las condiciones del citado ANEXO figura que “WEBPILOTS como mandatario de los titulares de las WEBS a utilizar (hellomail), facilitara la incorporación del cliente (BUBBLEFISH) como patrocinador de dichas páginas, posibilitando la difusión de su identidad y la obtención de los datos de los usuarios que se registren en las webs. 3. Según lo establecido en el anexo al contrato citado en el punto anterior, HELLOMAIL facilitó que BUBBLEFISH, mediante el contrato de patrocinio sobre una de las páginas web de las que es titular la primera (http://www.premiosfaciles.com...........cooper/patrocinadores),creara su propia base de datos, dicho patrocinio comenzó en junio de 2015 y finalizó el 22 de febrero de 2016, por lo que en la actualidad no figura en la citada página como patrocinador. 4. Por otra parte, en relación con el número de teléfono del denunciante y sus reclamaciones, aportan copia de varios correos electrónicos intercambiados con BUBBLEFISH, en los que se pone de manifiesto que dicho dato estaría duplicado varias veces y que no se realizó un proceso de verificación (deduplicación) ni por parte de WEBPILOTS. 5. En relación con la página web de la que se obtuvo el número de teléfono del denunciante; se ha verificado que tiene un formulario de registro para participar en diferentes sorteos, donde se solicitan el nombre, apellidos, dirección, e-mail y número de teléfono móvil, y que se informa de que el titular de la página es HELLOMAIL (con domicilio en Hamburgo – Alemania) y que los datos se van a utilizar para la realización de campañas publicitarias por parte de los patrocinadores (cuya relación se incluye) así como de otras empresas incluidas en los sectores que se indican (29 sectores en total). También se informa sobre el ejercicio de los derechos ARCO a través de la sociedad alemana y de WEBPILOTS ESPAÑA S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 TERCERO: Con fecha 21 de septiembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a DKV SEGUROS Y REASEGUROS, S.A. con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (RDLOPD en adelante) por la presunta infracción del artículo 30.4 de la LOPD, tipificada como grave en el artículo 44.3

  1. e)de la citada Ley Orgánica; y a BUBBLEFISH SALES & MARKETING SOLUTIONS S.L con arreglo a lo dispuesto en el artículo 127 del RDLOPD por la presunta infracción del artículo 30.4 de la LOPD, tipificada como grave en el artículo 44.3
  2. e)de la citada Ley Orgánica y por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  3. b)de la LOPD. CUARTO: Notificado el acuerdo de inicio, DKV SEGUROS Y REASEGUROS presentó escrito de alegaciones, en el que manifiesta lo siguiente: -La titularidad de los registros utilizados para la campaña es de Hellomail y no de DKV. Éstos se depositan en un FTP a la que accede BB para la realización de la campaña. En cuanto a los hechos relevantes debe señalarse que en fecha de 29/10/2015 se recibe correo electrónico ejerciendo el derecho de oposición, que fue atendido el 3 de noviembre de 2015, sin que conste que con posterioridad haya recibido llamadas telefónicas ofreciendo productos de DKV. -DKV es ajena a la labor de deduplicación o filtrado de base de datos y los adquiere como se indica en la orden de compra para un solo uso. BB realiza el tratamiento de los datos. -Antes de que el denunciante ejerciera su derecho de oposición, el departamento de defensa al cliente realizo gestiones de manera inmediata con BB, solicitando que no se realizaran llamadas a ese número de teléfono y aclaraciones respecto de lo sucedido. Queda acreditado que el dia 6/10/2016 DKV había comunicado con BB y esta con Webpilots para que cesaran las llamadas al número ***TEL.1, es decir, cuatro días después lo que no puede calificarse como actitud pasiva o indolente respecto de las molestias sufridas o como obstaculización del derecho de oposición. QUINTO: Notificado el acuerdo de inicio, BUBBLEFISH (BB en adelante) presentó escrito de alegaciones, en el que manifiesta lo siguiente: -Falta de competencia de la AEPD, derecho alemán aplicable y autoridad de protección de datos alemana, al ser el origen del dato la inscripción en una web de una empresa alemana. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 -El dato personal tratado está en una fuente accesible al público ya que consta en diversas páginas de internet. Asimismo no es un dato personal del denunciante pues la titular del teléfono es la madre de éste a la que le incumbiría el ejercicio de los derechos ARCO. -respecto del consentimiento y actuación de Webpilots. En las condiciones generales aportadas por dicha entidad en el punto 8 se establece la obligatoriedad de que si es receptora de alguna reclamación o derecho ARCO, debería comunicarlo al titular de la bbdd, siendo por tanto una obligación y no una cortesía por su parte. Dicha entidad reconoce que el origen del problema es suyo y de uno de sus colaboradores tal como consta en los punto 3 y 4 del correo electrónico de 7/10/2015. Dado que BB no es titular de la base de datos no puede aportar la captación del consentimiento. SEXTO: Como diligencias de prueba se practicaron las siguientes, se dieron por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., DKV SEGUROS y el Informe de actuaciones previas de Inspección que forman parte del expediente E/08158/2015 y las alegaciones al acuerdo de inicio PS/00428/2016 presentadas por BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., y DVK SEGUROS y la documentación que a ellas acompaña. 2 Se incorpora la documentación obtenida tras los siguientes requerimientos de información: 2.1 Requerimiento de información a WEBPILOTS ESPAÑA de fecha 21/11/2016: En su escrito de fecha 27/05/2016 aportado a las Actuaciones de Investigación E/8158/2015, realiza diversas afirmaciones y aporta documentación respecto de la que se requiere la siguiente aclaración: 1.- En la segunda página de su escrito consta lo siguiente (…) tal y como se expone (y se acredita documentalmente), la sociedad BUBBLEFISH, en beneficio de DKV (según se expone en el Documento nº 2, casilla 8), patrocinó durante un tiempo una página web titularidad de Hellomail Interactive GmbH ( http://www.premiosfaciles.com...........). Mediante dicho patrocinio, Bubblefish recibía directa y simultáneamente, al igual que el resto de los patrocinadores, los usuarios que se inscribían en dicha promoción comercial y que eran conocedores de la identidad no solo del titular de la página web, sino de dichos patrocinadores y de sus respectivas condiciones legales (…) En el documento nº 2 aportado al efecto (y cuya copia se adjunta) consta vacía la casilla nº 11 WEBS A USAR y la casilla nº 9 BB.DD EN LA QUE SE INTEGRA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 I.Explique la razón por la que no consta la web a utilizar, y aporte, documento que acredite la afirmación vertida en el escrito arriba parcialmente transcrito. II.Explique la razón por la que la casilla nº 9 está vacía. 2.- En el intercambio de correos electrónicos aportado en su escrito antes referenciado, consta uno de fecha 7/010/2015 cuyo remitente es ...........@sistem.es – C.C.C. ( y cuya copia se adjunta ) donde en el punto 3.) Consta (…) Al parecer, una de las empresas (agencia) con las que colaboramos para la captación ha usado un “Publisher” (un operador) que, si bien,…… (…) En el punto 4.) Consta (…) al detectar esta incidencia cuando llego a en nuestra base ( llegó del mismo modo que a los sponsors) lo que hicimos es ponernos en contacto con el colaborador ( agencia ) para que bloquee/elimine a dicho Publisher ( proveedor de los datos erróneos)(…) I. Respecto de la información que cita en el punto 3.) Identifique a quien se refiere cuando cita una de las empresas ( agencia) y a quien se refiere cuando cita al “Publisher” ( un operador) II. Respecto de la información que cita en el punto 4.) identifique a quien se refiere cuando cita los sponsors y a quien se refiere cuando cita a dicho Publisher. 2.2 Requerimiento de información WEBPILOT ESPAÑA de fecha 13/12/2016: 1. -Acreditación del consentimiento del titular de la numeración ***TEL.1 y el procedimiento de identificación y verificación que utilizaron en la campaña de captación de leads, o el establecido en su caso, por HELLOMAIL. 2. En la documentación contractual con BUBBLEFISH su mercantil garantiza a ésta la adecuación a la normativa respecto de los datos que se van a obtener,
  4. a)¿Cómo verifican la legalidad de los datos obtenidos?
  5. b)¿Qué mecanismos de control tienen establecidos para verificar el consentimiento de los titulares en la obtención de los datos?
  6. c)En caso de que HELLOMAIL garantice a WEBPILOTS la adecuación a la normativa aplicable la generación de “leads”, indique ¿qué información proporciona HELLOMAIL a WEBPILOTS al respecto?
  7. d)¿Existe un proceso de out-in o doble out-in en la obtención de los leads? En caso afirmativo, acredite dicho proceso respecto de los registros donde aparece la numeración ***TEL.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 3. -Dirección IP desde la que se produjo la suscripción de la citada numeración a su campaña, de todos los registros asociados a dicha línea de teléfono. 4. -En la comunicación que se anexa a la solicitud de información de fecha 21/11/2016, manifiesta que BUBBLEFISH ( BB en adelante ) recibía directamente los leads, sin embargo en los correos intercambiados ( aportados por su entidad al procedimiento) se deduce que se los proporcionaban ustedes a través de una red FTP- en concreto se cita por el representante de BB lo siguiente (…)Esto es de los tres primeros archivos de septiembre de número de teléfono que he cogido del FTP subido por vosotros(…) le adjunto el email donde se realiza dicha afirmación ( de 6/10/2015 pág. 6). Por lo que le solicito en relación con este aspecto la siguiente información:
  8. a)Explicación del proceso de intervención de WEBPILOTS en la campaña, en la medida en que además de que por contrato son un intermediario formal, se deduce que materialmente proporcionan los ficheros a través del FTP.
  9. b)En relación con la deduplicación que le indican en el correo adjunto, explique qué labores realiza WEBPILOTS en este sentido, ¿verifica alguna dato antes de comunicarlo por FTP a BB? 2.3 DKV solicito como prueba la remisión de la información que obra en el expediente respecto de las líneas de teléfono ***TEL.7 y ***TEL.6, procediendo por esta Agencia a la remisión del expediente completo hasta la fecha en 16/01/2017. (Folios 337-339) 2.4 Por el Instructor se DENEGARON las siguientes pruebas: Pruebas solicitadas por BUBBLEFISH en su escrito de 4/11/2016 en el ordinal Quinto – pagina 11- solicitadas en Segundo lugar, porque tienen por objeto conductas posteriores al origen de los datos del denúnciame, es decir, se analiza el origen den los sistemas de BB y su legitimación para tratarlos, y lo que solicita su representación son circunstancias que ocurren en estadios posteriores a dicha incorporación y tratamiento que no son objeto de análisis, y la solicitadas en Tercer lugar, porque tienen un objeto similar a lo solicitado por este Instructor en la práctica de prueba acordada, resultando por tanto innecesarias a los efectos pretendidos. SÉPTIMO: En fechas 9 y 21 de diciembre de 2016, WEPILOTS ESPAÑA presentó escrito en el que contesta a las preguntas formuladas por el Instructor, en el que manifiesta, en síntesis, lo siguiente: -La razón por la que la casilla nº 11 WEBS A USAR y la casilla nº 9 BB.DD EN LA QUE SE INTEGRA está vacía es por sobreentendidos de ambas partes que hacían que no fuera imprescindible su reflejo en el formulario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 -La casilla nº 11 es una web premiosfaciles.com en la que BB era uno de los patrocinadores, los usuarios de inscribían siendo conocedores todos tanto de la identidad del titular de la web y sus patrocinadores como de las condiciones legales aplicables. Como contestación a estas preguntas: I. Respecto de la información que cita en el punto 3.) Identifique a quien se refiere cuando cita una de las empresas (agencia) y a quien se refiere cuando cita al “Publisher” (un operador) II. Respecto de la información que cita en el punto 4.) Identifique a quien se refiere cuando cita los sponsors y a quien se refiere cuando cita a dicho Publisher. Debe indicarse que averiguar quién o quienes pueden estar detrás de la incorporación del número no es tarea sencilla y menos saber si fue consecuencia de un error técnico o de una voluntad fraudulenta o mala fe, y que papel pudieron tener en su caso, las personas que se inscribieron con dicho número. A continuación WEBPILOTS explica con carácter general como funciona la captación de registros sin determinación ni concreción alguna sobre los hechos preguntados. (Folios 315-316). Desde Hellomail no se llegó a conocer el causante especifico del hecho ni se ahondo en conocer la causa concreta ya que salvo BB cada titular de un fichero vinculado al proceso de registro realiza una tara de verificación de sus registros invalidando los que no cumplen sus criterios. A pesar de ello se procedió a advertir, con carácter general a las principales agencias y colaboradores de Hellomail sobre la incidencia detectada, indicando a todos que repasen sus sistemas subsanen le eventual error o pongan fin a una práctica ya descubierta. BB se nutría de datos generados gracias a intervenciones de terceros ajenos a Hellomail, por lo que la incidencia puede no estar relacionada con el patrocinio firmado. De haber tenido BB la diligencia de realizar el proceso de validación y duplicación de registros directamente obtenidos o haber atendido la retirada petición del usuario no hubiera tenido afectación real la incidencia. -En relación con la identificación del sponsor debe indicarse que son o han sido la lista que se acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 -En relación con la acreditación del consentimiento del titular de la numeración ***TEL.1, debe señalarse que existen varios usuarios con dicho número razón que responde a varios motivos. La garantía o mecanismo de control es la misma que corresponde a la cumplimentación de cualquier otro campo, que corresponde a Hellomail y que toma entre otras las siguientes verificaciones: ausencia de casillas pre marcadas, origen de contenidos validos ( correos con arroba, exclusión de números 9999999, etc.,.; que las IP desde las que se genera sean diferentes entre sí, incorporación de sistema de hora y día de registro y el tipo de fuente derivada, envío en el 100 % de los casos de un email de confirmación a la dirección señalada por el usuario en el momento de registrarse. Siendo importante destacar que dichas medidas no implica que las hagan otros titulares de ficheros, algunas vienen por imperativo legal y otras son voluntarias y algunas son visibles por el usuario mientras que otras no. La garantía que realiza Hellomail sobre la adecuación del sistema a la normativa se basa en varios aspectos, como la solvencia legal contrastada de la página web, la optimización continua del fichero, etc.,. Webpilots no dispone de direcciones IP desde las que se produjeron los registros asociados al número, consta según Hellomail que sin embargo que no es una única dirección IP, y puede que dicha entidad pueda tener las mismas en relación con las que el sistema les hubiera podido detallar dicha información automáticamente.(mediante lo que se denomina web-service) -en relación al sistema FTP debe indicarse que todos los patrocinadores salvo BB recibieron los datos generados directamente mediante un sistema de webservice, los datos a medida que se iban obteniendo de la web iban al titular directamente a los patrocinadores desde la propia web mediante protocolo html/web. Fue a solicitud de BB que programado el envío por FTP como consta en las comunicaciones que se aportan. Consecuencia de ello se programó el sistema de Hellomail para que acorde con los parámetros de formato establecido por BB (fecha lead, código proveedor, nombre, apellido, telf., email, provincia) les llegara a estos el fichero automáticamente, no en protocolo webservice sino en otro, en FTP. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 En ningún momento Webpilots ni el titular de la web tiene acceso a los datos, ni tampoco BB, en relación con la pregunta de - En relación con la deduplicación que le indican en el correo adjunto, explique qué labores realiza WEBPILOTS en este sentido, ¿verifica alguna dato antes de comunicarlo por FTP a BB?- ni Webpilots ni Hellomail poseen un contrato instrucciones o acuerdo, el proceso de verificación está ligado al uso que en su caso cada titular de a los datos. tiene sentido que un titular que vaya a explotar principalmente un determinado campo no tenga demasiado interés para comprobar otro, por ejemplo, si quiere el email o el número de teléfono no prestara atención a la dirección postal. Solo el titular de cada fichero sabe que datos posee su fichero. La duplicación (datos que ya tenga en su fichero o que han sido captados por otros colaboradores) solo puede ser verificado por cada titulares. Mediante el email de 7 10 2015 se expuso la sorpresa de que BB no realizara dicha deduplicación. En consecuencia no existía posibilidad técnica ni fáctica de que se realizará proceso de deduplicación u otro tipo de verificación por parte de Webpilots ni por cualquier otro tercero que no sea el propio titular o alguien en su nombre. OCTAVO: En fecha de 19 de enero de 2017, BUBBLEFISH presentó escrito en el que aporta la información proporcionada por WEBPILOTS a su requerimiento, y acta notarial de ficheros FTP otorgada el 22/12/2016 NOVENO: En fecha de 07/02/2017 por el Instructor del Procedimiento se emitió Propuesta de Resolución solicitando la imposición de sanción a DKV por la infracción del artículo 30.4 de la LOPD, tipificada como grave en el artículo 44.3
  10. h)de dicha norma y la imposición de sanción a BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  11. d)de dicha norma. DÉCIMO: Según consta en los acuses de recibo de la Sociedad Estatal Correos y Telégrafos, S.A., la propuesta de resolución fue notificada a BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., en fecha de 14/02/2017 y a DKV SEGUROS Y REASEGUROS, S.A. en fecha de 15/02/2017, venciendo el plazo para formular alegaciones, en fechas de 3 y 4 de marzo de 2017, respectivamente. UNDÉCIMO: En fecha de 07/03/2017 BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., formulo alegaciones frente a la propuesta de resolución una vez vencido el plazo otorgado al efecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 DUODÉCIMO: En fecha de 4/03/2017, DKV SEGUROS Y REASEGUROS, S.A. presento escrito de alegaciones, en el que reitera las anteriormente formuladas, y en concreto respecto de los hechos declarados probados, manifiestan que las llamadas realizadas hasta la fecha de febrero de 2016, no son realizadas por DKV, sino que son realizadas por personas que se identifican como agentes de DKV, lo cual supone el uso por parte de terceros de la marca sin autorización. Asimismo en cuanto a la titularidad de las líneas ***TEL.7 y ***TEL.5 son desconocidas, sin que en ningún caso sean las contratadas por DKV. Solicita al amparo del art. 40 de la LOPD que se realicen determinadas actuaciones. DECIMOTERCERO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 3/11/2015 tiene entrada en esta Agencia un escrito de denuncia en el que se pone de manifiesto haber recibido multitud de llamadas comerciales ofreciendo productos y servicios de DKV en la línea ***TEL.1, desde las siguientes líneas ***TEL.2; ***TEL.3; ***TEL.4; ***TEL.5; ***TEL.6. (Folio 1 siguientes) DOS.- El operador de telecomunicaciones que presta el servicio, a la línea ***TEL.1 ha confirmado la recepción de las siguientes llamadas en el periodo entre el 15 de septiembre y el 29 de octubre de 2015 (folio 60 y siguientes):  235 llamadas desde el número ***TEL.7, 16 de ellas realizadas desde el 14 al 29 de octubre de 2015.  33 llamadas recibidas desde el número ***TEL.3 hasta el 5 de octubre de 2015.  14 llamadas recibidas desde el número ***TEL.5 con fechas 6 y 7 de octubre de 2015.  12 llamadas recibidas desde el número ***TEL.6 entre el 9 y el 29 de octubre de 2015. TRES:- En fecha de 02/10/2015 el denunciante se comunica con DKV informando de los hechos, señalando expresamente la recepción de las llamadas desde las líneas de teléfono que ha confirmado el operador. (Folio 17) CUATRO: DKV manifiesta que el número de teléfono ***TEL.1 donde se reciben las llamadas, tiene origen en una campaña de telemarketing obtenido por la empresa BB a través de la relación comercial con Webpilots que agente de Hellomail. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 CINCO.- BB obtuvo los datos del denunciante a través de la relación comercial que tenía con Hellomail a través de un intermediario, Webpilots, para su utilización en campañas comerciales de productos de DKV, de acuerdo con el contrato de fecha 8/05/2014. (folios 82 a 90). SEIS.- BB recibía directamente los registros de aquellas personas que se inscribían, según afirman las entidades implicadas, en una web de Hellomail para la participación en un sorteo. El número de teléfono del denunciante constaba repetido en más de 130 ocasiones, desde el 1/09/2015 hasta el 8/10/2015 en la entrega del fichero que a través de una red FTP recibía BB, incluso varáis veces el mismo día- el día 9/09/2015 se remitió 15 veces. (Folio 365). SIETE.- En el contrato de 8/05/2014, las partes implicadas (BB, WEBPILOTS, HELLOMAIL) se comprometen a (…) respetar integral y estrictamente le régimen jurídico aplícale, entre otros ámbitos, a la protección de los datos de carácter personal contenidos en ales Bases de Datos. (…). Ni en el citado contrato, ni en el anexo-orden de trabajo, se establecen medias concretas para la verificación del consentimiento otorgado de los usuarios que se inscriben en los enlaces que BB patrocina. OCHO.- En el folio 91 correspondiente a la orden de trabajo que concreta la ejecución del contrato de 8/05/14, los campos relativos a la determinación del enlace patrocinado (WEBS A USAR) y la base de datos en al que se integra constan vacíos. NUEVE.- En fecha de 6/10/2015 tras la recepción de la reclamación de 5/10/2015 del denunciante, DKV inicia gestiones internas con la empresa suministradora de los datos para esclarecer los hechos que se ponen de manifiesto en la reclamación. DIEZ.- Consta que a partir del 06/10/2015 BB intercambia correos electrónicos con WEBPILOTS con el asunto: Cierre DKV Septiembre, para aclarar lo sucedido, desde WEBPILOTS se informa que cada cliente – refiriéndose a BB- es quien (…) debe velar por la no sobreimpactacion de usuarios (…) ( Folios 97 a 98). ONCE.- Resulta acreditado que el denunciante se puso en contacto con DKV para informar de lo sucedido en fechas de 2, 5, 6 y 13 de octubre de 2015 por correo electrónico, y ejerció el derecho de oposición en fecha de 29 de octubre de 2015, informando DKV en fecha de 03/11/2015 que (…) esta entidad procederá en el plazo de 48 horas al bloqueo de los datos personales que puedan figurar en nuestros sistemas informáticos (…). Constan llamadas de DKV al denunciante hasta al menos el día 2 de febrero de 2016. (Folios 133 y 221.2) y la inscripción en el Servicio de Lista Robinson de AIDIGITAL de la numeración objeto de denuncia es de fecha 5/10/2015 (Folios 224-225) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36 de la LOPD. II En el presente caso se imputa a DKV SEGUROS la comisión de la infracción del artículo 30.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud , tipificada como grave en el artículo 44.3
  13. e)de dicha norma, que considera como tal, El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición. Asimismo, se imputa a BB la comisión de la infracción del artículo 6 de la LOPD que señala que El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa, tipificada como grave en el artículo 44.3
  14. b)de dicha norma, que considera como tal Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. Procede abordar la participación de cada entidad en los hechos denunciados de cara a delimitar su responsabilidad y diligencia en cuanto al respecto a los principios que impone la LOPD y en especial al derecho del denunciante a que sus datos no sean tratados en contra de su voluntad. III Respecto del origen de los datos, se ha practicado abúndate prueba para delimitar las responsabilidades de los actores intervinientes llegando a la siguiente conclusión: BB obtuvo los datos del denunciante a través de la relación comercial que tenía con Hellomail a través de un intermediario, Webpilots, para su utilización en campañas comerciales de productos de DKV, debiendo señalarse lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 En el contrato de fecha 8/05/2014 obrante en los folios 82 a 90 del expediente, se hace constar que BB utilizara las páginas web de Hellomail y la información contenida en sus bases de datos comprometiéndose de modo genérico a (...) respetar integral y estrictamente le régimen jurídico aplicable, entre otros ámbitos, a la protección de datos de carácter personal en tales bases de datos (…) previéndose diferentes modalidades de explotación de las bases de datos, entre las que se encuentra el patrocinio de páginas web, como ha sucedido en el presente caso, donde BB como PARTNER se compromete al pleno respeto a la normativa de protección de datos, ( puntos 2,3 y 4 del apartado
  15. c)de la cláusula 1 del contrato). Como anexo a dicha cláusula obra en el folio 91 la concreción del servicio donde BB y Webpilots determinan su relación comercial, en un documento donde las clausulas 9 y 11 aparecen vacías, y que hacen referencia a las páginas web a utilizar y a la base de datos en las que se integraran los leads o registros obtenidos a través del patrocinio. Dicha omisión permite reprochar a ambas entidades el insuficiente celo y respeto en el encargo realizado por una parte, y asumido por otra, en lo que se refiere al cumplimiento de las obligaciones que impone la LOPD, en la medida que como punto de partida, y sin otras consideraciones, no se plasma el origen de los datos a priori, lo que difícilmente – y a los sucedido debemos remitirnos- con posterioridad se pueda determinar. Tras el análisis de documentos obrantes en el expediente – contratos, correos electrónicos intercambiados por los distintos actores y contestación a las pruebas solicitadas por el instructor- se concluye que el modelo de colaboración de las entidades no permite conocer, fácilmente, el origen de los datos objeto de tratamiento, debido a la laxitud con que los registros pueden ser incorporados a la base de datos del PARTNER, en este caso, BB. Pero es que tampoco BB una vez incorporados los registros a sus sistemas, realiza medida preventiva, tendente a evitar el tratamiento de datos que se obtengan duplicados, es decir, el número de teléfono objeto de análisis consta asociado a diferentes registros. BB una vez conocido el error si se dirige a Webpilots para conocer lo sucedido, pero lo reprochable a dicha entidad es no implantar sistemas que desde el inicio impidan dicha circunstancia, máxime cuando la garantía que ofrece el suministrador de los datos, o mejor dicho, el titular de la página web objeto de patrocinio –Hellomail-, es tan poco riguroso (ni en el contrato, ni en el anexo, se conoce la web, qué tipo de formularios aceptaron los usuarios, etc.,..). Es decir, cuando son mínimas las garantías que ofrece Hellomail en el contrato, se echa en falta por parte de BB de media alguna tendente a verificar la adecuación a la normativa de protección de datos cuando recibe los registros y se dispone a explotarlos comercialmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 Por ello, una vez acreditado el tratamiento de los datos realizado por BB, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. BB no tenía el consentimiento del titular del dato objeto de tratamiento, con independencia de que pretenda centrar la atención en el debate en torno a si correspondía a la madre de éste o al Sr. A.A.A., es decir, no puede afirmar que tuviera la anuencia o validación. Debiendo a su vez desestimarse las alegaciones referentes a la aplicación de la excepción al consentimiento propuesta por BB por aplicación de las fuentes accesibles al público, pues existe reiteradísima jurisprudencia que avala el criterio de esta Agencia mostrado, por citar alguno, en el Informe 3420/2008, que niega a internet el carácter de fuente accesible, en concreto señala que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados (…) Por ello no puede exonerarse a BB del tratamiento de datos al margen del consentimiento del denunciante, lo que conlleva la acreditación de la conducta típica, antijurídica y culpable de la entidad y se confirma la comisión de la infracción prevista en el art. 44.3
  16. b)de la LOPD. IV Por su parte, DKV afirma que actuó con pleno respeto a la LOPD, satisfaciendo el derecho de oposición ejercido por el denunciante, incluso a partir de la comunicación con su departamento de Defensor del Cliente, procede abordar el ítem cronológico de lo sucedido: La primera comunicación del denunciante a DKV se produce en fecha de 02/10/2015 y que obra en el folio 13 de donde se puede deducir sin asomo de duda la negativa de aquel para recibir comunicaciones comerciales de la citada entidad. Igualmente ocurre en fecha de 7/10/2015 (folio 15). Mediante carta fecha en 8/10/2015 se dirige a DKV – solicitando el reintegro de una factura- y en el texto manifiesta que continúan las llamadas publicitarias de DKV y en idénticos términos se dirige mediante carta fechada en 13/10/2015 ( folio 33). Mediante correo electrónico con un documento adjunto emitido en fecha de 29/10/2015, el denunciante ejerce formalmente su derecho de oposición (folio 42-43). Constan varios correos electrónicos entre BB y Webpilots con el asunto: DKV septiembre, de los que se deduce que DKV es conocedor de la situación del denunciante al menos desde la fecha de 6/10/2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 En fecha de 05/10/2015 la numeración del denunciante se inscribe en el Servicio de Lista Robinson de AIDIGITAL. Del cronológico expuesto, se deduce que DKV está en condiciones de conocer y por tanto en la obligación de atender el derecho de oposición ejercido por el denunciante. Pues bien consta la realización de llamadas comerciales por cuenta de DKV hasta al menos el mes de febrero del año 2016, produciéndose incluso varias al día y cada día. (Folios 51- trece llamadas- folios 52, 54 y 221.2). En la mayoría de las llamadas recibidas por el denunciante, pone de manifiesto su deseo de no recibir más llamadas advirtiendo de la grabación de la misma. Esta vulneración del derecho de oposición no puede imputársele a BB, pues las llamadas se producen con posterioridad a su intervención en el tratamiento de los datos del denunciante que se produce en el mes de octubre de 2015. DKV manifiesta en sus alegaciones formuladas a la propuesta de resolución, que no realiza llamadas (…) hasta el mes de febrero de 2016(…) como señala el relato de hechos probados, sino que son personas ajenas a la entidad que las realizan usando sin permiso su marca comercial, por lo que solicita de acuerdo al principio de presunción de inocencia, que se archiven las actuaciones. Alegaciones que deben desestimarse pues no hay duda de que las llamadas se realizan por interlocutores que se identifican como la compañía DKV, y si bien puede admitirse la existencia de agentes y/o intermediarios, es a DKV a quien le compete comunicar a sus distribuidores ( y acreditarlo frente a esta Agencia ) que al número de teléfono del denunciante, no pueden realizarse llamadas comerciales, o establecer contractualmente una regulación para el caso concreto, es decir, que exista una oposición expresa frente a la entidad. Pues precisamente existe un derecho de oposición particular – frente a la propia DKV, reconocido por ésta y deducido de la documentación obrante en el expediente- y otro general – frente al fichero común de exclusiones-. Asimismo DKV solicita que la Agencia en uso de las facultades atribuidas en el art. 40 de la LOPD, realice determinadas actuaciones. Sin embargo debe destinarse dicha petición en la medida en que las potestades de inspección se realizan en un estadio procedimental anterior al procedimiento sancionador, y en el procedimiento el trámite para solicitar actuaciones probatorias es junto con las alegaciones formuladas al acuerdo de iniciación y no en el trámite de las alegaciones formuladas a la Propuesta de Resolución del Instructor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 En conclusión, DKV no explica la razón de porque siguen produciéndose llamadas comerciales por su cuenta al denunciante, hasta el mes de febrero de 2016, a pesar de la confirmación del bloqueo de sus datos y a pesar de la inscripción en el Servicio de Lista Robinson de AIDIGITAL ( Fichero común de exclusión publicitaria, ex art. 49.4 RDLOPD), lo que constituye la vulneración de lo dispuesto en el art. 30.4 de la LOPD, conducta que encuentra su tipificación el artículo 44.3
  17. e)de dicha norma, que considera como tal, El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición. V El artículo 45 de la LOPD apartados 1 y 2, 4 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Procede abordar el elemento subjetivo en la comisión de las infracciones cometidas por BB y DKV, en relación con la determinación de la cuantía de la sanción a imponer y su calificación de acuerdo con el trascrito art. 45 de la LOPD. BB no tomó las cautelas suficientes cuando contrato con Hellomail y procedió a la ejecución del contrato. Desconoce el origen de los datos, es decir, si tenían o no el consentimiento y en caso afirmativo para que lo tenían, es decir, qué política de privacidad pudieron aceptar los usuarios de la página web, que patrocinaban. Asimismo si bien nada consta en el contrato, no procedieron a ninguna acción de deduplicación o verificación, que con independencia de que pudiera realizarla Hellomail en otra modalidad del contrato, lo que sucede en este caso era que recibía BB, directamente los datos del enlace que supuestamente patrocinaban, por lo que desde el momento que eran responsables del tratamiento, deberían haber articulado medidas tendentes a verificar el consentimiento de los usuarios. La propia BB acredita en el folio 347 y acta notarial, las veces en que se remitió la numeración objeto de denuncia asociada a datos de nombres apellidos y direcciones de correo electrónico – entre los que se encontraban el del denunciante -, pues bien precisamente no establecer medidas internas para detectar esa incidencia es atribuible a la citada entidad por no acotar ni determinar, en su relación contractual con Hellomail y WB, a quien corresponde dicha verificación, todo ello sin perjuicio de las medidas de seguridad que el art. 9 de la LOPD y el RDLOPD establecen. La recepción directa sin depuración alguna de los registros es la circunstancia que hace que los hechos se produjeran, se echa en falta en la determinación de la relación contractual el establecimiento de medida alguna tendente a evitar, a priori, lo sucedido y supeditar la explotación de la base de datos a la previa verificación de adecuación a la LOPD, mostrándose insuficientes meras declaraciones genéricas que consta en el contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 Por todo ello se ha de tener probado el elemento subjetivo en la comisión de la infracción consistente en tratar los datos personales del denunciante sin su consentimiento. Todo ello sin perjuicio de otras circunstancias que a continuación se detallan que atenúan la culpabilidad y la antijuridicidad en dicha comisión. En el caso de BB, debe estimarse la aplicación de la degradación prevista en el apartado 5 del citado artículo, por cuanto concurren los motivos previstos, tanto en el apartado
  33. a)como en el apartado b). Pues en lo que atañe a la infracción cometida por dicha entidad, que es relativa al origen y comunicación a DKV, debe considerarse de que en cuanto tuvo conocimiento de la posible irregularidad procedió a subsanar el mismo, solicitando información a Webpilots para enmendar lo sucedido. Asimismo en cuanto a la concurrencia significativa de varios apartados del art. 45.4 LOPD, debe tenerse en cuenta que en cuanto al volumen de tratamientos efectuados, se ha de circunscribir únicamente al denunciante, y el carácter continuado de la infracción, que se debe concretar en tan solo unos días, que van desde la obtención del datos hasta la cesación en su tratamiento. Por ello procede la determinación de la sanción a imponer en la cuantía de 4.000 euros. En cuanto a DKV, si bien hay elementos en el procedimiento que acreditan que cuando tuvo conocimiento de la irregularidad que se producía en relación con el número del denunciante comenzó gestiones internas para conocer lo sucedido, no procede la aplicación del art. 45.5 de la LOPD para aplicar la escala inferior en la gravedad, ya que las llamadas se producen hasta el mes de febrero de 2016, con gran asiduidad e incluso varias llamadas al día. DKV nada hizo en relación con el registro del denunciante como potencial destinatario de sus llamadas comerciales a pesar de ser conocedor del derecho de oposición manifestado reiteradamente por el denunciante. Ni tampoco, a priori, estableció contractualmente con sus distribuidores o agentes, acción alguna a realizar cuando existiera dicha oposición expresa. Asimismo consta una inscripción en el servicio de lista Robinson de AIDIGITAL, de acuerdo con el art. 49.4 RDLOPD, que le incumbe con independencia del origen del dato – BB- y con independencia de las ocasiones en que éste se dirigió a DKV. Y que de haber consultado y comunicado tal inscripción a sus distribuidores o agentes, no se hubieran producido los hechos analizados. En relación con los parámetros que constan en el apartado 4, del art. 45 de la LOPD,
  34. a)( plazo de la comisión de la infracción desde que tiene conocimiento de la irregularidad) , c),
  35. d)en atención a que DKV es una gran entidad que de su actividad se deriva un continuo tratamiento de datos personales y por tanto está sujeto al conocimiento y cumplimiento de la LOPD, y
  36. h)dado el número de llamadas recibidas, a pesar de la reiterada oposición del denunciante y de la inscripción en Lista Robinson, procede imponer una sanción en la cuantía de 40.001 € cuarenta mil un euro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DKV SEGUROS Y REASEGUROS, S.A., por una infracción del artículo 30.4 de la LOPD, tipificada como GRAVE en el artículo 44.3
  37. h)de la LOPD, una multa de 40.001 € ( cuarenta mil un euro), de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  38. d)de la LOPD, una multa de 4.000 euros ( cuatro mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a BUBBLEFISH SALES & MARKETING SOLUTIONS S.L., DKV SEGUROS Y REASEGUROS, S.A., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.