← España

PS-00433-2017

1/35 Procedimiento Nº PS/00433/2017 RESOLUCIÓN: R/03056/2017 En el procedimiento sancionador PS/00433/2017, instruido por la Agencia Española de Protección de Datos a la entidad INFORMATION INTERNATIONAL GLOBAL CORP., A.A.A. y B.B.B., y en base a los siguientes ANTECEDENTES PRIMERO: El 23/02/2009 fue dictada resolución R/01398/2009 en el ámbito del procedimiento sancionador PS/00629/2008, incoado a la entidad SABERLOTODO INTERNET S.L.( SABERLOTODO), el Director de la Agencia Española de Protección de Datos acordando la inmovilización del fichero ***FICHERO.1, inscrito en el Registro General de Protección de Datos (RGPD) por dicha entidad. SEGUNDO: En el marco de actuaciones previas de inspección E/00706/2010 llevadas a cabo a efectos de comprobar dicha inmovilización del fichero ***FICHERO.1, se pudo comprobar que: 1. En fecha 30/07/2009 se realizaron las inspecciones PS/00629/2008-I/1 y PS/00629/2008-I/2, realizadas en el domicilio de dos entidades clientes de SABERLOTODO comprobándose que el citado fichero seguía activo. 2. En fecha 10/02/2010 y 11/02/2010 se realizaron las inspecciones PS/00629/2008-I/3 y PS/00629/2008-I/4 a clientes de SABERLOTODO: ADARVE, CORPORACIÓN JURÍDICA, S.L. y SERVICIOS DE INTERMEDIACIÓN FINANCIERA Y COBROS, S.L. respectivamente, comprobándose que el citado fichero seguía activo. Se comprueba que del sitio ***WEB.1 se había retirado el acceso al fichero ***FICHERO.1 y se había insertado un enlace al sitio web ***WEB.2 en donde se seguía ofreciendo acceso al fichero ***FICHERO.1, pudiendo accederse a dicho fichero mediante el mismo identificador de usuario y contraseña que anteriormente se utilizaban para acceder a la zona de clientes en del sitio web ***WEB.1. 3. Dado que en la web de SABERLOTODO se encontraba el enlace a la de TRUMBIC, se realizó visita de inspección a dicha entidad en la que sus representantes manifestaron que todos los clientes que eran de SABERLOTODO pasaron a serlo de TRUMBIC, si bien no se pudo acceder al fichero dado que según manifestaron los citados representantes no disponían de sistemas informáticos para ello, ni obtener una lista de clientes por haberse negado la entidad a facilitarla a la Inspección de Datos en dos ocasiones. En la inspección realizada a TRUMBIC, actuando B.B.B. en representación de esta entidad, no se dio acceso al fichero ***FICHERO.1 pese a que la entidad si daba acceso a dicho fichero a sus clientes, indicando que dicho acceso se debía solicitar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/35 INFORMACIÓN PRIVILEGIADA (En el verano del 2009 B.B.B. creó esta empresa, a la que igualmente cedió los derechos de explotación comercial del citado fichero). 4. En la inspección a INFORMACIÓN PRIVILEGIADA, y actuando nuevamente B.B.B. , ahora en representación de esta entidad, vuelve a negarse el acceso al fichero ***FICHERO.1, alegando que dicho acceso habrá de ser realizado mediante inspección a B.B.B. , por ser su propietario. 5. Finalmente se realizó visita de inspección a B.B.B. que manifestó que conoce la orden de inmovilización de los datos contenidos en el fichero ***FICHERO.1, los cuales tienen diversos orígenes, entre ellos los obtenidos del censo, padrón y repertorio de abonados al servicio telefónico. En las inspecciones realizadas a SABERLOTODO, INFORMACIÓN PRIVILEGIADA, TRUMBIC, y B.B.B. , siempre ha estado presente éste último, bien en calidad de administrador o bien como representante de la entidad inspeccionada. TERCERO: Las citadas actuaciones provocaron la instrucción del procedimiento sancionador PS/00146/2011. El 21/09/2011 fue dictada resolución R/02070/2011 en el ámbito del procedimiento procedimiento sancionador PS/00146/2011, en el que se sanciono a B.B.B. , SABERLOTODO y TRUMBIC con multas de 600.000 euros (B.B.B. y SABERLOTODO), por un incumplimiento de la obligación de inmovilización del fichero ***FICHERO.1 acordada por el Director de la Agencia Española de Protección de Datos conforme a lo dispuesto en el artículo 37.1.

  1. f)de la LOPD, en relación con el artículo 49 de la misma norma, que implica la obligación de cesar en la utilización y cesión de los datos de carácter personal registrados en dicho fichero, así como la de adoptar las medidas oportunas para que el acceso por parte de terceros a la información contenida en el mismo quedase imposibilitada y, también, multa de 200.000 euros a TRUMBIC, por una infracción del artículo 40 de la LOPD. CUARTO: Los sancionados interpusieron ante la Sala de lo ContenciosoAdministrativo de la Audiencia Nacional recurro contencioso contra la citada sentencia siendo desestimados en el caso de las dos entidades y estimado en el caso de B.B.B. por el procedimiento especial de protección de los derechos fundamentales de la persona. El 08/06/2015, se resolvió la controversia mediante Sentencia de dictada en casación por la Sala de lo Contencioso del Tribunal Supremo (Recurso de Casación ***RECURSO.1, dictado por la Sección 7ª de la Sala de lo Contencioso .***PROCEDIMIENTO.1), desestimando el recurso contencioso-administrativo por B.B.B. F contra la resolución de 21/09/2011 de la Agencia Española de Protección de Datos por la que se le impuso una sanción de 600.000 € por considerarle autor de la infracción muy grave tipificada en el artículo 44.4
  2. d)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal . QUINTO: En el marco de las actuaciones previas de inspección E/03971/2013 se señalaba que de las manifestaciones realizadas por TRUMBIC se infería que el fichero accesible desde la página web de esta entidad era el mismo que fue inmovilizado por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/35 decisión del Director de la AEPD y, para verificar dicho extremo, se llevaron a cabo actuaciones de investigación en el marco del E/00728/2015. Con motivo de las actuaciones de verificación de la inmovilización del fichero ***FICHERO.1, se procedió a la apertura del procedimiento sancionador PS/00156/2016 por parte de esta Agencia a la entidad IIGC, B.B.B. , MEGAINFORMES ON-LINE S.L., MULTIGESTION IBERIA 2014, S.L.U., se declararon como probados los siguientes hechos: <<UNO.- Mediante resolución 23/02/2009 recaída en el Procedimiento PS/0629/2008, se declaró la inmovilización del fichero ***FICHERO.1 que se explotaba por las entidades SABERLOTODO INTERNET, S.L., TRUMBIC e INFORMACION PRIVILEGIADA, respecto de las que B.B.B. ha sido administrador, apoderado y representante en distintas actuaciones de esta Agencia. DOS.- MEGAINFORMES ONLINE, S.L. y IIGC son conocedoras de la resolución de inmovilización del fichero ***FICHERO.1, de acuerdo con la vinculación de B.B.B. con las citadas entidades (ex administrador, domicilios de contacto de los servicios de telecomunicaciones coincidente, líneas de teléfono y otros servicios contratados por las citadas empresas) TRES.- Resulta acreditado que a través de la página web ***WEB.3 se ofrece un servicio de consulta de datos personales. La estructura de la información, la página principal y los menús y submenús de la citada web, coinciden con el servicio ofrecido por TRUMBIC en la explotación del fichero ***FICHERO.1. CUATRO.- Resulta acreditado que hasta al menos el 8/08/2016 intentado el acceso a la web ***WEB.2 la navegación es redireccionada a ***WEB.3. CINCO.- En un acceso a la web ***WEB.3 se ha encontrado que aparece como responsable IIGC, con domicilio en ***DIRECCIÓN.1, dicha sociedad tiene CIF y domicilio fiscal en España. Aparece como teléfono de contacto ***TLF.1 y como dirección electrónica de contacto ***EMAIL.1. Según ha informado la operadora el número ***TLF.1 ha sido contratado por IIGC con domicilio de contacto en ***DIRECCIÓN.2 que coincide con el domicilio aportado por MEGAINFORMES ONLINE en la inscripción en el RGPD. SEIS.- ***WEB.3 informa que los servicios on-line que presta son, entre otros, Localización de viviendas y sus residentes, que coincide exactamente con los datos que recoge el fichero inmovilizado ***FICHERO.1. SIETE.- En la dirección IP ***IP.1 que aloja el servidor web ***WEB.3 estuvo alojado anteriormente ***WEB.2 y actualmente también está alojado el servidor web ***WEB.4. La citada dirección IP aloja un servicio de hosting dedicado que significa que la información que contiene es únicamente gestionada por el titular del servicio, en este caso MEGAINFORMES ON LINE S.L. OCHO.- En el Informe de Actuaciones Previas de Inspección consta que el sitio web ***WEB.4 aparecía redirigido a ***WEB.3. Una consulta al DNS arroja como resultado que el titular del dominio ***WEB.4 es MEGAINFORMES. Posteriormente esta redirección se ha quitado y aparece una web cuyo responsable declarado es MEGAINFORMES. NUEVE- MEGAINFORMES ONLINE S.L., tiene declarado en el RGPD el fichero GUIA ELECTRONICA TELEFONICA que coincide en cuanto a los datos que tiene y la finalidad, con el que fue inscrito por SABERLOTODO como “***FICHERO.1” y que fue objeto de inmovilización. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/35 DIEZ.- MULTIGESTION IBERIA SAU ha sido sancionada en la resolución R/00537/2014 de fecha 13/03/2014 en relación con el tratamiento de datos procedentes del fichero ***FICHERO.1 en ejecución se su contrato con TRUMBIC. ONCE.- Resulta acreditado que MULTIGESTION IBERIA SAU contrato el servicio de localización de personas con TRUMBIC, accediendo a dicha información a través de la página web de ésta – ***WEB.2, cuyas características constan en el folio 973 y coinciden con el servicio que presta IIGC a través de la página web de esta – a MULTIGESTION IBERIA 2014, SAU en cuanto a estructura de la información, interface, menús, y submenús. DOCE.- MULTIGESTION IBERIA 2014 S.A.U sucedió en derecho y obligaciones a MULTIGESTION IBERIA S.A.U., (con los mismos administradores, domicilio social y asesoría jurídica) resultando probado que tuvo acceso a la web ***WEB.3 como cliente. TRECE.- En ejecución del contrato de fecha 1/10/2014 entre MULTIGESTION IBERIA 2014, SAU e IIGC (folio 304 y siguientes), aquella accedió a 100 registros – nombre, apellidos y DNI – (folio 312)>> El 28/09/2016 fue dictada resolución R/02314/2016 en el ámbito del procedimiento sancionador PS/00156/2016, en el que se sanciono a MEGAINFORMES ON-LINE S.L. por vulneración del artículo 37.1.
  3. f)y a MULTIGESTION IBERIA 2014, S.L.U., por vulneración del artículo 6. Asimismo, se archivó por caducidad de actuaciones previas a IIGC y a B.B.B. y se ordenaba a la Subdirección de Inspección de Datos la apertura del expediente E/04954/2016 que trae causa el presente procedimiento. En el citado procedimiento se declararon como hechos probados que tanto MEGAINFORMES como IIGC eran conocedoras de la resolución de inmovilización del fichero ***FICHERO.1, de acuerdo con la vinculación de B.B.B. con las entidades señaladas anteriormente (ex administrador, domicilios de contacto de los servicios de telecomunicaciones coincidente, líneas de teléfono y otros servicios contratados por las citadas empresas. SEXTO: En fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevó a cabo la investigación más abajo detallada. De esta manera, en el informe de actuaciones de investigación E/04945/2016 se detalla lo siguiente: <<1. En fecha 6 de junio de 2012 se constituyó, según la Ley de Sociedades de las Islas Vírgenes Británicas, la sociedad IIGC, siendo A.A.A. [por D. A.A.A., en adelante indistintamente A.A.A. ] socio único y administrador único de dicha sociedad, según consta en la Apostilla notarial facilitada a esta Agencia por CAIXABANK. 2. Mediante escrito de fecha 5 de agosto de 2013 la Agencia Estatal de Administración Tributaria remitió comunicación a IIGC en la dirección de ***DIRECCIÓN.2, mediante el que comunicaba la asignación de NIF a dicha entidad. 3. Mediante diligencia de fecha 15/9/2015 se pudo comprobar que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/35  Realizado un intento de acceso a la web ***WEB.2 se comprueba que los accesos han sido redireccionados a la web ***WEB.3.  Se realizan consultas a los servicios de WHOIS respecto de los dominios ***WEB.2 e ***WEB.3, verificándose que ambos utilizan el mismo servicio de anonimización de datos.  Se verificó que ambos dominios están direccionados a la ***IP.1.  Se realizó impresión de diversas páginas obtenidas del sitio web ***WEB.3, en las que se observa que:  El acceso a los servicios de la web requiere el uso de un identificador de usuario y contraseña.  Informa que los servicios on-line que presta son:  Localización y contacto de impagados  Localización de viviendas y sus residentes.  Información telefónica  Validación de datos antifraude  Incidencias en boletines oficiales La descripción “Localización de viviendas y sus residentes” coincide con los datos que recoge el fichero ***FICHERO.1 sobre el que pesa la resolución de inmovilización dictada por la Dirección de esta Agencia. 4. Mediante escrito de fecha 04/11/2015 la entidad TELECOM BUSINESS SOLUTIONS S.L. (en adelante TBS) informa que los números de teléfono ***TLF.2 y ***TLF.1 (teléfono de contacto que aparecía en la web de IIGC) fueron contratados por IIGC y que como datos de contacto asociados a dicha empresa tiene a A.A.A. , ***DIRECCIÓN.2, e-mail ***EMAIL.2 y móvil ***TLF.3. Aporta además TBS copia del escrito de la Agencia Estatal de Administración Tributaria por el que se asignaba NIF a IIGC y certificado de registro de IIGC en el Registro de Sociedades (Registrar of Corporate Affairs) de las Islas Vírgenes Británicas. Solicitado a TBS ampliación de información, la entidad manifiesta: - Que la línea ***TLF.1 se redirecciona a la línea ***TLF.3. - Que la línea ***TLF.2 está contratada por A.A.A. , ***DIRECCIÓN.2, con email ***EMAIL.2 y móvil de contacto ***TLF.3. Esta última línea telefónica ha sido el número de contacto usado reiteradamente, tanto con SABERLOTODO como con TRUMBIC, con B.B.B. , con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/35 IICG y con MEGAINFORMES, según se desprende de la información facilitada por VODAFONE ONO S.L.U. 5. En fecha 9 de marzo de 2016 y durante la Inspección de referencia E/00728/2015/I-01 se recabó copia de una factura emitida en fecha 30 de marzo de 2015 por IIGC a Multigestión Iberia S.A. en que se señalaba como cuenta bancaria de pago una cuenta de la entidad CAIXABANK. Dicho banco informa que la cuenta es de titularidad de IIGC y la única persona con acceso a dicha cuenta es A.A.A. , con dirección en la calle ***DIRECCIÓN.2. Durante la inspección antes mencionada se pudo acceder al sitio web ***WEB.3. En la resolución R/02314/2016 se ha dado por acreditado que a través de dicha web se ofrece un servicio de consulta de datos personales. La estructura de la información, la página principal y los menús y submenús de la citada web, coinciden con el servicio ofrecido, en su momento, por TRUMBIC en la explotación del fichero ***FICHERO.1. 6. Mediante diligencia de fecha 11/3/2016 se comprueba que: Del resultado de realizar el comando PING a los servidores web ***WEB.3 y ***WEB.4, se comprueba que ambos sitios web están alojados en la misma dirección IP. Del resultado de una consulta Reverse IP sobre la ***IP.1, se obtiene que en dicha IP hay alojados dos dominios distintos, ***WEB.3 y ***WEB.4. 7. Mediante escrito de fecha 1/12/2016 se remitió a A.A.A. en su calidad de socio y administrador único de IIGC, requerimiento de información, en que se le informaba que, de acuerdo con lo establecido por el artículo 44.3.i de la Ley Orgánica 15/1999, puede ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. 8. Mediante escrito de fecha 13/2/2017 se remitió a B.B.B. requerimiento de información, en que se le informaba que, de acuerdo con lo establecido por el artículo 44.3.i de la Ley Orgánica 15/1999, puede ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. 9. Con fecha 5/1/2017 tiene entrada escrito remitido por A.A.A. en que niega mantener relación alguna con IIGC y desconoce la información que se le solicita. 10. Con fecha 13/1/2017 tiene entrada escrito remitido por B.B.B. en que se niega a aportar la información y documentación solicitada. 11. Mediante escrito de fecha 1/2/2017 se remitió a B.B.B. requerimiento de información, en que se le informaba que, de acuerdo con lo establecido por el artículo 44.3.i de la Ley Orgánica 15/1999, puede ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/35 ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. 12. Mediante escrito de fecha 1/2/2017 se remitió a A.A.A. en su calidad de socio y administrador único de IIGC, requerimiento de información, en que se le informaba que, de acuerdo con lo establecido por el artículo 44.3.i de la Ley Orgánica 15/1999, puede ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. 13. Con fecha 16/2/2017 tiene entrada escrito remitido por B.B.B. en que se niega nuevamente a aportar la información y documentación solicitada. 14. Con fecha 17/2/2017 tiene entrada escrito remitido por A.A.A. en que niega mantener relación alguna con IIGC y desconoce la información que se le solicita. 15. Mediante consulta al Registro Mercantil Central, de fecha 12 de junio de 2017 se ha podido comprobar que:  En SABERLOTODO INTERNET SL figura como administrador B.B.B. como apoderada Dª D.D.D.(en lo sucesivo D.D.D.). y  En MEGAINFORMES ON-LINE S.L. como administrador único de la mercantil a B.B.B. le sucedió A.A.A. y a este le sucedió D.D.D., a la que sucedió nuevamente A.A.A. y, posteriormente, volvió B.B.B. , esta vez como apoderado. 16. Mediante diligencia de fecha 16 de junio de 2017 se ha podido comprobar que las webs ***WEB.3 y ***WEB.4 continúan operativas>>. SEPTIMO: Con fecha 12/09/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a IIGC y a B.B.B. por presunta infracción del artículo 37.1.
  4. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como muy grave en el artículo 44.4.
  5. c)de la LOPD de dicha norma, pudiendo ser sancionado cada uno de ellos con multa de 300.001 € a 60.000 € de acuerdo con el artículo 45.3 de dicha Ley Orgánica; y a B.B.B. y a A.A.A. por presunta infracción del artículo 40 de la LOPD, tipificada como grave en el artículo 44.3.
  6. j)de dicha norma, pudiendo ser sancionada cada uno de ellos con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. OCTAVO: Con fecha 05/10/2017 la Directora de la Agencia Española de Protección de Datos dictó resolución en la que se acordaba el cambio de instructor del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/35 NOVENO: Notificado el acuerdo de inicio, ninguno de los presuntos responsables de las infracciones cometidas formularon alegaciones al acuerdo de inicio, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
  7. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. HECHOS PROBADOS PRIMERO: El 23/02/2009 fue dictada resolución R/01398/2009 en el ámbito del procedimiento sancionador PS/0629/2008, en el que se declaró la inmovilización del fichero ***FICHERO.1 que se explotaba por las entidades SABERLOTODO INTERNET, S.L., TRUMBIC e INFORMACION PRIVILEGIADA y respecto de las que B.B.B. ha sido administrador, apoderado y representante en distintas actuaciones de esta Agencia. SEGUNDO: El 28/09/2016 fue dictada resolución R/02314/2016 en el ámbito del procedimiento sancionador PS/00156/2016, en el que se sanciono a MEGAINFORMES ON-LINE S.L. por vulneración del artículo 37.1.
  8. f)y a MULTIGESTION IBERIA 2014, S.L.U., por vulneración del artículo 6. Asimismo, se archivó por caducidad de actuaciones previas a IIGC y a B.B.B. y se ordenaba a la Subdirección de Inspección de Datos la apertura del expediente E/04954/2016 que trae causa el presente procedimiento. En el citado procedimiento se declararon como hechos probados que tanto MEGAINFORMES como IIGC eran conocedoras de la resolución de inmovilización del fichero ***FICHERO.1, de acuerdo con la vinculación de B.B.B. con las entidades señaladas anteriormente (ex administrador, domicilios de contacto de los servicios de telecomunicaciones coincidente, líneas de teléfono y otros servicios contratados por las citadas empresas). TERCERO: El Registro Mercantil de ***LOCALIDAD.1 en escrito de 19/12/2017 ha informado que “…en la hoja…abierta en este Registro a MEGAINFORMES, figura practicada inscripción 7ª, al folio… del tomo…general, por la que se inscribe un determinado poder otorgado a favor de B.B.B. , en virtud de otorgada en ***LOCALIDAD.1, el 18 de marzo de 23016, ante su Notario …”. CUARTO: Consta acreditado que a través de la página web ***WEB.3 se ofrece un servicio de consulta de datos personales. La estructura de la información, la página principal y los menús y submenús de la citada web, coinciden con el servicio ofrecido por TRUMBIC en la explotación del fichero ***FICHERO.1. QUINTO: Resulta acreditado que al menos hasta el 08/08/2016, intentado el acceso a la dirección web ***WEB.2 la navegación es redireccionada a la dirección web ***WEB.3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/35 SEXTO: En acceso a la web ***WEB.3 figura como responsable la entidad IIGC, con domicilio en ***DIRECCIÓN.1; dicha sociedad tiene CIF y domicilio fiscal en España. Aparece como teléfono de contacto ***TLF.1 y como dirección electrónica de contacto la dirección web ***EMAIL.1. Según ha informado la operadora el número ***TLF.1 ha sido contratado por IIGC, con domicilio de contacto en ***DIRECCIÓN.2, coincidente con el domicilio aportado por MEGAINFORMES en la inscripción en el RGPD. SEPTIMO: La dirección web ***WEB.3 informa que los servicios on-line que presta son, entre otros, Localización de viviendas y sus residentes, que coincide exactamente con los datos que recoge el fichero inmovilizado DOMICILIOS, mediante Resolución de 23/02/2009, dictada en el procedimiento sancionador PS/0629/2008. OCTAVO: En la dirección IP ***IP.1 que aloja el servidor web ***WEB.3, estuvo alojado anteriormente ***WEB.2 y actualmente también está alojado el servidor web ***WEB.4; la citada dirección IP aloja un servicio de hosting dedicado que significa que la información que contiene es únicamente gestionada por el titular del servicio, en este caso MEGAINFORMES. NOVENO: En el Informe de Actuaciones Previas de Inspección consta que el sitio web ***WEB.4 aparecía redirigido a ***WEB.3. Una consulta al DNS arroja como resultado que el titular del dominio ***WEB.4 es MEGAINFORMES. Posteriormente esta redirección se ha quitado y aparece una web cuyo responsable declarado es MEGAINFORMES. DECIMO: MEGAINFORMES tiene declarado en el RGPD el fichero GUIA ELECTRONICA TELEFONICA que coincide en cuanto a los datos que tiene y la finalidad, con el que fue inscrito por SABERLOTODO como ***FICHERO.1 y que fue objeto de inmovilización. UNDECIMO: La entidad MULTIGESTION ha sido sancionada en la resolución R/00537/2014 de fecha 13/03/2014 en relación con el tratamiento de datos procedentes del fichero ***FICHERO.1 en ejecución se su contrato con TRUMBIC. DUODECIMO: Resulta acreditado que MULTIGESTION contrato el servicio de localización de personas con TRUMBIC, accediendo a dicha información a través de la página web de ésta – ***WEB.2, cuyas características coinciden con el servicio que presta IIGC a través de la página web de esta– ***WEB.3- a MULTIGESTION IBERIA 2014, S.A.U. en cuanto a estructura de la información, interface, menús, y submenús. DECIMOTERCERO: MULTIGESTION IBERIA 2014, S.A.U sucedió en derecho y obligaciones a MULTIGESTION IBERIA S.A.U., (con los mismos administradores, domicilio social y asesoría jurídica) resultando probado que tuvo acceso a la web ***WEB.3 como cliente. DECIMOCUARTO: En ejecución del contrato de fecha 01/10/2014 entre MULTIGESTION IBERIA 2014, SAU e IIGC (folio 304 y siguientes), aquella accedió a 100 registros –nombre, apellidos y DNI – (folio 312). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/35 DECIMOQUINTO: Consta que el 01/12/2016 y el 01/02/2017 se remitió a A.A.A. , en su condición de socio y administrador único de IIGC, requerimientos de información, e informándoles que de acuerdo con lo establecido por el artículo 44.3.
  9. i)de la LOPD, puede ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar cuantos documentos o informaciones les sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. DECIMOSEXTO: Consta que el 01/12/2016 y el 01/02/2017 se remitió a B.B.B. , en su condición de socio y administrador único de IIGC, requerimientos de información, e informándoles que de acuerdo con lo establecido por el artículo 44.3.
  10. i)de la LOPD, puede ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar cuantos documentos o informaciones les sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. DECIMOSEPTIMO: Con fechas 05/01/2017 y 17/2/2017 tienen entrada escritos remitidos por A.A.A. en que niega mantener relación alguna con IIGC y desconoce la información que se le solicita. DECIMOCTAVO: Con fecha 13/1/2017 y 16/2/2017 tienen entrada escritos remitidos por B.B.B. en los que se niega a aportar la información y documentación solicitada. DECIMONOVENO: CAIXABANK ha aportado Apostilla notarial en la que se señala que En fecha 6 de junio de 2012 se constituyó, según la Ley de Sociedades de las Islas Vírgenes Británicas, la sociedad IIGC, siendo A.A.A. socio único y administrador único de dicha sociedad. VIGESIMO: TBS en escrito de 21/09/2015 ha aportado Comunicación de Tarjeta Acreditativa del Número de Identificación Fiscal (NIF) de la AEAT de fecha 05/08/2013, dando traslado a la entidad IIGC de la Tarjeta de Identificación Fiscal (NIF) a la dirección en ***DIRECCIÓN.2 (folio 72). VIGESIMOPRIMERO: El 04/11/2015 la TBS ha informado que los números asociados a las líneas de teléfono ***TLF.2 y ***TLF.1 (teléfono de contacto que aparecía en la web de IIGC) fueron contratados por IIGC y que como datos de contacto, contratación y pago asociados a dicha empresa figura A.A.A. , ***DIRECCIÓN.2 , e-mail ***EMAIL.2 y móvil de contacto ***TLF.3. Aporta también TBS copia del escrito de la AEAT anterior por el que se asignaba NIF a IIGC y certificado de registro de IIGC en el Registro de Sociedades (Registrar of Corporate Affairs) de las Islas Vírgenes Británicas (folios 127 y ss.). Asimismo, la entidad manifiesta: - Que las líneas ***TLF.1 y ***TLF.2 se redireccionan a la línea ***TLF.3. Y en relación con el nº ***TLF.2 - Que la línea ***TLF.2 está contratada por A.A.A. , con dirección en ***DIRECCIÓN.2 , e-mail ***EMAIL.2 y móvil ***TLF.3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/35 VIGESIMOSEGUNDO: Consta factura emitida el 30/03/2015 por IIGC a Multigestión Iberia S.A.; como cuenta bancaria de pago figura cuenta de la entidad CAIXABANK, quien informa que es de titularidad de IIGC y que la única persona con acceso a la misma es A.A.A. , con dirección en la ***DIRECCIÓN.2 . FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36 de la LOPD. II La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su artículo 64 “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora”, dispone: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
  12. a)Identificación de la persona o personas presuntamente responsables.
  13. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
  14. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
  15. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
  16. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
  17. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/35 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados”. En aplicación del anterior precepto y teniendo en cuenta que no se han formulado alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado. III En primer lugar, antes de entrar en las cuestiones de fondo o materiales de la cuestión sometida a conocimiento, procede analizar el ámbito de aplicación de la LOPD respecto de los hechos a imputar a IIGC; cuestión de la que se derivan tres aspectos básicos como son la aplicación o no de la LOPD, la propia competencia de la Agencia Española de Protección de Datos y la imputabilidad de IIGC. El examen de estas cuestiones exige considerar si las conductas analizadas han sido llevadas a cabo por esta entidad en el marco de las actividades de un establecimiento del responsable del tratamiento en territorio español o se han empleado medios situados en España. Si nos encontrásemos en uno de estos casos serían aplicables los principios, derechos y garantías previstos en la legislación española de protección de datos. La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
  18. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
  19. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  20. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. Y el último párrafo del artículo 5.1 de la misma norma establece lo siguiente: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Por otra parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008 (RLOPD), señala su ámbito territorial de aplicación en los siguientes términos: “1. Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/35
  21. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
  22. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
  23. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” En este mismo sentido se pronuncia el artículo 4 “Derecho nacional aplicable” de la Directiva 95/46/CE (aplicable hasta el 25 de mayo de 2018, de acuerdo con lo establecido en el artículo 99 del Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la citada Directiva 94/46/CE); artículo 4 que establece lo siguiente: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  24. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
  25. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
  26. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
  27. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/35 Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma Directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “

(18)Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;
(19)Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;
(20)Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adaptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;” Conforme a lo dispuesto en el artículo 4.1.
  1. a)de la Directiva, la aplicación de las disposiciones nacionales de un Estado miembro viene determinada por la existencia de un establecimiento del responsable del tratamiento en el territorio del Estado miembro de que se trate. Aunque esta Directiva no define el concepto de “establecimiento”, en su preámbulo (Considerando 19) señala como elemento determinante el ejercicio efectivo y real de actividades a través de una instalación estable, no siendo preciso que dicho establecimiento tenga personalidad jurídica. Además, el tratamiento de datos personales deberá llevarse a cabo en el marco de tales actividades. En relación con esta cuestión, el Grupo de Trabajo del artículo 29, en su Dictamen 8/2010, sobre Derecho aplicable, emitido el 16 de diciembre de 2010, señala que “la referencia a «un» establecimiento significa que la aplicabilidad del Derecho de un Estado miembro se desencadenará por la ubicación de un establecimiento del responsable del tratamiento en ese Estado miembro y los Derechos de otros Estados miembros podrían desencadenarse por la ubicación de otros establecimientos de ese responsable del tratamiento en esos Estados miembros”. Y añade que “Aun cuando el responsable del tratamiento tenga su establecimiento principal en un tercer país, el mero hecho de tener uno de sus establecimientos en un Estado miembro podría desencadenar la aplicabilidad del Derecho de dicho país, siempre que se reúnan las otras condiciones del artículo 4, apartado1, letra a)…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/35 El mismo Dictamen citado señala que “la noción de “marco de actividades” no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos”, y que deberá tenerse en cuenta al respecto el grado de implicación del establecimiento en las actividades de tratamiento de datos personales. En el presente caso concreto, hay que indicar que la actividad de IIGC se configura en torno a la gestión del fichero “***FICHERO.1”. Recordar que IIGC es conocedora de la resolución de inmovilización de este fichero ***FICHERO.1 , de acuerdo con la vinculación de B.B.B. con las diversas entidades investigadas en las distintas actuaciones llevadas a cabo por la Inspección de Datos (ex administrador, domicilios de contacto de los servicios de telecomunicaciones coincidente, líneas de teléfono y otros servicios contratados por las citadas empresas). Y se ha acreditado que, a través de la página web ***WEB.3 se ofrece un servicio de consulta de datos personales. La estructura de la información, la página principal y los menús y submenús de la citada web, coinciden con el servicio ofrecido por TRUMBIC en la explotación del fichero ***FICHERO.1 e, igualmente coincidente con el fichero que MEGAINFORMES tiene declarado en el RGPD. Añadir que en el acceso realizado a la web ***WEB.3 aparece como responsable IIGC, con CIF y domicilio fiscal en España, apareciendo como teléfono de contacto el ***TLF.1 y como dirección electrónica de contacto ***EMAIL.1. Además, según ha informado la operadora de telecomunicaciones el número ***TLF.1 fue contratado por IIGC con domicilio de contacto en ***DIRECCIÓN.2 , que coincide con el domicilio aportado por MEGAINFORMES en la inscripción en el RGPD de esta Agencia. Por lo tanto, en este caso, al margen de la forma jurídica de la entidad y su nacionalidad, existe un establecimiento implicado en actividades que entrañan el tratamiento de datos personales relativos a personas identificadas o identificables, que se recaban y se tratan en territorio español. IIGC desarrolla una actividad de carácter económico que tiene por objeto la obtención de ingresos a cambio de la gestión de los datos contenidos en dicho fichero “***FICHERO.1”. La actividad de IIGC no sería viable sin esa finalidad. Por lo tanto, cabe concluir que la protección conferida por la LOPD es aplicable al presente supuesto y, por ende, la Agencia Española de Protección de Datos es competente para la tramitación del presente procedimiento, de conformidad con lo establecido en el artículo 2.1.
  2. a)de la citada Ley Orgánica. En todo caso, la entidad IIGC recurre a medios situados en el territorio español, a través de los que recopila datos personales de ciudadanos españoles o que se encuentran en territorio español, sin que la utilización de tales medios para la recogida de datos se realice exclusivamente con fines de tránsito por el territorio de la Unión Europea, es decir, no se trata de equipos de transmisión, sino que dichos equipos se emplean para la recogida y tratamiento de los datos. Además, hay que tener en cuenta que el fichero ***FICHERO.1 se encuentra sometido a la legislación española. La Agencia Española de Protección de Datos también es competente para decidir sobre el tratamiento llevado a cabo por un responsable no establecido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/35 territorio del Espacio Económico Europeo que ha utilizado en el tratamiento de datos medios situados en territorio español, por lo que debe concluirse, igualmente, que la LOPD es aplicable al presente supuesto y procedente la intervención de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 2.1.
  3. c)de la LOPD, ya citado. IV Se imputa en el presente procedimiento sancionador tanto a IIGC como a B.B.B. sendas infracciones del artículo 37.1
  4. f)de la LOPD que establece, en relación con las funciones de la AEPD, lo siguiente: Artículo 37 Funciones 1. Son funciones de la Agencia de Protección de Datos: (…)
  5. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones. (…) Y el artículo 49 Potestad de inmovilización de ficheros, establece lo siguiente: “En los supuestos constitutivos de infracción grave o muy grave en que la persistencia en el tratamiento de los datos de carácter personal o su comunicación o transferencia internacional posterior pudiera suponer un grave menoscabo de los derechos fundamentales de los afectados y en particular de su derecho a la protección de datos de carácter personal, el órgano sancionador podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, el órgano sancionador podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas”. Por otra parte, en el artículo 44.4.
  6. c)de la LOPD se señala como infracción muy grave: (…)
  7. c)No cesar en el tratamiento ilícito de datos de carácter personal cuando existiese un previo requerimiento del Director de la Agencia Española de Protección de Datos para ello. En el presente caso ha de tenerse en cuenta mediante resolución del Director de la Agencia Española de Protección de Datos de fecha 23/02/2009, dictada en el procedimiento sancionador PS/00629/2008, se acordó (…) Acordar la inmovilización del fichero “***FICHERO.1”, del que es responsable la entidad SABERLOTODO INTERNET, S.L., que queda obligada a cesar en la utilización y cesión de los datos de carácter personal registrados en el mismo, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilitado. Esta inmovilización del fichero deberá mantenerse hasta que por parte de dicha entidad se acredite debidamente ante esta Agencia Española de Protección de Datos la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/35 cancelación de todos aquellos datos personales que no hubiesen sido recabados de los propios afectados, y con su consentimiento, o que no procedan de fuentes accesibles al público y, especialmente, los datos personales obtenidos del censo de población y de padrones municipales de habitantes, o bien facilitados por la entidad Detectives Lucentum, S.L., o recabados por el propio representante de la entidad imputada en el ejercicio de una actividad privada. (…). Dicha resolución consta que fue notificada a SABERLOTODO INTERNET, S.L., cuyo administrador es B.B.B. . Con posterioridad a la citada Resolución fue acreditada la utilización de dicho fichero por parte de la entidad y de su administrador a través de otras sociedades, por lo que, tal como se advertía en la resolución parcialmente transcrita, se sancionó a SABERLOTODO INTERNET, S.L., y a B.B.B. tras la tramitación del oportuno procedimiento sancionador, PS/00146/2011. En concreto respecto de B.B.B. resulta probado que intencionadamente y con el claro propósito de eludir la medida decretada, llevo a cabo diversas actuaciones con la finalidad de que se mantuviera la prestación del servicio de acceso a la base de datos ***FICHERO.1 por parte de terceros, clientes de SABERLOTODO, que supone la cesión de los mismos a tales clientes, prohibida en la Resolución que acordó la inmovilización del fichero. Entre otras acciones que se detallan en los hechos probados, el imputado realizó cambios societarios, formalizó contratos e, incluso, pretendió la modificación del titular del fichero ***FICHERO.1 que consta en la inscripción del mismo en el Registro General de Protección de Datos. Frente a la resolución que resolvía el procedimiento anterior, PS/00146/2011, por B.B.B. se interpuso Recurso Contencioso-Administrativo (Rec. Núm. 002/2011) por entender que no fue parte en el procedimiento donde se resolvió la inmovilización y por tanto la imposición de la sanción por desatender la inmovilización, según alega, le causo indefensión. Posteriormente se interpuso Recurso de Casación ante el Tribunal Supremo que resolvió la controversia por Sentencia de 08/06/2015 (Recurso de Casación ***RECURSO.1, dictado por la Sección 7ª de la Sala de lo Contencioso .***PROCEDIMIENTO.1), donde en síntesis, vino a determinar que aunque en el procedimiento donde se requirió la inmovilización del fichero no fue parte B.B.B. , no podía obviarse que era pleno conocedor de dicha medida y, que a pesar de ello continuo explotando dicho fichero. Es conveniente traer a colación, por su claridad y aplicación al caso concreto, determinados párrafos de la citada Sentencia: En el Fundamento de Derecho 5º “…En tercer lugar, no se discute que el requerimiento para que cesasen los tratamientos de ese fichero se hizo a SABERLOTODO y no a don B.B.B. personalmente. No obstante, tampoco está en discusión que él es el Administrador Único de dicha sociedad, se presenta como propietario del fichero ***FICHERO.1 , consta como encargado de los tratamientos de los datos que en él obran y ha reconocido (folio 85) que conocía la orden de inmovilización del fichero. La propia sentencia de la Audiencia Nacional viene a admitir ese conocimiento”. En el Fundamento de Derecho 6º “…Pues bien, aquí sucede que don B.B.B. admitió haber tenido conocimiento de la inmovilización de su fichero ***FICHERO.1 , del cual, además, es el encargado de los tratamientos según consta en el Registro General de Protección de Datos, y no ha desvirtuado las imputaciones de la Agencia Española de Protección de Datos que señalan la continuidad en la actividad de ese fichero pese a la existente orden de inmovilización y su concreta responsabilidad al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/35 respecto. Por otro lado, es cierto que, como apunta el Abogado del Estado, esa inmovilización tiene una naturaleza objetiva pues sirve para evitar la vulneración del derecho a la protección de datos constitutiva de infracción grave o muy grave originada por tratamientos contrarios a la Ley Orgánica. Su razón de ser no descansa, pues, en la cualidad de un determinado sujeto, no responde a criterios sentados intuitu personae sino a la continuidad de tratamientos ilícitos y a su carácter lesivo del derecho fundamental. De ahí que consista en la prohibición de que se use el fichero inmovilizado. Estas características de la inmovilización se perciben con absoluta claridad en este caso porque la orden de cese de los tratamientos del fichero ***FICHERO.1 obedece a que los datos personales obrantes en él se obtuvieron de manera ilegítima. Establecidas estas premisas, vemos que se ha dado el presupuesto de hecho contemplado por el artículo 44.4
  8. d)de la Ley Orgánica 15/1999 (RCL 1999, 3058): existía un previo requerimiento de la Agencia Española de Protección de Datos y, sin embargo, no se cesó en el tratamiento de los datos del fichero ***FICHERO.1 . Y ese requerimiento, aunque no se le hizo personalmente a don B.B.B. , ni podía ser desconocido por éste --en cuanto Administrador Único de SABERLOTODO, encargado de los tratamientos del fichero y, según destacó en el expediente, propietario del mismo-- ni, de hecho, lo desconoció. Al contrario, era plenamente consciente de él tal como ha admitido. (…). (El subrayado es de la AEPD). De lo expuesto se deduce con claridad que la orden de inmovilización del fichero se vulnera cuando se ha tenido conocimiento de la misma y, a pesar de ello, se utiliza dicho fichero. Procede, por tanto el análisis de si los imputados en el presente procedimiento eran conocedores de tal circunstancia y determinar su grado de responsabilidad. En primer lugar, en relación con B.B.B. no sería necesario dicho análisis puesto que es la misma persona que interpuso recurso de casación el cual fue desestimado y en cuya sentencia también se señalaba: “En estas particulares circunstancias, debemos decir que la resolución recurrida en la instancia no puede considerarse lesiva del derecho de defensa en el procedimiento dirigido a sancionar el incumplimiento de la orden de inmovilización. Don B.B.B. ha conocido todas las actuaciones de la Agencia Española de Protección de Datos, sabía que el fichero ***FICHERO.1 estaba inmovilizado, no respetó la prohibición de utilizarlo e, incoado ese procedimiento, se le notificó tal hecho, participó activamente en el expediente, impugnó en él cuanto consideró conveniente a su derecho, se le notificó la propuesta de resolución, alegó contra ella y recurrió en reposición la resolución sancionadora. No se advierte en esta secuencia ningún rasgo de indefensión. Y el único en que se fija la Audiencia Nacional, no habérsele hecho personalmente el requerimiento de cesar en los tratamientos, materialmente no produce el efecto lesivo del artículo 24 de la Constitución que apreció la sentencia recurrida, pues, al margen de que esa inmovilización, fue confirmada judicialmente, don H.H.H. la conocía y no pudo no conocer tampoco el proceso judicial en que esa confirmación se produjo. En efecto, además de lo que consta en el expediente, en la sentencia de la Sección Sexta de esta Sala de 26 de diciembre de 2012 (casación ***PROCEDIMIENTO.2) se recoge como "en fechas 30 de julio de 2008 y 21 de octubre de 2008, los inspectores de la AEPD acudieron a la sede de Saberlotodo Internet, S.L. debidamente autorizados y en presencia del Administrador de la empresa Saberlotodo Internet, S.L., D. B.B.B. , y con su colaboración, accedieron a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/35 través de la web de Saberlotodo al fichero ***FICHERO.1 , para verificar su contenido y efectuar las comprobaciones oportunas. El resultado de dichas inspecciones, efectuadas en el domicilio de la empresa recurrente, obtenido con observancia de las garantías exigibles, constituye la prueba en que se basa la decisión de la AEPD de inmovilización del fichero que ahora se enjuicia. Insistimos, pues, en que el sancionado ni desconoció que el fichero estaba inmovilizado ni que su empresa estaba cuestionando la legalidad de tal medida cautelar, ni, en fin, se vio impedido de recurrir contra una decisión que le impedía usar su fichero. De ahí que proceda acoger los motivos de casación y anular la sentencia y, conforme al artículo 95.2
  9. d)de la Ley de la Jurisdicción, desestimar el recurso contencioso-administrativo interpuesto por don B.B.B. ”. Por otra parte, hay señalar que en el PS/00156/2016 (cuyas actuaciones previas fueron archivadas en relación con B.B.B. e IIGC por caducidad), se sancionó a la entidad MEGAINFORME por la misma infracción que se les imputa a los anteriores; en su FºDº tercero se indicaba que “De la información que consta en el RMC, respecto de MEGA INFORMES ON LINE, S.L. figura con constitución y primera inscripción datada en 2007, en que se inscribe a B.B.B. como administrador de la misma, estableciéndose como primer domicilio social la calle ***DIRECCIÓN.2 ), hasta que en fecha de 03/11/2009 le sucede en el cargo A.A.A., y en el año 2013 le sucede D.D.D., para finalmente en el año 2014 volver a ostentar el cargo a A.A.A. . Es decir, B.B.B. deja de ser administrador en fecha de 03/11/2009, con posterioridad y por tanto, con conocimiento de que se ha resuelto la inmovilización del fichero y se ha interpuesto dos sanciones a la entidad de la que es administrador (SABERLOTODO INTERNET, S.L.). En conclusión el administrador de MEGAINFORMES ONLINE, S.L., era conocedor de la inmovilización del fichero por lo que las actuaciones de MEGAINFORMES en relación con el mismo no pueden dejar de observar tal circunstancia”. Sin embargo, como consta en el hecho probado tercero, el R.M. de ***LOCALIDAD.1 ha informado en escrito de 19/12/2016 que en la hoja abierta a la mercantil MEGAINFORMES figura practicada inscripción de poder otorgado a favor de B.B.B. . Además, tanto en los hechos probados del PS/00156/2016 como en el informe de Actuaciones Previas de Inspección E/00728/2015 se determina que el fichero que MEGAINFORMES tiene declarado en el RGPD GUIA ELECTRONICA TELEFONICA coincide en cuanto a los datos y finalidad, con el que fue inscrito por SABERLOTODO y que fue objeto de inmovilización, fichero ***FICHERO.1. En el informe anterior el inspector actuante señala que: “MEGAINFORMES tiene declarado el fichero GUIA ELECTRONICA TELEFONICA, cuya finalidad declarada es: <<DATOS OBTENIDOS DE FUENTES ACCESIBLES AL PUBLICO QUE SOLO PODRAN SER CONSULTADOS POR EMPRESARIOS ACREDITADOS CON USUARIO Y CONTRASEÑA FACILITADOS POR LA EMPRESA PREVIO PAGO DE LA CUOTA.>> Habiendo manifestando disponer de los datos: NIF/DNI, nombre y apellidos, dirección y teléfono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/35 El anterior fichero coincide con el que fue inscrito por SABERLOTODO como fichero ***FICHERO.1, cuya finalidad declarada fue: <<DATOS OBTENIDOS DE FUENTES ACCESIBLES AL PUBLICO, QUE SOLO PODRAN SER CONSULTADOS POR EMPRESARIOS ACREDITADOS CON USUARIO Y CONTRASEÑA FACILITADOS POR LA EMPRESA, PREVIO PAGO DE LA CUENTA.>> Habiendo manifestando disponer de los datos: NIF/DNI, nombre y apellidos, dirección y teléfono. Como se ve, tanto la finalidad como los datos son idénticos”. Se desprende de esto que el fichero inscrito por MEGAINFORMES coincide plenamente con el que fue inscrito por SABERLOTODO, es decir, el fichero inmovilizado ***FICHERO.1 , a pesar de la respuesta ofrecida por el abogado de la empresa el 19/02/2016 señalando que “…mi cliente sí que tiene ficheros inscritos en la AEPD, los cuales son los típicos de uso cotidiano en todas las empresas. Los de autónomos, clientes y proveedores, etc. A los que me refería anteriormente en mi anterior contestación son los ficheros que contienen datos personales a efectos de lo dispuesto en la LOPD, que no existen en la empresa de mi cliente, ya que no utilizan ni tratan datos personales de personas físicas en su actividad…”. En definitiva, B.B.B. que, de conformidad con la Sentencia de 08/06/2015, se presenta como propietario del fichero ***FICHERO.1 , consta como encargado de los tratamientos y que ha reconocido que conocía la orden de inmovilización del fichero, ha contribuido con sus actos al mantenimiento de la prestación de servicios que tiene por objeto el acceso al citado fichero por parte de terceros. Fichero sobre el que existía una orden de inmovilización y cuyos datos han seguido siendo utilizados con posterioridad a la inmovilización ordenada por el Director de la AEPD, medida que no ha sido levantada. Por tanto, los hechos expuestos suponen el incumplimiento por parte de B.B.B. de la obligación de inmovilización del fichero ***FICHERO.1 que había sido acordada por el Director de la Agencia Española de Protección de Datos conforme a lo dispuesto en el artículo 37.1.
  10. f)de la LOPD. En segundo lugar, en relación con la entidad IIGC y su conexión con B.B.B. y el entramado de empresas que ha sido utilizado para explotar comercialmente el fichero ***FICHERO.1 , de lo señalado en el Informe de Actuaciones Previas de Inspección E/00728/2015 y de la documentación que consta en el expediente, se desprende que la entidad IIGC era conocedora de la prohibición de uso del fichero ***FICHERO.1. A este respecto cabe destacar que: La entidad IIGC tiene su domicilio en ***DIRECCIÓN.1; dicha sociedad tiene CIF y domicilio fiscal en España. CAIXABANK ha aportado documento notarial apostillado según Convenio de La Haya en la que se indica que el 06/06/2012 se constituyó según la Ley de Sociedades de las Islas Vírgenes Británicas la sociedad IIGC, siendo A.A.A. socio y administrador único de dicha sociedad. La operadora TBS también ha informado que los números asociados a las líneas de teléfono ***TLF.2 y ***TLF.1 fueron contratados por IIGC y que como datos de contacto, contratación y pago asociados a dicha empresa figura A.A.A. , ***DIRECCIÓN.2 , e-mail ***EMAIL.2 y móvil de contacto ***TLF.3. En acceso a la web ***WEB.3 figura como responsable de la misma IIGC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/35 La línea telefónica de contacto asociada al número ***TLF.1 según TBS, operadora que presta el servicio señala que el domicilio de la empresa titular, IIGC, es ***DIRECCIÓN.2, es decir, el mismo domicilio que tiene MEGAINFORMES en su constitución y donde igualmente esta domiciliada la cuenta de TRUMBIC. El operador de telecomunicaciones ha informado que la línea asociada al número ***TLF.1 se redirecciona a la línea ***TLF.3 y que resulta ser la utilizada como número de contacto con SABERLOTODO, TRUMBIC, B.B.B. , MEGAINFORMES e IICG. En las actuaciones de inspección de referencia E/05876/2012 la empresa AGESCO aportó contrato suscrito con TRUMBIC por el que se le daba acceso a los ficheros cuyo responsable es SABERLOTODO. También aportó escrito remitido por TRUMBIC en el que le informaba que había sido adquirida por un grupo empresarial extranjero, IIGC, por lo que los contratos en vigor “habrán de ser extinguidos con fecha de 31 de diciembre del año en curso”
(2012). Sin embargo, también aducía que los servicios se seguirían prestando desde la web de la entidad hasta que los mismos fueran accesibles a través de la web de la entidad adquirente, IIGC, es decir, a través de ***WEB.3 de la que figura como responsable de la misma IIGC y que ésta le remitiría el nuevo contrato de prestación de servicios. El inspector actuante señala que se había podido acreditar: - Que los intentos de acceso a la web ***WEB.2 eran redireccionados a ***WEB.3 (cuyo responsable es IIGC). - Que el sitio web ***WEB.6 (cuyo responsable es MEGAINFORMES) era redireccionado ***WEB.3. - Que el sitio web ***WEB.4 (cuyo responsable es MEGAINFORMES) era redireccionado a ***WEB.3 Además, el servidor web ***WEB.3 está alojado en la IP ***IP.1 que está asignada a ONO. En esta dirección IP estuvo alojado anteriormente el servidor web ***WEB.2 y actualmente está alojado el servidor web ***WEB.4 ONO ha informado que la dirección IP ***IP.1 se trata de una IP estática asignada a MEGAINFORMES, con domicilio en ***DIRECCIÓN.2 y que se trata de un hosting dedicado, es decir, tiene asignada dicha IP de manera exclusiva. En la web ***WEB.3 (cuyo responsable es IIGC) se informa de los servicios online que presta, entre otros se encuentra la Localización de viviendas y sus residentes, que coincide exactamente con los datos que recoge el fichero inmovilizado ***FICHERO.1 . Las evidencias permiten afirmar que el fichero explotado a través de ***WEB.3 es el fichero inmovilizado y que se explotaba a través de los sitios web ***WEB.1 y ***WEB.2, además de las coincidencias de las personas responsables, domicilios, líneas de teléfono, etc., Por tanto, resulta acreditado que la entidad imputada utilizo el fichero inmovilizado era conocedora de tal prohibición: - El fichero ***FICHERO.1 que anteriormente estaba accesible a través de ***WEB.1 y ***WEB.2, se encuentra ahora accesible a través de ***WEB.3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/35 - En el sitio web ***WEB.3 figura como responsable de la misma IIGC. - Al acceder a la web ***WEB.2 se redirecciona la navegación a ***WEB.3, asimismo ambas páginas web utilizan el mismo servicio de anonimizarían de datos y ambos dominios esta direccionados a la dirección IP ***IP.1 y que es la dirección donde está actualmente alojado el servidor web de ***WEB.4. - Entre los servicios que presta ***WEB.3 consta entre otros la localización de viviendas y sus residentes que coincide exactamente con los datos que recoge el fichero inmovilizado ***FICHERO.1. - La similitud de los servicios de consultas web proporcionados a través de la webs ***WEB.1, ***WEB.2 e ***WEB.3 son suficientes para determinar que se trata del mismo servicio y se tiene acceso a los datos con idéntica estructura. - Asimismo el operador ONO ha informado que la dirección IP ***IP.1 es estática y aloja un hosting dedicado, lo que implica que las tres páginas web ***WEB.2, ***WEB.4 y ***WEB.3 a través del servidor que se aloja en la dirección IP citada, tienen acceso al fichero ***FICHERO.1, es decir, se alberga físicamente el fichero ***FICHERO.1. El servicio de hosting dedicado contratado por MEGAINFORMES significa que el cliente administra directamente el servidor. Llegados a este punto, respecto del uso del fichero ***FICHERO.1 por parte de IIGC, hay que referirse a la virtualidad de la prueba indiciaria cuya admisión en el procedimiento administrativo sancionador se admite en la Sentencia del Tribunal Constitucional núm. 45/1997 (Sala Primera), de 11 de marzo (RTC 1997,45). Así los requisitos necesarios para su admisión vienen desarrollados, con cita de la doctrina del Tribunal Supremo, por la Sentencia del TSJ de Andalucía, núm. 255/2003 de 27 de enero, que dice: “Sobre ella precisar que la jurisprudencia constitucional y la de la Sala 2ª del TS han perfilado los requisitos necesarios para que la prueba indiciaria pueda ser apreciada como tal y que pueden resumirse en los siguientes extremos: 1º- Que el hecho base no sea único, pues uno solo podría inducir a error – STC núm. 111/1990 de 18 de junio (RTC1990, 111); 2º- Que estos hechos estén directamente acreditados – SSTS de 18 y24 de enero de 1991 ( RJ 1991,282)- ; y 3º Que la inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general – STC 107/1989 de 8 de junio y 510/1989 de 10 de marzo ( RTC 1985,510) …………” En cuanto al primer requisito, constan varios indicios respecto de la utilización por parte de IIGC del fichero inmovilizado ***FICHERO.1 , acordada en el marco del procedimiento sancionador nº PS/00629/2008: 1. Existen conexiones evidentes entre las personas y recursos (líneas de teléfonos, domicilios, IP, asesoría jurídica, etc.,.) que están tras las entidades TRUMBIC, MEGAINFORMES e IIGC. 2. La definición, origen y finalidad del fichero inscrito en el RGPD coincide plenamente con el que fue inscrito por SABERLOTODO, es decir, el fichero inmovilizado ***FICHERO.1. 3. La dirección IP que aloja las páginas web ***WEB.2, ***WEB.4 e ***WEB.3 es la misma. Ésta dirección IP es estática, lo que implica que es contratada para que sea siempre la misma, y aloja el servidor donde se ha acreditado, la explotación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/35 fichero ***FICHERO.1 a través de ***WEB.3, lo que implica que “físicamente” – por encontrarse en el servidor - el citado fichero esta accesible a través de la web ***WEB.4 cuya administración y la de cualquier servidor que “cuelgue” de la dirección IP ***IP.1 corresponde en exclusiva a MEGAINFORMES. 4. La comprobación del Inspector actuante que verificó que accediendo a la web ***WEB.4 se redirigía la navegación a ***WEB.3, sin perjuicio de que en la actualidad se ha eliminado. En cuanto al segundo requisito, hay que señalar que los indicios apuntados están plenamente acreditados y finalmente, en cuanto al último, las deducciones y evidencias de ningún modo quebrantan las reglas de la lógica, disciplina o la experiencia general. Por último, acreditado que la entidad imputada utilizo el fichero inmovilizado y era conocedora de tal prohibición, procede el análisis que determine la explotación y uso del mismo: Consta acreditado que los servicios de IIGC fueron contratados por la empresa MULTIGESTION IBERIA 2014, S.A.U. a través de los cuales se tenía acceso a los datos alojados en la web ***WEB.3. La empresa MULTIGESTION IBERIA S.A.U. (con posterioridad MULTIGESTION IBERIA 2014, S.A.U.), ha sido sancionada en el procedimiento sancionador PS/00500/2013, mediante resolución R/00537/2014 de 13/03/2014, en relación con el tratamiento de datos procedentes del fichero ***FICHERO.1 en ejecución se su contrato con TRUMBIC con la que contrató el servicio de localización de personas accediendo a dicha información a través de su página web y cuyas características coinciden con el servicio que presta IIGC a través de su página web ***WEB.3 a MULTIGESTION IBERIA 2014, S.A.U. en cuanto a estructura de la información, interfaces, menús y submenús, etc. MULTIGESTION IBERIA 2014, S.A.U. sucedió en derecho y obligaciones a MULTIGESTION IBERIA S.A.U., (con los mismos administradores, domicilio social y asesoría jurídica), resultando probado que tuvo acceso a la web ***WEB.3 como cliente. La entidad ha aportado copia de dos contratos suscritos con IIGC; el primero, de fecha 01/10/2014 consta que la citada empresa accedió a 100 registros –nombre, apellidos y DNI – y en relación con el segundo de fecha 01/04/2015 se contrata el servicio de obtención de datos de contacto y localización actualizados a través de 60 usuarios para acceder a la plataforma. En el Acta de Inspección E/00728/2015/I-02 los representantes de MULTIGESTION IBERIA 2014, señalan que con anterioridad habían tenido relación con SABERLOTODO INTERNET, INFORMACION PRIVILEGIADA, TRUMBIC, si bien su personal operativo nunca les había informado de la similitud de la web ***WEB.3 con ***WEB.2 y con ***WEB.1. En el Acta de Inspección E/00728/2015/I-02 los representantes de MULTIGESTION IBERIA 2014, informaron que el 14/03/2016 había remitido correo electrónico a IIGC rescindiendo el contrato que mantenían con la entidad, decisión que fue transmitida por correo certificado al domicilio de la entidad en Islas Vírgenes el 15/03/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/35 A mayor abundamiento, consta una factura emitida el 30/03/2015 por IIGC a MULTIGESTION IBERIA S.A.U.; como cuenta bancaria de pago figura cuenta de CAIXABANK; entidad que ha informado que es titularidad de IIGC y que la persona con acceso a la misma es A.A.A. , con dirección en la ***DIRECCIÓN.2 . Por todo lo que antecede, resulta acreditado que IIGC es conocedora de la inmovilización del fichero ***FICHERO.1 y a pesar de ello lo explota comercialmente, lo que le hace responsable de la infracción prevista en el art. 44.4.
  1. c)de la LOPD en relación con el art. 49 de la misma norma. VI De acuerdo con las previsiones de la LOPD, el artículo 44.4.
  2. c)tipifica como infracción muy grave "No cesar en el uso ilegítimo de los tratamiento de datos de carácter personal cuando sea requerido para ello por el Director de la Agencia Española de Protección de Datos o por las personas titulares del derecho de acceso”, pudiendo ser sancionada con multa de 300.001 € a 600.000 €, de acuerdo con el artículo 45.3 de la citada Ley Orgánica. Tanto IIGC como B.B.B. han incurrido en la infracción descrita ya que han vulnerado la obligación de inmovilización del fichero ***FICHERO.1 acordada por el Director de la Agencia Española de Protección de Datos conforme a lo dispuesto en el artículo 37.1.
  3. f)de la LOPD, que señala como función de la Agencia: “Requerir a los responsables y los encargados de los tratamientos, previa audiencia de estos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”, en relación con el artículo 49 de la LOPD, que implica la obligación de cesar en la utilización y cesión de los datos de carácter personal registrados en el mismo, así como la de adoptar las medidas oportunas para que el acceso a la información que contiene quedase imposibilitado. Infracción, que como ya se expone en el párrafo precedente, figura tipificada como muy grave en el artículo 44.4.
  4. c)de la LOPD. VII Se imputa tanto B.B.B. como A.A.A. en el presente procedimiento sancionador la infracción del artículo 40 de la LOPD, que determina: El artículo 40 de la LOPD preceptúa: “1. Las autoridades de control podrán inspeccionar los ficheros a que hace referencia la presente Ley, recabando cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal efecto, podrán solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos, accediendo a los locales donde se hallen instalados. 2. Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior tendrán la consideración de autoridad pública en el desempeño de sus cometidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/35 Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas”. Precepto que hay que relacionar con el artículo 28 del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, en relación con las funciones inspectoras, establece: “1. Compete, en particular, a la Inspección de Datos efectuar inspecciones, periódicas o circunstanciales, de oficio o a instancia de los afectados, de cualesquiera ficheros, de titularidad pública o privada, en los locales en los que se hallen los ficheros y los equipos informáticos correspondientes, y a tal efecto podrá:
  5. a)Examinar los soportes de información que contengan los datos personales.
  6. b)Examinar los equipos físicos.
  7. c)Requerir el pase de programas y examinar la documentación pertinente al objeto de determinar, en caso necesario, los algoritmos de los procesos de que los datos sean objeto.
  8. d)Examinar los sistemas de transmisión y acceso a los datos.
  9. e)Realizar auditorías de los sistemas informáticos con miras a determinar su conformidad con las disposiciones de la Ley Orgánica 5/1992 (Ley Orgánica 15/1999).
  10. f)Requerir la exhibición de cualesquiera otros documentos pertinentes.
  11. g)Requerir el envío de toda información precisa para el ejercicio de las funciones inspectoras. 2. El responsable del fichero estará obligado a permitir el acceso a los locales en los que se hallen los ficheros y los equipos informáticos previa exhibición por el funcionario actuante de la autorización expedida por el Director de la Agencia. Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá ajustarse además a las reglas que garantizan su inviolabilidad”. Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en el Título IX, Capítulo III, Sección 2ª, referida a las “Actuaciones Previas”, establece lo siguiente: Artículo 122, “Iniciación”, apartados 1 y 2: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/35 Artículo 123, “Personal competente para la realización de las actuaciones previas”: “1. Las actuaciones previas serán llevadas a cabo por el personal del área de la Inspección de Datos habilitado para el ejercicio de funciones inspectoras. …. 3. Los funcionarios que ejerzan la inspección a los que se refieren los dos apartados anteriores tendrán la consideración de autoridad pública en el desempeño de sus cometidos. Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas”. Artículo 124, “Obtención de información”: “Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación, accediendo a los lugares donde se hallen instalados”. Artículo 125 “Actuaciones presenciales”: “1. En el desarrollo de las actuaciones previas se podrán realizar visitas de inspección por parte de los inspectores designados, en los locales o sede del inspeccionado, o donde se encuentren ubicados los ficheros, en su caso. A tal efecto, los inspectores habrán sido previamente autorizados por el Director de la Agencia Española de Protección de Datos. Las inspecciones podrán realizarse en el domicilio del inspeccionado, en la sede o local concreto relacionado con el mismo o en cualquiera de sus locales, incluyendo aquéllos en que el tratamiento sea llevado a cabo por un encargado. La autorización se limitará a indicar la habilitación del inspector autorizado y la identificación de la persona u órgano inspeccionado. 2. En el supuesto contemplado en el apartado anterior, las inspecciones concluirán con el levantamiento de la correspondiente acta, en la que quedará constancia de las actuaciones practicadas durante la visita o visitas de inspección. 3. El acta, que se emitirá por duplicado, será firmada por los inspectores actuantes y por el inspeccionado, que podrá hacer constar en la misma las alegaciones o manifestaciones que tenga por conveniente. En caso de negativa del inspeccionado a la firma del acta, se hará constar expresamente esta circunstancia en la misma. En todo caso, la firma por el inspeccionado del acta no supondrá su conformidad, sino tan sólo la recepción de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/35 Se entregará al inspeccionado uno de los originales del acta de inspección, incorporándose el otro a las actuaciones”. Artículo 126 “Resultado de las actuaciones previas”: “1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo” (los subrayados corresponden a la AEPD) De los citados preceptos se deduce claramente que la Agencia Española de Protección de Datos se encuentra habilitada, por Ley, para realizar funciones inspectoras con una finalidad de control de la aplicación de la LOPD. Así, las actuaciones inspectoras se enmarcan dentro de las facultades de control que la mencionada Ley Orgánica encomienda a la Agencia, a fin de asegurar la máxima eficacia en la aplicación de sus disposiciones. Por otra parte, los funcionarios designados para la realización de las actuaciones específicas de que se trate, que tienen la consideración de autoridad pública en el desempeño de sus cometidos, pueden recabar cuantas informaciones precisen para el cumplimiento de sus cometidos, ya sea requiriendo la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación, accediendo a los lugares donde se hallen instalados. En aquellos casos en que se realicen visitas de inspección, estos controles se formalizan en documentos (Actas de Inspección) suscritos por los representantes correspondientes, cuya eficacia probatoria ha sido ampliamente analizada por nuestra jurisprudencia. A este respecto, la Sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, de 18/07/2001, precisa que “los inspectores actuantes de la Agencia de Protección de Datos, son funcionarios que ostentan la condición de autoridad, en virtud de lo dispuesto en el artículo 39.2 de la Ley 30/1992, en el desempeño de sus cometidos. Existiendo una presunción “ iuris tantun” de veracidad de las actas de inspección referida a los hechos comprobados y reflejados en ella, que produce no una dispensa probatoria sino una inversión de la carga de la prueba, tal y como ha reconocido la jurisprudencia, que predica la referida presunción y atribuye a las actas de la inspección valor y la fuerza probatoria, salvo prueba en contrario, atribuyendo al sujeto pasivo del acta la posición procesal de desviar el contenido con pruebas adecuadas”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/35 En el marco de las competencias que la Agencia Española de Protección de Datos tiene asumidas y tal como consta en los hechos probados, el 01/12/2016 y el 01/02/2017 se remitieron a A.A.A. , en calidad de socio y administrador único de IIGC, requerimientos de información en los que se le comunicaba de acuerdo con lo establecido por el artículo 44.3.
  12. i)de la Ley Orgánica 15/1999, que podía ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. También el 13/2/2017 y el 01/02/2017 se remitieron a B.B.B. requerimientos de información, advirtiéndole en términos similares que, de acuerdo con lo establecido por el artículo 44.3.
  13. i)de la Ley Orgánica 15/1999, puede ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su Título VII. El 05/01/2017 y el 17/02/2017 A.A.A. respondía negando mantener relación alguna con IIGC y desconocer la información que se le solicitaba. El 13/01/2017 y el 16/02/2017 B.B.B. información y documentación solicitada. respondía negándose a aportar la Sin embargo, según consta en Apostilla Notarial facilitada a esta Agencia por CAIXABANK, el 06/06/2012 se constituyó según la Ley de Sociedades de las Islas Vírgenes Británicas la sociedad IIGC, siendo A.A.A. socio único y administrador único de dicha sociedad. También informa la AEAT remitía escrito el 05/08/2013 comunicando a IIGC en la ***DIRECCIÓN.2, la asignación de NIF a dicha entidad. Y la entidad TBS informaba que los asociados a las líneas ***TLF.2 y ***TLF.1 fueron contratados por IIGC y como datos de contacto asociados a dicha empresa figuraba A.A.A. . En cuanto a B.B.B. es de sobra conocido que el fichero ***FICHERO.1 que fue inmovilizado por la Agencia se explotaba por las entidades SABERLOTODO INERRNET, TRUMBIC, INFOMACION PRIVILEGIADA, MEGAINFORMES (de las que ha sido administrador, apoderado y representante en distintas actuaciones ante la Agencia) e IIGC . El artículo 44.3.
  14. j)de la LOPD tipifica como infracción grave “La obstrucción al ejercicio de la función inspectora”. De acuerdo con lo señalado, constituye infracción grave no posibilitar a los Servicios de Inspección de la Agencia Española de Protección de Datos los documentos e informaciones que le sean requeridos por los mencionados servicios para poder continuar las investigaciones. Estas conductas tanto de A.A.A. como de B.B.B. se encuadran en el tipo descrito anteriormente para las infracciones graves. IX C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/35 La LOPD en su artículo 44.3.
  15. j)tipifica como infracción grave “
  16. j)“La obstrucción al ejercicio de la función inspectora”. Infracción grave que puede ser sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. Obstruir, según el Diccionario de la Real Academia Española, en sus significaciones más acordes con el presente supuesto, equivale a “impedir la operación de un agente, sea en lo físico, sea en inmaterial”, o a “impedir la acción”. En consecuencia, bastará con dificultar, poner obstáculos o no colaborar para que pueda estimarse la conducta recogida en el artículo 44.3.j), y ello sin perjuicio, y al margen, de que se llegue o no al conocimiento de los datos o de la actividad investigada, pues lo que se sanciona no es un resultado sino una conducta que obstruye la tarea inspectora. De acuerdo con lo señalado, constituye infracción grave no atender a los requerimientos de información remitidos por los Servicios de Inspección de la Agencia Española de Protección de Datos, negándose a aportar de manera reiterada los documentos e informaciones necesarios y pertinentes para el buen fin de las investigaciones. En el presente caso, tanto B.B.B. como A.A.A. ha incurrido en la infracción descrita; los denunciados se han negado reiteradamente a aportar los documentos e información requeridos por los servicios de inspección de este organismo, preceptuado en el artículo 40 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  17. j)de la citada Ley Orgánica. X El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/35
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD, la Audiencia Nacional en su Sentencia de 24/05/2002 ha señalado en cuanto a la aplicación del citado precepto que “la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos”. Además, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En primer lugar, el presente caso, de las actuaciones practicadas ha quedado acreditado que tanto IIGC como B.B.B. han vulnerado el artículo 37.1.
  33. f)de la LOPD, en relación con el artículo 49 de la misma Ley, por incumplimiento de la obligación de inmovilización del fichero ***FICHERO.1 al ser conocedores de esta medida y que a pesar de ello lo explotaban comercialmente; inmovilización que fue acordada por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/35 Director de la AEPD mediante Resolución de fecha 23/02/2009 donde señalaba “…la inmovilización del fichero ***FICHERO.1 , del que es responsable la entidad SABERLOTODO INTERNET, S.L., que queda obligada a cesar en la utilización y cesión de los datos de carácter personal registrados en el mismo, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilitado. Esta inmovilización del fichero deberá mantenerse hasta que por parte de dicha entidad se acredite debidamente ante esta Agencia Española de Protección de Datos la cancelación de todos aquellos datos personales que no hubiesen sido recabados de los propios afectados, y con su consentimiento, o que no procedan de fuentes accesibles al público y, especialmente, los datos personales obtenidos del censo de población y de padrones municipales de habitantes, o bien facilitados por la entidad Detectives Lucentum, S.L., o recabados por el propio representante de la entidad imputada en el ejercicio de una actividad privada…” y que implicaba la obligación de cesar en la utilización y cesión de los datos de carácter personal registrados en dicho fichero, así como adoptar las medidas oportunas para que el acceso por parte de terceros a la información contenida en el mismo quedase imposibilitada, por lo que su actuación de ambos deben ser merecedoras de sanción; hay que recordar que dicha Resolución fue notificada a SABERLOTODO INTERNET, S.L., cuyo administrador era B.B.B. . Por tanto, no se dan las citadas circunstancias requeridas en el artículo 45.5 debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
  34. d)y
  35. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Además, en relación con IIGC, en aras a graduar la sanción que corresponde imponer, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las siguientes agravantes previstas en el artículo 45.4 de la LOPD: El apartado
  36. a)El carácter continuado de la infracción, pues a pesar de la orden de inmovilización del fichero ***FICHERO.1, ha venido explotando el citado fichero sin respetar la resolución de inmovilización. El apartado
  37. c)Vinculación de la actividad del investigado con la realización de tratamientos de datos de carácter personal dado que IIGC se dedica a la explotación comercial de ficheros con datos personales como lo acredita la contratación realizada con MULTIGESTION. El apartado
  38. b)Volumen de los tratamientos, pues hay que considerar que el fichero ***FICHERO.1 en la última ocasión que se pudo inspeccionar contenía más de 36 millones de registros. El apartado
  39. d)Volumen de negocio toda vez que se trata de una de gran empresa dentro del sector de su actividad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/35 En cuanto a B.B.B. en aras a graduar la sanción que corresponde imponer, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las siguientes agravantes previstas en el artículo 45.4 de la LOPD: El apartado
  40. a)El carácter continuado de la infracción, pues aún después de dictada resolución en el correspondiente procedimiento sancionador PS/00629/2008, no atendió la orden de inmovilización del fichero ***FICHERO.1 y, a través de distintas sociedades interpuestas, han continuado explotando el citado fichero sin respetar la resolución de inmovilización. El apartado
  41. c)Vinculación de la actividad del investigado con la realización de tratamientos de datos de carácter personal, dado que B.B.B. se dedica a la explotación comercial de ficheros con datos personales; El apartado
  42. d)Volumen de los tratamientos, pues hay que considerar que el fichero ***FICHERO.1 en la última ocasión que se pudo inspeccionar contenía más de 36 millones de registros. El apartado
  43. e)Los beneficios obtenidos como consecuencia de la comisión de los hechos investigados, pues aunque el beneficio obtenido es de muy difícil determinación, al operar por medio de empresas interpuestas, incluidas empresas en paraísos fiscales, resulta evidente la existencia de los mismos. El apartado
  44. f)Grado de intencionalidad, pues B.B.B. es plenamente conocedor de la ilicitud de la actividad realizada. El apartado
  45. g)La reincidencia, puesto que B.B.B. ha tenido abiertos otros procedimientos sancionadores en la AEPD. Además, ya fue sancionado en el procedimiento sancionador PS/00146/2011 por la realización de la misma conducta. El apartado
  46. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, el tratamiento de datos sin consentimiento afecta a millones de personas. Por tanto, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal y el volumen de negocio, se impone una sanción de 300.001 € a IIGC y de 600.000 a B.B.B. por la infracción respectiva del artículo 37.1.
  47. f)de la LOPD, en relación con el artículo 49 de la misma Ley, de la que tanto IIGC como B.B.B. deben responder. En segundo lugar, también de las actuaciones practicadas ha quedado acreditado que tanto B.B.B. como A.A.A. han vulnerado el artículo 40 de la LOPD, por obstrucción a la labor inspectora, ya que se les solicito en reiteradas ocasiones información sobre haciendo caso omiso, a pesar de que se les advertía que podía ser constitutivo de infracción grave el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones solicitados, por lo que han de ser objeto de sanción. Por tanto, tampoco se dan las citadas circunstancias requeridas en el artículo 45.5 debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
  48. d)y
  49. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/35 cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En relación con B.B.B. en aras a graduar la sanción que corresponde imponer, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las siguientes agravantes previstas en el artículo 45.4 de la LOPD: El apartado
  50. a)El carácter continuado de la infracción, pues desde el 13/12/2016 y el 01/02/2017, en que se requirió al investigado la información solicitada, ésta fue negada de forma reiterada. El apartado
  51. c)Vinculación de la actividad del investigado con la realización de tratamientos de datos de carácter personal, dado que los investigados se dedican a la explotación comercial de ficheros con datos personales. El apartado
  52. d)Volumen de los tratamientos, pues hay que considerar que el fichero ***FICHERO.1 en la última ocasión que se pudo inspeccionar contenía más de 36 millones de registros. El apartado
  53. f)El grado de intencionalidad, hay que recordar que mediante escritos de 13/12/2016 y 01/02/2017 se remitieron a B.B.B. requerimientos de información, en los que se le informaba que, de acuerdo con lo establecido por el artículo 44.3.
  54. i)de la LOPD, podía ser constitutivo de infracción grave el no atender los requerimientos de la Agencia. Y el 13/01/2017 y 16/02/2017 respondía negándose a aportar la información y documentación solicitadas, por lo que ha de apreciarse intencionalidad en su conducta. El apartado
  55. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, el tratamiento de datos sin consentimiento afecta a millones de personas. En cuanto a A.A.A. en aras a graduar la sanción que corresponde imponer, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las siguientes agravantes previstas en el artículo 45.4 de la LOPD: El apartado
  56. a)El carácter continuado de la infracción, pues desde el 13/12/2016 y el 01/02/2017, en que se requirió al investigado la información solicitada, ésta fue negada de forma reiterada. El apartado
  57. d)Volumen de los tratamientos, pues hay que considerar que el fichero ***FICHERO.1 en la última ocasión que se pudo inspeccionar contenía más de 36 millones de registros. El apartado
  58. f)El grado de intencionalidad, hay que recordar que mediante escritos de 13/12/2016 y 01/02/2017 se remitieron a A.A.A. requerimientos de información, en los que se le informaba que, de acuerdo con lo establecido por el artículo 44.3.
  59. i)de la LOPD, podía ser constitutivo de infracción grave el no atender los requerimientos de la Agencia. El 05/01/2017 y el 17/02/2017 A.A.A. respondía negando mantener relación alguna con INFORMACION GLOBAL y desconocer la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/35 información que se le solicita, a pesar de la información aportada por CAIXABANK y TBS en sentido totalmente contrario. El apartado
  60. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, pues el tratamiento de datos no consentido afecta a millones de personas. Por tanto, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversas, en particular el carácter continuado de la infracción, la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal, el volumen de tratamientos, grado de intencionalidad y beneficios obtenidos y la naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, se impone una sanción de 80.000 € a B.B.B. y de 40.001 € a A.A.A. por la infracción respectiva del artículo 40 de la LOPD, de la que tanto B.B.B. como A.A.A. deben responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad INFORMATION INTERNATIONAL GLOBAL CORP, por una infracción del artículo 37.1 f), en relación con el artículo 49 de la LOPD, tipificada como muy grave en el artículo 44.4.
  61. c)de la LOPD, una multa de 300.001 € (trescientos mil un euros) de conformidad con lo establecido en el artículo 45.3 de la citada LOPD. SEGUNDO: IMPONER a B.B.B., por una infracción del artículo 37.1 f), en relación con el artículo 49 de la LOPD, tipificada como muy grave en el artículo 44.4.
  62. c)de la LOPD, una multa de 600.000 € (seiscientos mil euros) de conformidad con lo establecido en el artículo 45.3 de la citada LOPD. TERCERO: IMPONER a B.B.B., por una infracción del artículo 40) de la LOPD, tipificada como grave en el artículo 44.3.
  63. j)de la LOPD, una multa de 80.000 € (ochenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD CUARTO: IMPONER a A.A.A., por una infracción del artículo 40) de la LOPD, tipificada como grave en el artículo 44.3.
  64. j)de la LOPD, una multa de 40.001 € (cuarenta mil un euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. QUINTO: NOTIFICAR la presente resolución a INFORMATION INTERNATIONAL GLOBAL CORP., B.B.B. y a A.A.A.. SEXTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/35 se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.