1/21 Procedimiento Nº PS/00433/2016 RESOLUCIÓN: R/00085/2017 En el procedimiento sancionador PS/00433/2016, instruido por la Agencia Española de Protección de Datos a la entidad PLENISAN, S.L.., vista la denuncia presentada por D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de marzo de 2015 tiene entrada en esta Agencia un escrito del hijo de D.D.D. en el que declara: <<Hola mi madre de edad avanzada, ha recibido una carta, que les adjunto. En el sobre pone: Sistemas médicos profesionales, SL ........-Madrid En la citada carta y en el margen con letra pequeña pone: Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, SL. Pueden ejercer los derechos de acceso rectificación, cancelación u oposición en al apartado de correos núm. ****-Madrid. Mi madre quiere que no le envíen más cartas. En dicha carta no se especifica si es necesario enviar fotocopia del DNI. En este caso sin conocer a esta gente ni nada ni sabemos cómo han conseguido los datos de mi madre, no podemos enviar dicha información. Y hoy en día que hay tanta picaresca y estafas, pues una persona mayor se encuentra en estas situaciones, desamparada y no sabe cómo actuar. Esta empresa debería poner otra forma para poder contactar con ellos y darse de baja. Hoy en día hay empresas que facilitan por mail darse de baja, o rellenando un formulario por Internet.>> Aporta el denunciante copia del envío, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convoca a la afectada a una demostración comercial a realizar en el RESTAURANT EL XXXXX en ***LOCALIDAD.1 (Barcelona) el día 16 de marzo de 2015. La carta muestra en el lateral de la página que el origen de los datos un fichero cuyo responsable es Macro Select Print (MSP en adelante) y que el ejercicio de derechos reconocidos por la LOPD se podrá realizar dirigiéndose al apartado de correos ****. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron las siguientes diligencias en el marco del expediente de actuaciones previas de inspección E/44651/2016: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 1. Mediante diligencia de fecha 9/09/2016 se incorporan las actuaciones realizadas en el marco del E/3873/2015 al presente expediente, y la documentación obrante en el procedimiento sancionador PS/00127/2016, en cuya Resolución R/02129/2016 de 29/08/2016 constan la siguiente parte dispositiva: (…) la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MACRO SELECT PRINT, S.L por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD, una multa de 60.000 ( sesenta mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad MEYDIS, S.L por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD, una multa de 60.000 ( sesenta mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: ARCHIVAR EL PROCEDIMIENTO a la entidad PLENISAN S.L por la caducidad de las actuaciones previas de investigación de acuerdo con el art. 122.4 del RDLOPD, y Ordenar a la Subdirección de Inspección de Datos la apertura del expediente E/4651/2016.(…) TERCERO: En fecha de 30/09/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a PLENISAN, S.L.., con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la citada Ley Orgánica. CUATRO: En fechas de 7/10/2016 y 10/10/2016 (a las 11:41 h y a las 9:49 h), se intentó a través de la Sociedad Estatal de Correos y Telégrafos, la notificación del citado Acuerdo de Iniciación, en el domicilio de PLENISAN, S.L.. que consta en el Registro Mercantil Central, sito en la (C/...1)- Valencia. • En fecha de 4 de noviembre de 2016 el anuncio del Acuerdo de Inicio se publicó en el B.O.E núm. 267; Supl. N. Pág. 1. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. SEXTO: En echa de 1/12/2016 por el instructor del procedimiento se incorporó como prueba documental la denuncia interpuesta por C.C.C. y los documentos obtenidos y generados por los Servicios de Inspección ante PLENISAN, S.L.., y el Informe de Actuaciones previas de Inspección que forman parte del Expediente E/04651/2016, así como la documentación obrante en el expediente sancionador PS/00127/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 11/03/2016 tiene entrada en el Registro General de la AEPD un escrito del denunciante en el que comunica que ha recibido en su domicilio una comunicación comercial por vía postal en la que se invita a un evento que se realizara en el Restaruante el Raco d´en Binu en fecha de 16/03/2015 de SISTEMAS MEDICOS PROFESIONALES, S.L – en la actualidad PLENISAN, S.L.. - informando que los datos utilizados provienen de un fichero propiedad de MACRO SELECT PRINT, S.L., (MSP en adelante) y fijando el apartado de correos **** para el ejercicio de los derechos ARCO. DOS- PLENISAN S.L., tiene un contrato con MSP en cuya ejecución ésta genera un fichero para acciones comerciales, previa segmentación con los criterios proporcionados por PLENISAN: I.En la inspección presencial realizada en fecha de 11/01/2016 en la sede de MEYDIS, se accede a un correo electrónico de fecha 19/12/2014 –referente a otra campaña publicitaria - remitido por PLENISAN con destino a MEYDIS donde consta los campos ENVIAR y DATOS CARTA, respecto del primer campo consta una por domicilio; hombres y mujeres; preferente mujeres; eliminar analfabetos; socioeconómico: bajo y respecto del segundo Hotel Sercotel Gran Bilbao y el domicilio de dicho hotel. II.PLENISAN aporta correo electrónico de 17/02/2015 dirigido a MEYDIS solamente existe un campo CARTA, donde consta el establecimiento y su domicilio donde realizar el evento. A diferencia del correo obtenido en la inspección presencial, en este no constan los parámetros identificativos de la campaña, que si constan en el correo de 19/12/2014 obtenido en la inspección presencial, consistente en una por domicilio; hombres y mujeres; preferente mujeres; eliminar analfabetos; socioeconómico: bajo III.Ambas comunicaciones – la de fecha 19/12/2014 y la de fecha 17/02/2015 – tienen el mismo origen B.B.B. e idénticos destinatarios, A.A.A.. TRES.- En fechas de 15/12/2015 y 29/05/2016 se recibe el testimonio de H.H.H. una ex empleada de un cliente de MEYDIS donde manifiesta que MSP es una entidad meramente formal y que nunca trato con personal de dicha entidad a pesar de que era la responsable de los asuntos a tratar y en cambio trato con personal de MEYDIS. Asimismo sostiene que MSP cambiaba de denominación social según iba indicando MEYDIS. Finalmente manifiesta que el esquema de negocio en acciones de marketing postal nominativo responde a la determinación de las características de los destinatarios por parte del cliente (en este caso PLENISAN) para que el proveedor de la base de datos genere un determinado fichero de destinatarios de dichas acciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 CUATRO: En el contrato entre MEYDIS y PLENISAN (EL CLIENTE) consta lo siguiente (…) I Por virtud de este contrato, MEYDIS se compromete a prestar al CLIENTE los siguientes servicios:
- a)Recepción de las piezas publicitarias, en las que ya se encontraran impresos los datos de nombre, apellidos y dirección postal de las personas a las que deba ser enviadas. Las piezas publicitarias se entregaran a MEYDIS en soporte papel y apiladas en cajas, sin orden o indexación alguna. Dichas cajas serán enviadas a MEYDIS directamente por la tercera empresa que haya sido contratada por el CLIENTE para los servicios de selección e impresión de los datos personales en la publicidad.
- b)Doblado, ensobrado y franqueo de las piezas publicitarias.
- c)Depósito de la publicidad en el correspondiente operador postal para su envío. II MEYDIS únicamente tratará las piezas publicitarias impresas conforme a las instrucciones del CLIENTE, prohibiéndose expresamente su aplicación o utilización con un fin distinto al establecido en la relación que les vincula. Como norma general, las instrucciones que debe cumplir MEYDIS son las que, en buena lógica se deducen de la propia naturaleza de los servicios contratados y son necesarias para su cumplimiento. En caso de que CLIENTE estimase oportuno impartir instrucciones distintas de las mencionadas, las comunicará expresamente a MEYDIS. III MEYDIS no podrá ceder o entregar las piezas publicitarias o la información que contengan a terceras personas, salvo indicación expresa de CLIENTE. IV MEYDIS se compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para la seguridad de las piezas publicitarias impresas, las medidas de seguridad de nivel básico de las establecidas en el Real Decreto 1720/2007, debiendo elaborar su propio Documento de Seguridad, en el que se recojan todas las medidas legales y cumplirlo. CINCO.- Desde principios del año 2014 PLENISAN, S.L.. recibe en sus cuentas de correo electrónico comunicaciones de destinatarios de la carta invitación de sus eventos comerciales en el que comunican que los destinatarios corresponden a personas fallecidas, y otras tienen por objeto negar el consentimiento para utilizar sus datos solicitando la baja de sus envíos. SEIS.- En la inspección realizada en la sede de PLENISAN, S.L.. se solicitó la identidad de personas de contacto de MACRO SELECT PRINT, S.L. y esta informo que se relacionan a través de dos personas F.F.F. y G.G.G. que han resultado ser directivo y empleada de MEYDIS. H.H.H. ex empleada de un cliente de MEYDIS, afirmo que nunca se relacionó con MSP, sino que lo hacía a través de empleados de MEYDIS que uno coincide con los transcritos ut supra. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 1. Competencia para resolver. Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. 2. Sobre la ausencia de alegaciones. El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: 1. Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. 2. Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. 3. Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. 4. Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2001 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 arriba trascrito, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 resolución. 3. Notificación del Acuerdo de Inicio. Dispone el art. 59.5 de la LRJPAC: Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el "Boletín Oficial del Estado". Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la comunidad autónoma o de la provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del consulado o sección consular de la Embajada correspondiente o en los tablones a los que se refiere el artículo 12 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos. Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el "Boletín Oficial del Estado" En el presente caso se han observado las prescripciones legales, tal como se ha señalado en el Antecedente Cuarto de la presente Resolución. 4. Caducidad de las Actuaciones Previas E/3873/2015. En la resolución R/02129/2016 de 29/08/2016 que resolvía el Procedimiento Sancionador nº: PS/00127/2016 se hacía constar en el Fundamento de Derecho XVI lo siguiente: (…)De conformidad con el art. 122.4 del RDLOPD, las actuaciones previas realizadas contra PLENISAN, S.L.. estarían caducadas tal como se explica en el Fundamento de Derecho II, por lo que procede acudir a lo dispuesto en el art. 92.3 de la citada Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que establece que: "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. En el presente caso, estamos ante una infracción grave cuyo plazo de prescripción es de dos años de conformidad con el art. 47 de la citada norma, por lo que no existirá impedimento alguno para la apertura de un nuevo procedimiento dentro del citado plazo. Respecto de la apertura de un nuevo procedimiento sancionador en relación con una infracción no prescrita, previa tramitación de un procedimiento ya caducado, esta Agencia ya se pronunció en la Resolución nº R/00017/2011 de 24/01/2011, en la que se planteó por la representación de la entidad denunciada dudas acerca de dicha posibilidad, citando por este organismo la doctrina jurisprudencial sentada al respecto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 por el Tribunal Supremo, en concreto se cita en el Fundamento de Derecho II lo siguiente: “la controversia no ha sido pacifica ni por la jurisprudencia ni por la doctrina científica, sin embargo ha quedado zanjada con la Sentencia del Tribunal Supremo de 12 de junio de 2003 ( RJ 2003, 4602) dictada en un recurso de casación en interés de ley, en la que el alto tribunal enjuició la legalidad de una sentencia de una Juzgado de lo contencioso-administrativo de Málaga que anulo una sanción sobre la base de que la dualidad de expedientes sancionadores vulneraba las prescripciones del artículo 44.2 de la Ley 30/1992, habiendo por consiguiente, la administración municipal, impuesto una sanción esquivando la aplicación del régimen de caducidad-perención del procedimiento sancionador. El Tribunal Supremo, sin embargo, no comparte esa conclusión jurídica y fijo la siguiente doctrina legal:” La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en es precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito ( STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001.” A los efectos expuestos se abre el expediente de investigación E/4651/2016 respecto de los hechos imputados a la entidad PLENISAN, S.L.. (…) Derivadas de las actuaciones E/4651/2016 y de acuerdo con la circunstancia de que la inflación imputada a PLENISAN, S.L.., no estaba prescrita se inició el presente procedimiento sancionador. 5. Sobre el precepto vulnerado. Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 En el presente caso se imputa la comisión de la infracción consistente en someter a tratamiento los datos personales del denunciante por parte de la entidad PLENISAN, S.L.. al haber realizado acciones de marketing utilizando dichos datos y habiendo negado la prestación del consentimiento la denunciante y la inexistencia cualquier causa que lo dispense. 6. Responsables. Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas: Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos. Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento. Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso ha resultado acreditado que PLENISAN, S.L.. realizo una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 campaña publicitaria cuyos destinatarios eran las personas que constaban en el fichero titularidad de MACRO SELECT PRINT, S.L. PLENISAN es responsable del tratamiento por dos vías, la primera respecto de su relación con el responsable del fichero – MSP – en la medida en que determina los parámetros identificativos de los destinatarios de la campaña, tal como se explica a lo largo de la presente resolución, y la segunda, respecto de MEYDIS – que es su encargado del tratamiento – respecto del servicio que esta entidad le presta. 7. Participación en los hechos de PLENISAN, S.L.. Si perjuicio de que el presente expediente sancionador deriva de lo actuado en el procedimiento nº: PS/127/2016, en el que se investigó a las citadas entidades( MACRO SELECT PRINT, S.L., MEYDIS, S.L. y PLENISAN, S.L..), únicamente es objeto de valoración la actuación de PLENISAN, S.L.. –frente a quien se incoa el presente procedimiento- debiendo considerarse lo siguiente: La cualidad de PLENISAN, S.L.., como responsable del tratamiento, se constituye por dos vías. A. la prevista en el art. 46.2
- a)del RDLOPD, en la medida que determina los destinatarios de las campañas, o dicho de otro modo, comunica al responsable del fichero qué tipo de registros quiere para sus campañas. A esta conclusión se llega por varias circunstancias: La información contenido en el los hechos probados DOS y TRES.- donde consta lo siguiente: (…)DOS- PLENISAN S.L., tiene un contrato con MSP en cuya ejecución ésta genera un fichero para acciones comerciales, previa segmentación con los criterios proporcionados por PLENISAN: I. En la inspección presencial realizada en fecha de 11/01/2016 en la sede de MEYDIS, se accede a un correo electrónico de fecha 19/12/2014 –referente a otra campaña publicitaria - remitido por PLENISAN con destino a MEYDIS donde consta los campos ENVIAR y DATOS CARTA, respecto del primer campo consta una por domicilio; hombres y mujeres; preferente mujeres; eliminar analfabetos; socioeconómico: bajo y respecto del segundo Hotel Sercotel Gran Bilbao y el domicilio de dicho hotel. ( folio 81) II. PLENISAN aporta correo electrónico de 17/02/2015 dirigido a MEYDIS (Folio 159 y ss )donde solamente existe un campo CARTA, donde consta el establecimiento y su domicilio donde realizar el evento. A diferencia del correo obtenido en la inspección presencial, en este no constan los parámetros identificativos de la campaña, que si constan en el correo de 19/12/2014 obtenido en la inspección presencial, consistente en una por domicilio; hombres y mujeres; preferente mujeres; eliminar analfabetos; socioeconómico: bajo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 III. Ambas comunicaciones – la de fecha 19/12/2014 y la de fecha 17/02/2015 – tienen el mismo origen B.B.B. e idénticos destinatarios, A.A.A.. TRES.- (…) Finalmente manifiesta que el esquema de negocio en acciones de marketing postal nominativo responde a la determinación de las características de los destinatarios por parte del cliente (en este caso PLENISAN) para que el proveedor de la base de datos genere un determinado fichero de destinatarios de dichas acciones.(…) De la información expuesta, se concluye que cuando se accede al correo electrónico de fecha 19/12/2014 en una inspección presencial – con el carácter sorpresivo de la misma- se obtiene una información, donde constan sin género de duda los parámetros identificativos de la campaña determinados por PLENISAN, y en cambio cuando se solicita por escrito, - y con tiempo para contestar – se aporta un correo electrónico con el mismo formato, pero sin los parámetros identificativos de la campañas. No hay ni un mes y medio entre una comunicación y otra, los intervinientes en la comunicación son los mismos, y el formato de documento es similar, con la única diferencia que no consta el campo ENVIAR y constan los datos propios del campo DATOS CARTA – es decir los del lugar del evento - y en cambio, en la documentación obtenida en la inspección en el campo ENVIAR constan los parámetros y en el campo DATOS CARTA consta los del lugar del evento. -Ausencia de lo afirmado por PLENISAN y MSP, pues de la documentación obrante en el expediente, Factura y Contrato, no pueden determinarse las variables utilizadas para identificar el público objetivo o destinatario de una campaña ex art. 46.4 RDLOPD. Es decir, no puede determinarse que en el servicio encomendado a MSP., conste la determinación de dichos parámetros, por mucho que en dicho contrato conste la inserción de una clausula tipo estandarizada, pues es obvio que en la relación mercantil entre ambas para la citada campaña es necesario la existencia de otras instrucciones, órdenes de trabajo, etc.,. que pueda conllevar el envío de cartas nominativas que publicitan un evento comercial organizado por PLENISAN, S.L.. por las razones que a continuación se exponen: PLENISAN realiza, entre otras, estas manifestaciones: (…)el proveedor selecciona una localidad(..) (…)MSP también diseña la creatividad publicitaria(…) (…)Reiteramos, es MSP quien determina y prepara las acciones comerciales para PLENISAN(...) Pues bien, no hay prueba alguna que corrobore tales manifestaciones. PLENISAN S.L. no aporta otros elementos de prueba que acrediten qué parámetros se fijaron y por quién se fijaron. Así las cosas, lo establecido en el contrato es genérico siendo racionalmente necesario otra determinación u acotación más allá de la citada clausula, pues únicamente del citado contrato ayuno de otras circunstancias, no puede deducirse los aspectos relacionados con la acción publicitaria consistente de remitir la carta/invitación que aporta el denunciante al expediente y que prueba el tratamiento de sus datos. En este sentido escapa a la lógica más elemental que con la documentación en que se sustenta la contratación de los servicios incorporado al expediente (únicamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 el contrato y la factura) se pueda llevar a cabo una acción publicitaria que culmine con el envío del folleto donde constan los datos personales de la denunciante, y que se promociona un evento que tiene se celebra en un lugar determinado y que se publicita un determinado producto, de dicha documentación ( solamente contrato y factura) no puede deducirse el dónde?, el qué?, el cómo? y en lo que aquí interesa, el¿ a quién?, es decir, las variables utilizadas para identificar el público objetivo o destinatario de una campaña ex art. 46.4 RDLOPD. (Todo ello sin perjuicio de que lo que se ha acreditado es precisamente una comunicación que responde a esas preguntas, pero en lugar de MSP a PLENISAN, como sostienen en aras a apoyar la argumentación de que es MSP quien determina parámetros, de PLENISAN a MEYDIS, quien en principio es un simple encargado) Es decir, se hace necesario la existencia de otras indicaciones que únicamente está en condición de probar la propia PLENISAN,S.L, pues no puede obviarse que si la acción publicitaria consiste en la invitación a un evento comercial que tiene lugar en un restaurante de la localidad de Barcelona, cualquier fin buscado con dicha acción comercial, se vería frustrado si la publicidad se envía a vecinos de cualquier otro municipio del territorio español ( téngase en cuenta que hay 8.122 a 1 de enero de 2015, INE). Necesariamente se tiene que determinar parámetros sobre los que se realice la selección de destinatarios sobre los que se hace la acción comercial, en este caso sobre los vecinos de la localidad donde se vaya a realizar el evento comercial, y como se ha señalado esa determinación y su prueba, solamente está en condiciones de acreditarla la propia PLENISAN, S.L.. incluso aunque hubiera sido la propia MSP estaría en condiciones de probar tal extremo y nada de esto ha sucedido. PLENISAN, S.L.., debería estar en condiciones de probar la existencia de los criterios de segmentación referidos en el contrato y la factura, aun en el caso de que se hubieran fijado por. MSP, es decir, si esta entidad los determinó, es PLENISAN, S.L.. la que tiene de algún modo que aceptarlos o validarlos, pues no puede olvidarse que la beneficiaria de la acción publicitaria, la principal interesada en que dicha acción se haga de una forma o de otra, es la propia PLENISAN, S.L.., por lo que de ser todo como manifiesta, existiría un documento ( ya sea orden de trabajo, borrador, albarán o un simple correo electrónico) donde diera su visto bueno o aceptación, que probara que fue MSP., quien determinó los parámetros, cómo se realizó el diseño de la campaña y sin embargo nada de esto ha aportado. No puede argumentarse que PLENISAN, S.L.. no intervino en la campaña según reflejan el contrato y la factura. Pues bien, debe señalarse que no solo son objeto de prueba los documentos que cita, sino que también son objeto de prueba los hechos producidos, es decir, el tratamiento de datos personales de la denunciante para recibir publicidad de PLENISAN, S.L.., y es precisamente la confrontación de los documentos, con los hechos, los que hacen insuficiente o carente de sentido las manifestaciones de PLENISAN, ya que como se señaló de dicha documentación no puede llevarse a cabo la acción publicitaria determinada, pues ni en el contrato, ni en la factura consta nada respecto de la campaña en cuestión, ni respecto del lugar de celebración, ni la fecha del evento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Manifestaciones de un representante de PLENISAN, quien afirma en una inspección presencial y sin previo aviso (…) b. Respecto del funcionamiento de la entidad con MSP, informan que: -la entidad elige una localidad y contrato un hotel en la misma, donde se realizara la demostración comercial y captación de clientes. -concertado el hotel, se comunica a MSP el lugar y fecha en que se realizara el evento, ya sea por teléfono, correo electrónico o fax. -MSP realiza la selección de las personas a convocar De lo que se deduce que tras la elección de la localidad y el local que realiza PLENISAN, comunica al supuesto proveedor de bases de datos esas circunstancias y éste extrae del fichero los destinatarios ya determinados, precisamente por dichas variables, entre otras. B.- Asimismo en apoyo a esta argumentación en relación con el art. 46 .2
- a)del RDLOPD y la determinación de parámetros, el propio testimonio de H.H.H. donde el instructor pregunta expresamente sobre quien determina los parámetros en este tipo de acciones publicitarias, y que si bien ella era trabajadora de otra entidad, la mecánica era la misma, puesto que trabajaban con MEYDIS y con un proveedor de bases de datos, e indica claramente que: (…)Simplemente se le solicitaba la información de cuantos registros tenían para una población en concreta o c.p y posteriormente nosotros les decíamos cuántos envíos queríamos que realizasen indicándoles el lugar de celebración de la campaña, la invitación a utilizar horarios de reuniones etc. y ellos seleccionaban dicho fichero, imprimían y manipulaban las invitaciones para su posterior envió(..) (…) se les daba un ok de aceptación y posteriormente Msp nos enviaba la base de datos solicitada en formato Excel con la información que nosotros pedíamos: -Nombre y apellidos -DNI -Dirección completa -Localidad -Provincia -C.P •Fecha de nacimiento -Datos del cónyuge (nombre y apellidos, DNI y fecha de nacimiento) -Teléfono (…) (…)Es habitual que los criterios se determinen por los clientes y no por Meydis, lo único que nos decían eran los parámetros que ellos tenían es decir, sexo, nivel de estudios, teléfono, nivel socio-económico, c.p., población, provincia, extranjeros, estado civil.... y nosotros (HXXI) decidíamos los parámetros ya que en este tipo de empresas se trabaja con un sector muy específico. (…) Es decir, la empresa beneficiaria de la publicidad- en aquel caso HXXI y en este PLENISAN - es quien ha de determinar los parámetros identificativos de los destinatarios, pues precisamente sabe lo que quiere y lo que necesita. Que en el contrato con el supuesto proveedor de bases de datos ponga que éste realiza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 la segmentación de los destinatarios, puede ser cierto, pero siempre sobre la base de la previa indicación del cliente – PLENISAN – e incluso puede que ni si quiera este trate materialmente ningún dato, sino que se limite a preguntar al proveedor el número de registros de una determinada población, con unas determinadas características de sexo, nivel cultural, nivel económico, etc., y el proveedor remita un resultado con un número determinado de registros y el cliente de su visto bueno y empiecen el resto de actos de ejecución de la campaña. Pero todo esto, implica la previa indicación por parte del beneficiario de la publicidad de lo que quiere y por tanto de la determinación de los parámetros. C.- y la segunda vía en la que se constituye como responsable del tratamiento, es en aplicación de lo previsto en el art. 3
- d)de la LOPD, por su relación con MEYDIS, S.L. ya que en ejecución del contrato de servicios, se realiza un tratamiento de datos por cuenta de PLENISAN, S.L.. decidiendo así (…) sobre la finalidad, contenido y uso del tratamiento (…) ex art. 3 LOPD en lo referente al concepto de responsable del tratamiento. En el Anexo de fecha 10/04/2015 y cuya finalidad es la de testimoniar el cambio de denominación de SISTEMAS MEDICOS PROFESIONALES, por PLENISAN, S.L.. consta que (…) I.- Que, con fecha de 6 de mayo de 2013 se suscribió un entre las partes un contrato de prestación de servicios de datos de carácter personal, del cual este documento es Addenda, y que se encuentra vigente a día de hoy (…) lo que despeja cualquier duda acerca de la condición de responsable del tratamiento de PLENISAN, S.L.. en relación con la actividad contratada con MEYDIS, S.L. En conclusión PLENISAN tiene pleno control sobre los actos que conlleva la realización de la campaña y el sometimiento a tratamiento de los datos personales de los destinatarios, tanto es así, que contrata – supuestamente -con MSP y con MEYDIS, S.L. para que de acuerdo con sus instrucciones se realice de un modo o de otro las campañas de cuya publicidad es beneficiaria. En concreto, el servicio que por contrato presta MEYDIS, S.L. implica el tratamiento de los datos personales de los destinatarios cuyos datos constan en las piezas publicitarias. (Véase las clausulas en las que expresamente se recoge que MEYDIS, S.L., actúa siempre bajo las instrucciones de PLENISAN, S.L..). 8. Elemento subjetivo en la comisión de la infracción. Respecto de PLENISAN, S.L.. debe señalarse que el art. 46.3 del RDLOPD lo siguiente: 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento Por su parte la Sentencia de la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) En el expediente no consta medida alguna que permita afirmar que PLENISAN, tomo cautela alguna para que el tratamiento de datos de la denunciante se hiciera conforme a la LOPD. No puede considerarse como tal el contenido de las clausulas IV y V donde se ofrecen garantías de legalidad de la base de datos a utilizar puesto que es un elemento meramente formal sobre el que PLENISAN no ha realizado ninguna verificación previa. Además debe tenerse en cuenta lo siguiente en relación con la supuesta diligencia prestada por PLENISAN a la hora de realizar la campaña: Carece de virtualidad la declaración del representante de MACRO SELECT PRINT, S.L. aportada por PLENISAN, S.L..- respecto de la ausencia de denuncias y sanciones con carácter previo a la contratación - puesto que está fechada en 16/06/2014 (lunes) y la actividad de MACRO SELECT PRINT, S.L. comienza en fecha de 12/06/2014 (jueves anterior) sin que, por tanto pueda haber sido sancionada dado el tiempo de actividad transcurrido. (Tres días hábiles) En cuanto a la documental consistente en la consulta en el RGPD, debe tenerse en cuenta, en primer lugar, que tal inscripción es declarativa y no constitutiva, por lo que la inscripción en el mismo no determina un previo estudio material y análisis de su legalidad, tal como conoce la propia PLENISAN, S.L.., cuando ha inscrito sus ficheros, y en segundo lugar la consulta aportada es realizada en fecha de 02/11/2015. En cuanto a la “muestra” previa de registros sobre los que va a recaer la acción publicitaria, no puede servir de parámetro de legalidad en la medida en que en los envíos a realizar consta el piso y la puerta del domicilio del potencial destinatario ( datos que no constan en las guías de abonados como fuentes accesibles al público ) y en lo aportado por PLENISAN, S.L.. nada consta al respecto, por lo que siendo conocedora de tal circunstancia no puede entender adecuados dichos registros para sus acciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 publicitarias, ni valorarlo como elemento de legalidad o adecuación a la LOPD, ni menos aún entenderlo como una de las garantías que a través del art. 46.3 del RDLOPD se pretende instaurar. 9. Conducta típica. Dispone el artículo 44.3.
- b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” De acuerdo con lo dispuesto en el art. 6 de la LOPD, las entidades imputadas han acreditado que tenían el consentimiento del denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Acreditado el tratamiento de datos personales la entidad denunciada no ha presentado ninguna prueba que pueda evidenciar el origen licito de los datos del denunciante ( ni si quiera ha concretado cual es el origen de los mismos) y por tanto que contaban con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. MACRO SELECT PRINT S.L., es responsable del fichero automatizado donde constan los datos de la denunciante, que tras la determinación por parte de PLENISAN, S.L.. de la localidad donde se realiza el evento comercial, con unos determinados tipos de registros, MACRO SELECT PRINT, S.L., genera de aquel, un fichero sobre el que realizar las acciones publicitarias entre los que se encuentran los de la denunciante y cuyo consentimiento no ha podido acreditarse. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 10. la gravedad de la infracción, la culpabilidad y antijuridicidad de los hechos y la sanción a imponer. El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. 11. Determinación de la gravedad y cuantía de la sanción a imponer a PLENISAN. En relación con las infracciones cometidas por PLENISAN y en relación con lo establecido en el art. 45 de la LOPD no procede aplicar la degradación prevista en su apartado 5 y fijar el importe de la sanción propuesta, dentro de la escala relativa a las infracciones leves. PLENISAN, S.L.. no solo tiene elementos suficientes para conocer o al menos dudar de que el fichero de MACRO SELECT PRINT, S.L. no cumple la legalidad (véanse las comunicaciones de los familiares de los fallecidos hace años que manifiestan tal circunstancia) sino que ha creado una apariencia de modelo de negocio sustentado en contratos y alegaciones dirigidas y presentadas por MACRO SELECT PRINT, S.L., cuya única finalidad es eludir el sometimiento al régimen sancionador de la LOPD y en definitiva su cumplimiento. Ha establecido un contrato tipo-estándar donde recoge una clausula “de salvaguarda” ( quien fija parámetros) y de “garantía” ( legalidad de los ficheros objeto de tratamiento) para otorgar apariencia del esquema que diseña el art. 46.2
- b)del RDLOPD, cuando ha resultado acreditado que no es así, sino que se da la circunstancia del art. 46.2
- a)o a lo sumo la del art. 46.2 c), pero de la documentación aportada se echa en falta precisamente la documentación que sustente lo que afirma PLENISAN, S.L.. (Determinación de parámetros , estudio de mercado, diseño campañas, en definitiva, comunicación entre las entidades que prueben la relación que alegan que mantienen, etc.,…) Asimismo ha sido objeto de otras sanciones en otros procedimientos y ni en aquellos ni en este había comunicado la existencia de MEYDIS, S.L. en su “modelo de negocio”, respecto del que es responsable del tratamiento, en virtud del contrato de fecha 6/05/2013, y le sitúa por tanto bajo el régimen sancionador de la LOPD al margen del intento de PLENISAN, S.L.. de centrar el debate jurídico de su actuación únicamente de acuerdo con el art. 46.2
- b)RDLOPD. PLENISAN, S.L.. lejos de acreditar medidas tendentes a cumplir la LOPD o reconducir su modelo de negocio del que se derivan tratamiento de datos personales, sostiene una estructura de actores (contrata con MACRO SELECT PRINT, S.L. como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 supuesto responsable de un fichero sobre el que realiza selecciones MEYDIS, S.L.,) y documentación (contrato estándar) para eludir el régimen sancionador de la LOPD. Ni se acredita voluntad de cumplimiento de la norma ni menos aún de colaboración con la Agencia, ya que la actuación de MEYDIS, S.L. en su modelo de negocio y respecto de la que es responsable del tratamiento ha sido ocultada por PLENISAN, S.L.. durante al menos los procedimientos instruidos desde el año 2013, eludiendo así su consideración de responsable del tratamiento al margen de dicha consideración en relación con MSP. Asimismo en la documentación obtenida en la inspección realizada PLENISAN, S.L.. es receptora de multitud de comunicaciones en las que los destinatarios de las acciones publicitarais o bien niegan su consentimiento para recibir publicidad, ante lo que solicitan la baja o bien manifiestan que los destinatarios de su publicidad han fallecido hace tiempo, todo ello haría pensar a cualquier empresa que el fichero sobre el que se hacen sus campañas puede no cumplir la legalidad por no estar debidamente actualizado incumpliendo principios como el de calidad del dato, o el del consentimiento y a pesar de ello PLENISAN, S.L.. continua con su actividad utilizando el fichero en cuestión. Tampoco consta a este respecto comunicación alguna de PLENISAN, S.L.. a MSP informando de tales extremos para adecuar el fichero generado, sino tan solo manifestaciones y explicaciones irrelevantes del por qué se dirigen los afectados a PLENISAN, S.L.. en el sentido de que es por que consta el logo de su entidad, pero no acredita extremo alguno tendente a cumplir lo dispuesto en el art. 51.4 del RDLOPD que señala que: (…)Si el derecho de oposición se ejercitase ante una entidad que hubiera encomendado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho del afectado en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado. Por otra parte, existe tanto la reiteración como la reincidencia en la comisión de infracciones de la misma naturaleza. El art. 131.3
- c)LRJPAC establece que existe reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme. Además, dicho artículo señala como parámetro para graduar el importe de la sanción en relación con el principio de proporcionalidad, el grado de intencionalidad o reiteración. En el presente, habida cuenta de que la PLENISAN, S.L.., ha sido sancionada por hechos similares anteriormente mediante Resoluciones R/02402/2014, R/02556/2015 y R/02678/2015 por lo que concurre el agravante tanto de la reiteración, como de la reincidencia. En este sentido así ha reconocido, entre otras, en la STSJ de Baleares de 11 de junio de 1999 (RJA 1999,1621): En efecto, en el marco del Derecho administrativo sancionador, la reiteración se distingue de la reincidencia, únicamente en que aquella comprende a infracciones cometidas con una diferencia temporal superior a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 un año y es también independiente de que dichas infracciones participen o no de la naturaleza de la considerada, en la que se quieren hacer valer los efectos agravatorios”. Por su parte, en cuanto a la firmeza de las resoluciones que requiere el citado art. 131.1
- c)LRJPAC, la jurisprudencia del Tribunal Supremo, en Sentencia de 24 de octubre de 2000 (RJ 2000,9375) y de 11 de marzo de 2003 ( RJ 2003,2656) ha señalado que “ Por ello parece preferible la interpretación de que, para que pueda aplicarse la circunstancia de reincidencia para una calificación mas grave de la conducta sancionable o para la agravación de la sanción prevista en la norma sancionadora, solo será necesaria la firmeza en vía jurisdiccional del acto sancionador previo cuando explícitamente sea exigida por la norma, pero no cuando se exige genéricamente la firmeza de la resolución administrativa, como ocurre en el supuesto del art. 131.3
- c)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el que corresponde al caso enjuiciado en este proceso. En estos supuesto bastara, por ende, la firmeza en vía administrativa de la resolución sancionadora, determinante de la ejecutividad del acto decisorio”. En el presente caso las Resoluciones R/02556/2015 y R/02678/2015, citada son firmes debiendo predicarse en el presente procedimiento, la reiteración de la conducta, y la reincidencia en la comisión de infracciones de la misma naturaleza. En cuanto a la aplicación de los criterios recogidos en el art. 45 .4 de la LOPD, y en especial al grado de intencionalidad, su vinculación con el tratamiento de datos y el elemento subjetivo de la culpabilidad, ( apartados c),
- d)y
- f)debe señalarse que reiterada jurisprudencia nos dice que la diligencia exigible nos la da la profesionalidad del presunto infractor en relación a su vinculación con el tratamiento de datos y sometimiento a la norma sectorial, por lo que en el presente caso PLENISAN, S.L.. no puede ser ajena a los mandatos de la LOPD, y probado esta que no solo no lo es, sino que formula alegaciones y crea documentación para intentar eludir el régimen sancionador. Asimismo en cuanto al volumen de negocio de la entidad, hay que señalar que en las actuaciones de Inspección realizadas en el procedimiento I/0005/2015/i-01 se constatan determinados datos de facturación que dibujan el volumen de negocio de la entidad, y no debe obviarse que el modelo de negocio de PLENISAN, S.L.. parte de la premisa del tratamiento de datos personales y en lo que aquí interesa su adecuación a la norma. Por todo ello procede proponer la imposición de una sanción a PLENISAN S.L., en la cuantía de 60.000 euros que se estima adecuada al principio de proporcionalidad por las circunstancias expuestas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Imponer a la entidad PLENISAN S.L., por una infracción del artículo 6 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD, una multa de 60.000 € ( sesenta mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a PLENISAN, S.L.., y a quienes aparezcan como interesados en el procedimiento administrativo. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es