← España

PS-00436-2015

1/24 Procedimiento Nº PS/00436/2015 RESOLUCIÓN: R/00211/2016 En el procedimiento sancionador PS/00436/2015, instruido por la Agencia Española de Protección de Datos a la entidad MACRO SELECT PRINT S.L., PLENISAN, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29 de octubre de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<Con fecha 22-10-14 he recibido un envío publicitario de SISTEMAS MÉDICOS PROFESIONALES (copia adjunta), por correo postal dirigido a mi dirección, la cual no figura en ninguna fuente de acceso público y está excluida del repertorio de abonados a servicios telefónicos. En el lateral izquierdo del escrito publicitario y de forma casi ilegible figura la siguiente leyenda:“Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Pueden ejercerse los derechos de acceso, rectificación, cancelación u oposición en el Apartado de Correos número ***NÚM.1 Madrid’. Tanto SISTEMAS MÉDICOS PROFESIONALES como MACRO SELECT PRINT son empresas totalmente desconocidas para mí y con las que no me une ni ha unido relación alguna, por lo que difícilmente he podido darles mi consentimiento inequívoco para el tratamiento de mis datos personales.>> Aporta original de una carta remitida a su nombre y dirección, en la que aparece la calle y el número, pero no el piso y puerta. Incluye el sobre, en el que consta como remitente SMP. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MACRO SELECT PRINT S.L., SISTEMAS MEDICOS PROFESIONALES S.L., teniendo conocimiento de que: 1. De la información y documentación aportada por SMP, se desprende: a. La entidad manifiesta: <<Desconocemos los parámetros marcados por la entidad emisora de la publicidad para la selección del público objetivo del envío, puesto que dichos criterios son fijados unilateralmente por la tercera empresa a la que, en este caso, encargamos que llevara a cabo las campañas publicitarias de nuestros productos, según figura en el referido contrato. Las medidas adoptadas por nosotros para asegurarnos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas IV y V del contrato que adjuntamos a este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/24 escrito, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre de 2011.>> b. Aporta copia del contrato fechado el 16/7/2014, figurando en las clausulas citadas: <<IV.- LIST BROKER se compromete al cumplimiento de la Ley Orgánica de Protección de Datos en las campañas que realice para CLIENTE y manifiesta especialmente que no se utilizarán datos de personas inscritas en las Listas Robinson de ADIGITAL y que los datos estarán convenientemente actualizados. V.- LIST BROKER ofrece absoluta garantía de que los datos que se utilizarán se han obtenido exclusivamente de fuentes accesibles al público que estaban vigentes en el momento del tratamiento de los datos, conforme a lo establecido en la Ley de Protección de Datos. En caso de que no procedan de dichas fuentes, dichos datos habrán sido obtenidos con consentimiento de los afectados para e1 envío de comunicaciones comerciales de los productos o servicios de CLIENTE. Las partes están conformes en que estas manifestaciones y garantías ofrecidas por LIST BROKER son las determinantes de que CLIENTE realice las campañas de marketing utilizando las bases de datos del LIST BROKER. En caso de que, en algún momento, esas garantías dejasen de ser ciertas, el contrato se resolverá de pleno derecho. A modo de comprobación, CLIENTE podrá exigir a LIST BROKER que, antes de determinada campaña, le facilite un muestreo aleatorio de los datos a utilizar en ella, para que CLIENTE pueda verificar que figuran en las fuentes accesibles al público vigentes.>> Donde LIST BROKER se refiere a PRINT. c. Aporta igualmente la entidad copia de una factura emitida en fecha 31/10/2014 por los servicios prestados por PRINT durante el mes de octubre. 2. De la información y documentación aportada por PRINT se desprende: a. Manifiesta la entidad que los datos para la campaña fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. No aporta acreditación alguna de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por PRINT y consistieron en una segmentación por zona de ubicación del domicilio. c. Aportan copia del contrato y la factura de servicios profesionales. 3. Mediante diligencia de fecha 10/3/2015 se ha realizado una consulta relativa al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/24 denunciante en las páginas blancas de la web www.paginasamarillas.es, no encontrándose resultado alguno. TERCERO: Con fecha de 28/08/2015 la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MACRO SELECT PRINT S.L., y a PLENISAN, S.L., por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, PLENISAN, S.L. mediante escrito de fecha de entrada en esta Agencia de 14/09/2015 solicito la copia del expediente de acuerdo con el art. 35 de la LRJPAC y mediante Diligencia de Instrucción con fecha de 16/09/2015 se remitió la citada documentación, siendo recogida según acuse de recibo de correos en fecha de 21/09/2015. (Folios 40 a 44) QUINTO: Notificado el acuerdo de inicio, MACRO SELECT PRINT, S.L. mediante escrito de fecha de entrada en esta Agencia de 16/09/2015 solicito copia del expediente de acuerdo con el art. 35 de la LRJPAC. Mediante Diligencia de Instrucción de fecha de 5/10/2015 se acordó el envío de la citada documentación, siendo recogida según acuse de recibo de correos en fecha de 13/10/2015. (Folios 45 a 82). SEXTO: Mediante escrito de fecha de entrada en esta Agencia de 28/09/2015, PLENISAN, S.L., formulo alegaciones fundamentándolas básicamente en: I. II. III. C/ Jorge Juan, 6 28001 – Madrid De acuerdo con el contrato de fecha 16/06/2014 con MACRO SELECT PRINT, S.L., los servicios de diseño, selección, segmentación y tratamiento de datos personales son realizados, en exclusiva por éste. Por lo que cualquier irregularidad seria imputable a MACRO SELECT PRINT, S.L. de acuerdo con el art. 46 del RDLOPD PLENISAN, S.L. no puede ser considerada responsable del tratamiento, por el hecho de ser beneficiaria de la publicidad, ya que ni trato los datos personales del denunciante, ni fijo “los parámetros identificativos de los destinatarios de la campaña”. La determinación de los parámetros consiste en precisar las “variables que identifiquen a los destinatarios de una campaña y permitan individualizarlos dentro del conjunto de posibles destinatarios. PLENISAN, S.L. no da instrucción alguna a sus proveedores en la realización de las campañas. La intervención de esta es transmitir al proveedor cuales son los productos a vender, y el proveedor estudia de qué modo logra el incremento de las ventas, diseñando y ejecutando las campañas. Los criterios profesionales que el proveedor siga para decidir si ejecuta una determinada campaña o realiza cierta acción comercial responde solo a sus decisiones. El modo en que se desarrollan las campañas es el siguiente:
  2. a)PLENISAN, S.L. informa al proveedor de las características de los productos que quiere vender y e éste elabora un plan de marketing, definiendo los intereses y objetivos comerciales a cumplir.
  3. b)Posteriormente, en cada campaña, el proveedor selecciona una localidad en la que se va a llevar a cabo la venta de productos.
  4. c)Después el proveedor envía una carta con el fin de convocar al evento y elige un local para llevar a cabo la presentación, fijando la hora de la convocatoria. www.agpd.es sedeagpd.gob.es 4/24
  5. d)A continuación, nos informa sobre el lugar, fecha y hora que ha elegido para la convocatoria y la reunión de presentación es ya realizada por PLENISAN, S.L. IV. La selección de MACRO SELECT PRINT, S.L. se realiza siendo cuidadoso y adoptando las medidas posibles para asegurar el cumplimiento de la normativa:
  6. a)Se verifico con anterioridad si había sido sancionado por la AEPD y se solicitó declaración expresa al administrador de la sociedad sobre si había sido sancionado. Y se consultó el RGPD para verificar la inscripción de ficheros.
  7. b)Se exigió contractualmente garantías de legalidad (Clausulas IV y V del contrato)
  8. c)Antes de la firma del contrato, se realizó un cheque de los ficheros solicitando al proveedor 50 registros de su fichero y comprobando que todos aparecen en el repertorio de abonados al servicio telefónico de páginas blancas. V. Solicita la prueba testifical del representante de MACRO SELECT PRINT, S.L. para que responsa a preguntas sobre las garantías ofrecidas al contratar, y el modo en que realizan las campañas en ejecución del contrato. VI. Aportan como prueba documental dos cartas sin justificación ni de su envío ni recepción, una del representante de MEGA DATA INTEGRAL SERVICES, S.L. y otra del representante de MACRO SELECT PRINT, S.L., y la copia de la muestra de 50 registros del fichero de MSP remitidos a PLENISAN S.L. con fecha 13/06/2014 y otra copia de la muestra de 50 registros previo al acto celebrado en el Hotel Hesperia de Getafe el 28/10/2014. SEPTIMO: Como diligencias probatorias se practicaron las siguientes: 7.1 Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante PLENISAN S.L., y MACRO SELECT PRINT, S.L., el Informe de actuaciones previas de Inspección que forman parte del expediente E/00285/2015. 7.2 Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00436/2015 presentadas por PLENISAN S.L., y MACRO SELECT PRINT, S.L. y la documentación que a ellas acompaña. 7.3 A solicitud de PLENISAN, S.L. el Instructor practico prueba Testifical a MACRO SELECT PRINT, S.L. que respondiera a las siguientes preguntas (Folios 102 a 105): (…) Si en las campañas que Macro Select Print lleva a cabo para la promoción de los productos de Plenisan, el diseño y ejecución son realizados, exclusivamente, por Macro Select Print, S.L. o si, por el contrario, Plenisan interviene de algún modo en ellas. Si, en las campañas que Macro Select Print lleva a cabo para la promoción de los productos de Plenisan, la determinación de los criterios de segmentación de los destinatarios es realizada exclusivamente por Macro Select Print, S.L. o si, por el contrario, Plenisan interviene de algún modo en la fijación de dichos criterios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/24 Si, en las campañas que Macro Select Print lleva a cabo para la promoción de los productos de Plenisan, ésta trata de algún modo los datos personales de los destinatarios o adopta alguna decisión con respecto a ellos o el modo en que debía desarrollarse la campaña Si la contratación de Macro Select Print, S.L. como listbroker se debió a las garantías de legalidad que aquella ofreció a mi representada. Que describa el modo en que se realizan las campañas de marketing para Plenisan. Que confirme si todas las respuestas ofrecidas a las preguntas anteriores son aplicables también a la concreta campaña de marketing que ha sido denunciada y ha dado origen a este procedimiento sancionador. Que confirme si Plenisan ha realizado chequeos de la legalidad de los datos utilizados por Macro Select Print, tanto con carácter previo a la firma del contrato de servicios como antes de cada campaña. Que confirme si los listados de datos aportados por esta se corresponden con los que nos remitió Macro Select Print, para nuestra comprobación, antes de la firma del contrato y antes de la campaña que ha originado este procedimiento.(…) 7.4 MACRO SELECT PRINT, S.L. mediante escrito de fecha de entrada en la AEPD de 28/10/2015, contesto a las citadas preguntas, en síntesis, del siguiente modo (folio 111): PRIMERO.-En las campañas llevadas a cabo para promocionar productos de PLENISAN, el diseño y ejecución son realizados exclusivamente por MSP, sin que PLENISAN intervenga en ellas. Solamente acude al lugar de celebración del acto para presentar sus productos. SEGUNDO.-La determinación de los criterios de segmentación es realizada por MSP, sin que PLENISAN intervengan en la fijación de dichos criterios. TERCERO.- En las campañas que MSP lleva cabo para promocionar productos de PLENISAN, esta no trata datos personales de los destinatarios ni adopta decisión alguna con respecto a ellos o el modo en que ha de desarrollarse la campaña. CUARTO.-La contratación de MSP se llevó a cabo porque ofrece garantías de legalidad de los datos del fichero. QUINTO.-Las campañas se realizan del siguiente modo, MSP realiza un estudio de mercado en base al cual elegimos una ciudad, reservamos un hotel y remitimos una convocatoria a personas para que se presenten en ese lugar. Después, notificamos a PLENISAN,, con la suficiente antelación, el lugar, fecha y hora que hemos decidido para que los comerciales de PLENISAN, expongan los productos. SEXTO.-La campaña correspondiente al procedimiento PS/436/2015 se desarrolló conforme a las pautas indicadas. SEPTIMO.- Tanto antes de la firma del contrato como antes de cada campaña, PLENISAN nos solicita siempre muestras de datos a utilizar para comprobar que aparecían en fuentes accesibles al público y una declaración de legalidad de nunca haber sido sancionado. 7.5 A la vista de la contestación de MACRO SELECT PRINT, S.L. el Instructor practico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/24 prueba testifical a fin de acreditar las manifestaciones realizadas por la entidad, en concreto mediante escrito de 29/10/2015, remitió carta donde constaban las siguientes preguntas: ( Folios 112 a 116): (…)Una vez analizado su escrito, se le requiere para que ACREDITE DOCUMENTALMENTE las manifestaciones en realizadas, en concreto: I. Respecto de lo contenido en el punto SEGUNDO: ¿Cuáles han sido los criterios de segmentación de la campaña objeto de denuncia? Acredite la determinación de los mismos y las comunicaciones con PLENISAN, S.L. en la que se informa de los mismos y su aceptación, en su caso. II. Respecto de lo contenido en el punto CUARTO y SEPTIMO: Manifiestan (…) PLENISAN nos ha solicitado siempre muestra de los datos que se iban a utilizar, para comprobar que aparecían en fuentes accesibles al público (…) Acredite tal afirmación y responda a ¿Si PLENISAN, S.L. comprobó el consentimiento de los titulares de los datos que obran en su fichero, respecto de aquellos registros que contengan la dirección completa, es decir, con piso y puerta? Y en caso afirmativo acredítelo con las comunicaciones en las que se realiza tales comprobaciones. III. Respecto del contenido en el punto QUINTO: Acredite lo manifestado en dicho punto, la realización del estudio de mercado, la elección del lugar y fecha donde va a realizarse el acto comercial, es decir su alquiler y pago (factura, albarán, etc...) y la comunicación de tal circunstancia a PLENISAN, S.L., tal como afirma en el escrito presentado. DOS.- En la campaña objeto de denuncia consta el siguiente código debajo de los datos personales del denunciante: SM*********. Explique a qué hace referencia y su utilidad. TRES.- Acredite el origen de los datos de la denunciante Don A.A.A. y su consentimiento o alguna causa que lo dispense.(…) 7.6 Se solicitó a Hotel Hesperia Getafe (Folio 107 a 110) y a NH HOTEL GROUP S.A., (Folio 182 a 183), información sobre las reservas realizadas por PLENISAN, S.L. para la celebración de sus eventos, en concreto: - Identificación de la persona o entidad que realizó la reserva de la sala en que se realizó el acto (nombre, número de teléfono, dirección postal, correo electrónico). - Copia de los documentos mediante los que se formalizase dicha reserva y de los documentos identificativos de la persona que los realizase. - Fecha de primer contacto para la realización de dicha reserva. Caso de que exista algún documento que pueda acreditar dicho contacto (fax, correo electrónico, etc.), copia del mismo. - Copia de la factura emitida por los servicios prestados por ese Hotel con motivo de dicho acto. Copia de documento de pago (transferencia, resguardo de pago por tarjeta, etc.) 7.7 NH HOTEL GROUP, S.A., aportó documentación en la que constaba la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/24 solicitada, señalando respecto del evento celebrado en fecha de 28/10/2014, la reserva se realizó por PLENISAN, S.L. en fecha de 30/09/2014, en concreto a través de ...@... y fue abonado en fecha de 24/10/2014 y se solicitó un determinado montaje de la sala por PLENISAN, S.L. (Folios 191 a 200). 7.8 NH HOTEL GROUP, S.A. aporto documentación en al que constaba las reservas realizadas por PLENISAN, S.L. en establecimientos de su cadena hotelera durante el periodo 2014-2015 con las fechas y la facturación total. (Folios 202 a 208). 7.9 Se incorporó como prueba documental el Acta de Inspección/0005/2015/I01/PS/436/2015 y la documentación adjunta. (Folios 117 a 181) 7.10 Se incorporó como prueba documental las alegaciones de PLENISAN S.L. en el procedimiento PS/00536/2015, las paginas 1, 10 a 12 y la copia de la muestra de 50 registros de la provincia de LEON y la impresión del asiento del RMC de la entidad MEYDIS, S.L. e información obtenida de una red de profesionales que prestan servicios en la citada entidad. 7.11 Se solicitó a PLENISAN, S.L. respecto otros eventos comerciales celebrados por dicha entidad con posterioridad a los hechos denunciados, en concreto ejemplos de cartas reales de envíos y la información aportada por ésta. (Folios 239 a 243) OCTAVO: En fecha de 18/12/2015 el Instructor del Procedimiento emitió Propuesta de Resolución solicitando la imposición de una sanción a PLENISAN, S.L. y a MACRO SELECT PRINT, S.L. por la vulneración de lo dispuesto en el art. 6 de la LOPD. NOVENO: En fecha de 21/01/2016 PLENISAN, S.L. presento escrito de alegaciones en las que reiteraba las manifestaciones que recoge su anterior escrito de alegaciones formuladas al acuerdo de inicio y añadía lo siguiente: Tanto los elementos documentales como las testificales justifican la posición de PLENISAN, S.L. en las campañas de marketing y la forma en que se han desarrollado. En sentido contrario solo existen manifestaciones recogidas en el Acta de Inspección vertidas por un socio de la entidad que no interviene en el desarrollo de las campañas. Es el proveedor quien indica que localidades considera idóneas para la realización de la campaña y de entre ellas PLENISAN, S.L. elige la más conveniente, es decir, no elige la localidad sino que descarta las no idóneas. La actuación de MEYDIS, S.L. no ha sido ocultada con ningún fin y tampoco se alcanza en adivinar en que favorece dicha circunstancia a la entidad. La sanción propuesta es absolutamente desproporcionada, debiendo tenerse en cuenta la no concurrencia de intencionalidad, en apariencia el fichero era completamente legal. No existe prueba alguna de sistema de elusión de responsabilidad. La existencia de correos electrónicos sobre la cancelación u oposición es porque aparece el logo de la entidad, y posteriormente se comunica al proveedor dichas incidencias y finalmente la actividad no se encuentra vinculada con el tratamiento de datos personales. Por todo ello solicita la aplicación del art. 45.5 LOPD para determinar la cuantía de la sanción dentro de la escala de las infracciones leves. Presunción de inocencia. No hay elementos que la desvirtúen, y por el contrario si hay prueba que revela la falta de responsabilidad como son la declaración del representante legal de MACRO SELECT PRINT sin poder atribuir a PLENISAN, S.L. responsabilidad alguna por no poder la AEPD localizar a dicho representante para formularle otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/24 preguntas. DECIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 22/10/2014 el denunciante recibe en su domicilio una comunicación comercial por vía postal en la que se invita a un evento que se realizara en el Hotel Hesperia Getafe en fecha de 28/10/2014 de PLENISAN, S.L. informando que los datos utilizados provienen de un fichero propiedad de MACRO SELECT PRINT, S.L., (Folio 3) DOS.- Los datos personales del denunciante no constan en el repertorio de abonados a servicios telefónicos. (Folios 25 a 26) TRES.- PLENISAN S.L., tiene un contrato con MACRO SELECT PRINT, S.L. en cuya ejecución corresponde a esta, la generación de un fichero con registros correspondientes a una localidad que previamente ha sido determinada por PLENISAN, S.L. en función de la reserva del establecimiento donde va a realizarse el evento comercial. (Folios 11-12, 117-118). CUATRO.-PLENISAN, S.L. determina los destinatarios de la acción comercial dirigiéndose a MACRO SELECT PRINT, S.L. para que genere un fichero con registros de una determinada localidad y tras el diseño de la creatividad publicitaria, remite a MEYDIS, S.L. las piezas publicitarias para su puesta en envío en correos. (Folios 11-12, 13-124). CINCO.- PLENISAN S.L., tiene un contrato con MEYDIS, S.L. en virtud del cual esta somete a tratamiento los datos que constan impresos en las piezas publicitarias, consistente en el “manipulado de piezas publicitarias ya impresas, con objeto de que lleguen a sus destinatarios”, para lo cual se “compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para la seguridad de las piezas publicitarias impresas, las medidas de seguridad de nivel básico delas establecidas en el Real Decreto 1720/2007, debiendo elaborar su propio Documento de Seguridad, en el que se recojan todas las medidas legales y cumplirlo.” (Folios 123 a 124) SEIS.- Según consta en los sistemas de NH HOTEL GROUP, S.A., en fecha de 30/09/2014 se crea una reserva a solicitud de PLENISAN, S.L. para el Hotel Hesperia Getafe para varios eventos, entre los que se encuentra el anunciado en la acción publicitaria en fecha de 28/10/2014. PLENISAN, S.L. solicita un montaje determinado de la sala abonando la factura de dicho alquiler en fecha de 24/10/2014. (Folios 191,193, 194). SIETE.- Desde principios del año 2014 PLENISAN, S.L. recibe en sus cuentas de correo electrónico comunicaciones de destinatarios de la carta invitación de sus eventos comerciales en el que comunican que los destinatarios corresponden a personas fallecidas, y otras tienen por objeto negar el consentimiento para utilizar sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/24 solicitando la baja de sus envíos. (Folios 131 y siguientes) OCHO.- Mediante escrito de fecha 27/10/2015 se comunicó a MACRO SELECT PRINT, S.L. la realización de una inspección presencial en la sede de ésta al objeto de examinar el fichero sobre el que realiza la segmentación de direcciones previa a instancias de PLENISAN, S.L., sin poder realizarla dado que nadie se encontraba en el lugar. Se realizó una llamada al teléfono del administrador de la entidad sin ser contestada. (Folio 180 a 181) y se acudió al domicilio del mismo al objeto de concertar otra fecha para la inspección, sin poder contactar. NUEVE.- En la inspección realizada en la sede de PLENISAN, S.L. se solicitó la identidad de personas de contacto de MACRO SELECT PRINT, S.L. y esta informo que se relacionan a través de dos personas B.B.B. y C.C.C., que tras las comprobaciones realizas consta que prestan servicios en MEYDIS, S.L. En concreto la segunda persona mediante conversación telefónica asegura que trabaja en MEYDIS, S.L.,. DIEZ.- MEYDIS, S.L. a petición de PLENISAN, S.L. accedió al fichero de MACRO SELECT PRINT, S.L. para remitir a aquella una muestra de registros provincia de LEON para su aportación por PLENISAN, S.L. en otro procedimiento instruido por la Agencia Española de Protección de Datos por hechos similares. FUNDAMENTOS DE DERECHO I.Sobre la competencia para resolver el procedimiento. Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. II.Sobre el precepto vulnerado: Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/24 En el presente caso se imputa la comisión de la infracción consistente en someterá tratamiento los datos personales del denunciante por parte de las entidades MACRO SELECT PRINT, S.L. y PLENISAN, S.L. al haber realizado acciones de marketing utilizando dichos datos y habiendo negado la prestación del consentimiento el denunciante y la existencia cualquier causa que lo dispense. III.Sobre el estatus las entidades imputadas y la prueba practicada a efectos de determinar su participación y la aplicación del régimen sancionador de la LOPD. Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  10. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  11. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  12. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/24 identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso ha resultado acreditado que PLENISAN, S.L. realizo una campaña publicitaria cuyos destinatarios eran las personas que constaban en el fichero de MACRO SELECT PRINT, S.L. y que tras la instrucción del presente expediente sancionador, ha resultado que no contenía el consentimiento del denunciante. Las alegaciones de PLENISAN, S.L., la documentación aportada ( contrato y factura con MACRO SELECT PRINT, S.L. ) así como la prueba testifical solicitada, persiguen excluir del régimen de responsabilidad por incumplimiento de la LOPD a PLENISAN, S.L. en la medida en que no ha intervenido en el tratamiento de los datos, ya que la determinación de los parámetros la realizo MACRO SELECT PRINT, S.L. y además tomo las cautelas debidas para conocer la legalidad del fichero como muestreo de comprobaciones del citado fichero. Sin embargo, tras la prueba practicada se deduce que no es tal como ha alegado PLENISAN, S.L. y MACRO SELECT PRINT, S.L. en sus escritos la participación de ambas en el modo de realización de la campaña. A saber: La participación de PLENISAN, S.L. como responsable del tratamiento de acuerdo con el art. 46.2
  13. a)del RDLOPD ha resultado acreditada tras la prueba practicada y su valoración conjunta. PLENISAN, S.L. determina el lugar donde va a realizarse el evento al contratar con el establecimiento hotelero en cuestión, y sobre esa elección solicita a MSP en ejecución del contrato, la selección de los registros destinatarios de la acción publicitaria. Por lo que las alegaciones de PLENISAN, S.L. recogidas en los puntos III
  14. a)
  15. b)c y
  16. d)del Antecedente SEXTO de la presente resolución han resultado contradichas. Así como las manifestaciones de MACRO SELECT PRINT, S.L. en el mismo sentido. PLENISAN, S.L. en sus alegaciones formuladas a la Propuesta de Resolución, intenta explicar el mecanismo de selección del hotel poniendo de manifiesto que es previamente MACRO SELECT PRINT, S.L. quien propone varias localidades y de esas PLENISAN, S.L. elige una. Pues bien, de ser asi existirá elementos que probaran tal circunstancia, así como el estudio de mercado que supuestamente realiza MACRO SELECT PRINT, S.L. o los acuerdos comerciales que afirma tener con las cadenas hoteleras y sin embargo nada de ello ha podido acreditar, pese a la facilidad que a priori se deduce para dicha acreditación. Estos hechos determinan que los parámetros identificativos de los destinatarios, es decir, las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma, se realiza por PLENISAN, S.L., o dicho de otro modo, sin la elección del lugar y por tanto de la localidad donde se va a realizar el evento por parte de PLENISAN, S.L, el titular del fichero, esto es, MACRO SELECT PRINT, S.L. no tendría indicación alguna sobre qué registros extraer un fichero ya depurado de su base de datos general, para realizar la campaña en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/24 Todo ello ha resultado probado tras la documentación aportada por el establecimiento hotelero y de las manifestaciones de los representantes de PLENISAN, S.L. en la Inspección realizada, en las que reconocen expresamente: (…) b. Respecto del funcionamiento de la entidad con MSP, informan que: -la entidad elige una localidad y contrato un hotel en la misma, donde se realizara la demostración comercial y captación de clientes. -concertado el hotel, se comunica a MSP el lugar y fecha en que se realizara el evento, ya sea por teléfono, correo electrónico o fax. -MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS. (…). PLENISAN tiene pleno control sobre los actos que conlleva la realización de la campaña y el sometimiento a tratamiento de los datos personales de los destinatarios, tanto es así, que contrata con MSP y con MEYDIS, S.L. para que de acuerdo con sus instrucciones se realice de un modo o de otro las campañas de cuya publicidad es beneficiaria. En concreto, el servicio que por contrato presta MEYDIS, S.L. implica el tratamiento de los datos personales de los destinatarios cuyos datos constan en las piezas publicitarias. (Véase las clausulas en las que expresamente se recoge que MEYDIS, S.L., actúa siempre bajo las instrucciones de PLENISAN, S.L.). Por eso también PLENISAN, S.L. se convierte en responsable del tratamiento de datos que realiza MEYDIS, S.L. siendo ésta su encargada de tratamiento, ya que en ejecución del contrato de servicios, se realiza un tratamiento de datos por cuenta de PLENISAN, S.L. decidiendo asi (…) sobre la finalidad, contenido y uso del tratamiento (…) ex art. 3 LOPD en lo referente al concepto de responsable del tratamiento. En el Anexo de fecha 10/04/2015 obrante en el folio 121 y cuya finalidad es la de testimoniar el cambio de denominación de SISTEMAS MEDICOS PROFESIONALES, por PLENISAN, S.L. consta que (…) I.- Que, con fecha de 6 de mayo de 2013 se suscribió un entre las partes un contrato de prestación de servicios de datos de carácter personal, del cual este documento es Addenda, y que se encuentra vigente a día de hoy (…) lo que despeja cualquier duda acerca de la condición de responsable del tratamiento de PLENISAN, S.L. en relación con la actividad contratada con MEYDIS, S.L. MACRO SELECT PRINT, S.L. es responsable del fichero donde se encuentran los datos personales del denunciante, y cuya selección se realiza previa indicación por parte de PLENISAN, S.L en relación con los domicilios cercanos al lugar donde se va a realizar el evento comercial, que con suficiente antelación ha determinado esta última. Así ha quedado probado en la medida en que el evento en cuestión se realiza en fecha de 28/10/2014 y consta que la reserva se realizó por PLENISAN, S.L. en fecha de 30/09/2014. Por lo expuesto cabe concluir que PLENISAN, S.L. es responsable del tratamiento de acuerdo con el art. 46.2
  17. a)del RDLOPD (por su relación con MACRO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/24 SELECT PRINT) y 3
  18. d)de la LOPD. (Por su relación con MEYDIS, S.L.) Por su parte MACRO SELECT PRINT, S.L. es responsable del fichero de acuerdo con el art. 3
  19. d)de la LOPD. De acuerdo con lo dispuesto en el art. 43 de la LOPD que señala que: Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley, ambas entidades ostentan un estatus jurídico susceptible de generar responsabilidad por incumplimiento de la LOPD. IV.Sobre la presunción de inocencia. PLENISAN, S.L. manifiesta que existen elementos probatorios que muestran su falta de responsabilidad en los hechos y de cómo se desarrollan las campañas. Sin embargo tanto a PLENISAN, S.L. como a MACRO SELECT PRINT, S.L. han tenido sendas oportunidades de probar, con algo más que manifestaciones, una factura y un contrato estandarizado de los que no se deriva a qué campaña concreta se refiere, los hechos que aducen. Si bien MACRO SELETC PRINT, S.L., aportó una versión que coincidía, en principio, con lo alegado por PLENISAN, S.L., el Instructor del procedimiento mediante escrito de fecha 29/10/2015 obrante en los folios 112 a 116, requirió la subsanación y acreditación de los manifestado, sin que se hubiera podido notificar, por causas ajenas a la AEPD. Y frente a lo manifestado por PLENISAN, S.L. en sus alegaciones a la propuesta de resolución respecto de esta circunstancia, debe señalarse que no se le responsabiliza por que la AEPD no pueda localizar al representante de MACRO SELECT PRINT, S.L. sino que el Instructor realiza esa solicitud de aclaración a MACRO SELECT PRINT, S.L., pues en caso de darse las circunstancias como habían manifestado ambas entidades, podría haberlas acreditado la propia PLENISAN, S.L. cuando tuvo conocimiento de la notificación infructuosa o incluso en sus alegaciones formuladas a la propuesta de Resolución ( pues recuérdese que son elementos de los que debería disponer con facilidad PLENISAN, S.L. ) y nada ha hecho en ese sentido a pesar de que el resultado de lo requerido hubiera jugado en apoyo a sus alegaciones respecto de quién y cómo se realizan sus campañas de las que deriva el tratamiento de datos analizado. (…)nos recuerda la Sentencia del Tribunal Constitucional de 29 de septiembre de 1997 (STC 153/1997) que (…) es preciso recordar la doctrina de este Tribunal conforma a la cual el acusado, a diferencia del testigo, no solo no tiene la obligación de decir la verdad sino que puede callar total o parcialmente o incluso mentir ( STC 129/1996; en sentido similar STC 197/1995), en virtud de los derecho a no declarar contra si mismo y a no confesarse culpable, reconocidos en el art. 24.2 de la CE y que son garantías instrumentales del más amplio derecho de defensa (…) es por ello por lo que la declaración incriminatoria del coimputado carece de consistencia plena como prueba de cargo cuando siendo única…no resulta mínimamente corroborada por otras pruebas en contra del recurrente (…) En el mismo sentido, contradice la “versión” de cómo suceden las campañas publicitarias que dieron tanto MACRO SELECT PRINT, como PLENISAN, S.L. la prueba practicada respecto de la elección del lugar de celebración del acto y cuya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/24 trascendencia es esencial en el tratamiento de datos personales denunciado. Ya que es PLENISAN, S.L. y no MACRO SELECT PRINT, S.L. (Como ambos afirmaban) quien reserva el establecimiento y fija, por tanto, la localidad y localidades a las que es necesario remitir la carta de invitación que recoge los datos personales y que va a determinar someter a tratamiento los datos personales de los vecinos de una localidad o de otra. PLENISAN, S.L. guarda silencio en sus alegaciones formuladas a la Propuesta de Resolución, a este respecto, es decir, tanto MACRO como la PLENISAN, S.L. manifestaron que es aquella la que reserva el hotel y elige la localidad, sin embargo tras la prueba practicada resulta que es todo lo contrario, y nada intenta explicar PLENISAN, S.L. respecto de esa patente contradicción entre lo alegado y lo probado. En conclusión, es cuanto menos sorprendente que cuando PLENISAN, S.L. y MACRO SELECT PRINT, S.L. son conocedores de los trámites próximos que les corresponden en el procedimiento ( alegaciones y una prueba testifical) y por tanto con antelación y en su caso, asesoramiento legal en el ejercicio legítimo de su derecho de defensa, manifiestan una cosa, y sin embargo cuando se practica una Inspección sin previo aviso, o no se tiene conocimiento de la solicitud de subsanación de lo manifestado por una de ellas a preguntas de la otra ( folios 112 a 116), o bien se practica una testifical a un tercero no interesado en el procedimiento ( establecimiento Hotelero 190 a 224) el resultado es radicalmente opuesto: PLENISAN, S.L. selecciona el lugar ( localidad y hotel) y sobre esa elección comunica a MACRO SELECT PRINT, S.L. la extracción/creación de un fichero de esa localidad y colindantes. V.Sobre el elemento subjetivo en la comisión de la infracción. Dispone el art. 46.3 del RDLOPD lo siguiente: 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento Por su parte la Sentencia de la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/24 recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) PLENISAN, S.L. alega en su descargo que no concurre en su actuación el elemento subjetivo de la culpa o negligencia en la medida en que mediante el contrato obrante en el expediente y en concreto en la clausulas IV y V se ofrecen garantías de legalidad de la base de datos a utilizar todo ello de acuerdo con el art. 46.3 del RDLOPD que prevé que (…) En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.(…). PLENISAN, S.L., entiende que el contrato cumple con el precepto ya que las previsiones del mismo suponen la adopción de (…) las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento (…), sin embargo no puede entenderse suficiente dicha consideración ni menos aún excluir el elemento subjetivo de la culpa. Asimismo manifiesta que previamente a la contratación exige un muestreo de datos “legales” sobre los que va a recaer la acción publicitaria. En este sentido, debe señalarse que aun admitiendo dicho muestreo realizado en con carácter previo a la campaña objeto de análisis en este expediente ( cuyas dudas se explican a continuación), no puede darse la virtualidad que pretende PLENISAN, S.L. pues en los envíos a realizar consta el piso y la puerta del domicilio del potencial destinatario y como es sabido en lo aportado por PLENISAN, S.L. nada consta al respecto, por lo que siendo conocedora de tal circunstancia no puede entender adecuados dichos registros para sus acciones publicitarias, ni valorarlo como elemento de legalidad o adecuación a la LOPD, ni menos aún entenderlo como una de las garantías que a través del art. 46.3 del RDLOPD se pretende instaurar. Dicha aportación como requerimiento previo que hace PLENISAN, S.L. al proveedor de base de datos, plantea dudas respecto de su inexistencia con carácter previo a la contratación, pues dicha entidad en el procedimiento PS/536/2015 aporto respecto de otra provincia y otros datos, una copia de 50 registros manifestando que lo realizo con carácter previo a la acción publicitaria objeto de análisis en dicho expediente, comprobándose con posterioridad en la documentación obtenida en la Inspección realizada, que dicha petición se hizo en fecha 02/11/2015 y no con anterioridad a la fecha de 23/10/2014 como pretendía poner de manifiesto en el legítimo ejercicio de su derecho a la defensa. Sin que pueda obviarse que en el repertorio de abonados a servicios telefónicos no constan los datos personales del denunciante, tal como se comprobó mediante diligencia de inspección de fecha 10/03/2015 obrante en los folios 25 y siguientes. En conclusión, y aun admitiendo su creación con carácter previo a la acción publicitaria objeto de valoración en el presente expediente, no es parámetro de la diligencia prestada, pues los registros aportados no contienen piso y puerta y PLENISAN, S.L. conoce sobradamente que en sus acciones publicitarias es necesario la inclusión de esos extremos para que los titulares de los datos sean efectivamente notificados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/24 En cuanto a MACRO SELECT PRINT, S.L. no aporta al expediente elemento alguno que permita enervar el elemento subjetivo de la culpabilidad. VI.Sobre la conducta típica. Dispone el artículo 44.3.
  20. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” De acuerdo con lo dispuesto en el art. 6 de la LOPD, ni MACRO SELECT PRINT, S.L., ni PLENISAN, han acreditado que tenían el consentimiento del denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Acreditado el tratamiento de datos personales las entidades denunciadas no han presentado ninguna prueba que pueda evidenciar el origen licito de los datos del denunciante ( ni si quiera ha concretado cual es el origen de los mismos) y por tanto que contaban con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. MACRO SELECT PRINT S.L., tiene registrado en su fichero automatizado los datos del denunciante, que tras la determinación por parte de PLENISAN, S.L. de la localidad donde se realiza el evento comercial, da instrucciones a MACRO SELECT PRINT, S.L., para generar otro fichero sobre el que finalmente realizar las acciones publicitarias para lo que someten a tratamiento todos los datos en él contenidos, entre los que se encuentran los de la denunciante y cuyo consentimiento no ha podido acreditarse. MACRO SELECT PRINT, S.L. creo un fichero de datos personales de la localidad de Madrid, sobre otro del que es titular y por cuenta de PLENISAN, los sometió a tratamiento utilizando los datos concretándose en nombre y apellidos, dirección con piso y puerta, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/24 En el presente caso, respecto del tratamiento realizado por cuenta de PLENISAN y utilizando el fichero de MACRO SELECT PRINT, S.L., se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas al caso concreto. VII.Sobre la prueba practicada, principio de contradicción y valoración y finalidad de las pruebas. En el presente caso, se han practicado la totalidad de pruebas solicitadas por las entidades denunciadas, documental y testifical cuya finalidad era según PLENISAN, S.L., demostrar que los criterios de segmentación los realizo MSP, y que se adoptaron medidas tendentes a verificar la legalidad de las direcciones objeto de la acción publicitaria. Esos extremos han sido contradichos, por la prueba practicada consistente en la información aportada por el establecimiento hotelero, por la documentación extraída de en la Inspección realizada. En concreto, carecerían de virtualidad las alegaciones de PLENISAN, S.L. recogidas en los puntos III
  21. a)
  22. b)c y
  23. d)del Antecedente SEXTO de la presente resolución. Así como las manifestaciones de MACRO SELECT PRINT, S.L. en el mismo sentido. Asimismo se “repregunto” a MACRO SELECT PRINT, S.L. para que acreditara los extremos que manifestó en su escrito de contestación a la prueba testifical sin que fuera posible por causas ajenas a esta Agencia practicar la notificación. Ha resultado probado que PLENISAN, S.L. determinó con sus actuaciones los destinatarios de la acción publicitaria, y que MACRO SELECT PRINT, S.L. “materialmente” extrajo los registros de su base de datos para la creación de un fichero que fue objeto de la acción publicitaria. PLENISAN, S.L. manifiesta en su escrito de fecha de entrada en esta Agencia de 11/12/2015, en síntesis, que desconoce la finalidad por la que se solicita información respecto de otros eventos ajenos al expediente señalando que (…)se nos está sometiendo a un procedimiento inquisitorial general(…) para continuar que (…)se ha producido una extralimitación en las funciones del instructor(…). De acuerdo con las potestades que el ordenamiento jurídico confiere al órgano instructor, éste puede realizar cuantas considere necesarias para determinar los responsables de las infracciones, el acaecimiento de los hechos, y las circunstancias relativas a la culpabilidad y responsabilidad. En concreto en la LOPD y de acuerdo con lo dispuesto en su art. 45.4 y 5 LOPD, también se valoran circunstancias coetáneas y posteriores a la comisión de la infracción que pueden tener el efecto de degradación en la escala de gravedad o dentro de una gravedad, la fijación de la cuantiar de la sanción en un determinado tramo u otro. Por lo que la finalidad de la prueba solicitada tanto a NH HOTEL GROUP, S.L. (folios 182 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/24 224) como a PLENISAN, S.L. (folio 239) respecto de otras acciones publicitarias, es para establecer un parámetro de antijuricidad de la actuación de la entidad, para así adecuar con acierto la escala de gravedad de la posible infracción y la determinación de una cuantía adecuada al principio de proporcionalidad. En cuanto a los datos obrantes en el fichero y que han sido objeto de tratamiento, MACRO SELECT PRINT, S.L., no ha realizado alegación alguna tendente a probar que tenía el consentimiento de la denunciante para su tratamiento. VIII.Sobre la gravedad de la infracción, la culpabilidad y antijuridicidad de los hechos y la sanción a imponer. El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  24. a)El carácter continuado de la infracción.
  25. b)El volumen de los tratamientos efectuados.
  26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  27. d)El volumen de negocio o actividad del infractor.
  28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. f)El grado de intencionalidad.
  30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  34. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  36. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/24
  37. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  38. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. IX.- Determinación de la gravedad y cuantía de la sanción a imponer a MACRO SELECT PRINT, S.L. En relación con las infracciones cometidas por MACRO SELECT PRINT, S.L. no existen elementos que permitan aplicar lo dispuesto en el art. 45.5 de la LOPD, durante el procedimiento MACRO SELECT PRINT, S.L. ha ido mostrando una actitud esquiva respecto de las actuaciones de esta Agencia ya que fue avisado con suficiente antelación respecto de la Inspección programada en su sede para analizar sus ficheros, fue llamado telefónicamente con idéntica finalidad y aportó alegaciones a instancias de PLENISAN, S.L. que luego han sido contradichas por la prueba practicada. Por lo que teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se propone el importe de la sanción en la cuantía de 60.000 € por la infracción cometida, teniendo en cuenta los apartados c),
  39. d)
  40. e)y f). El apartado c), en cuanto a que el objeto de su actividad es la explotación de bases de datos para envíos publicitarios, es decir, su actividad está vinculada con el tratamiento de datos personales. El apartado
  41. d)en cuanto a su actividad, sirva la consideración anteriormente expuesta. El apartado e), respecto del beneficio económico obtenido como consecuencia de la “venta o alquiler” de sus bases de datos (en 5 meses del año 2014 facturo 53.287,10 euros, Folio 171) El apartado
  42. f)respecto del grado de intencionalidad, en la medida en que no puede serle ajena los mandatos de la LOPD y en concreto el principio del consentimiento para el tratamiento de los datos personales. El grado de intencionalidad hay que ponerlo en conexión con el elemento subjetivo de la culpabilidad en la medida que el infractor es conocedor de las obligaciones derivadas de la ley y a pesar de ello no adopta las cautelas necesarias para su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/24 X.- Determinación de la gravedad y cuantía de la sanción a imponer a PLENISAN, S.L. En relación con las infracciones cometidas por PLENISAN y en relación con lo establecido en el art. 45 de la LOPD no procede aplicar la degradación prevista en su apartado 5 y fijar el importe de la sanción propuesta, dentro de la escala relativa a las infracciones leves. PLENISAN, S.L. no solo tiene elementos suficientes para conocer o al menos dudar de que el fichero de MACRO SELECT PRINT, S.L. no cumple la legalidad (véanse las comunicaciones de los familiares de los fallecidos hace años que manifiestan tal circunstancia) sino que ha creado una apariencia de modelo de negocio sustentado en contratos y alegaciones dirigidas y presentadas por MACRO SELECT PRINT, S.L., cuya única finalidad es eludir el sometimiento al régimen sancionador de la LOPD y en definitiva su cumplimiento. Ha establecido un contrato tipo-estándar donde recoge una clausula “de salvaguarda” y otra de “garantía” para otorgar apariencia del esquema que diseña el art. 46.2
  43. b)del RDLOPD, cuando ha resultado acreditado que no es así, sino que se da la circunstancia del art. 46.2
  44. a)o a lo sumo del art. 46.2 c), pero en ningún caso la prevista en el apartado
  45. b)pues han existido sendas oportunidades de probar tal circunstancias y nada han aportado, al margen de unas declaraciones que no han podido ser corroboradas fehacientemente, sino todo lo contrario. Asimismo ha sido objeto de otras sanciones en otros procedimientos y ni en aquellos ni en este había comunicado la existencia de MEYDIS, S.L. en su “modelo de negocio”, sino todo lo contrario, manifestaba que lo que contractualmente hace MEYDIS, S.L. , lo hacía MACRO SELECT PRINT, S.L. resultando cuanto menos sorprendente que la tan citada solicitud de registros de la provincia de LEON que está siendo analizada en el PS/536/2014, es contestada por una cuenta de correo cuyo dominio pertenece a MEYDYS, S.L. ; asimismo se solicitó a PLENISAN, S.L., la identidad de personas de contacto de MACRO SELECT PRINT, S.L. y esta informo que se relacionan a través de dos personas B.B.B. y C.C.C., que tras la realización de una llamada y obtención de información en el Registro Mercantil Central y en una Red Social Profesional en internet, ha resultado que prestan servicios en MEYDIS, S.L. es decir, PLENISAN, S.L. se relaciona con MACRO SELECT PRINT, S.L. a través de MEYDIS, S.L. de lo que se deduce que ésta tiene un poder de control y disposición del fichero que afirman contractualmente que es de MACRO SELECT PRINT, S.L. y cuya actividad en relación con PLENISAN, S.L. (más allá del contrato aportado) no ha sido todavía aclarada a esta Agencia. PLENISAN, S.L. lejos de acreditar medidas tendentes a cumplir la LOPD o reconducir su modelo de negocio del que se derivan tratamiento de datos personales, sostiene una estructura de actores (contrata con MACRO SELECT PRINT, S.L. como responsable de un fichero sobre el que realiza selecciones puntuales MEYDIS, S.L.,) y documentación (contrato estándar) para eludir el régimen sancionador de la LOPD y continuar con su actividad en idénticos términos. Ni se acredita voluntad de cumplimiento de la norma ni menos aún de colaboración con la Agencia, ya que la actuación de MEYDIS, S.L. en su modelo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/24 negocio y respecto de la que es responsable del tratamiento y ésta encargada de tratamiento, ha sido ocultada por PLENISAN, S.L. durante al menos los procedimientos instruidos desde el año 2013, eludiendo así su consideración de responsable del tratamiento al margen de dicha consideración en relación con MACRO SELECT PRINT, S.L. PLENISAN, S.L. en sus alegaciones formuladas a la propuesta de resolución sostiene que desconoce la finalidad por la que la AEPD señala la ocultación torticera de su relación con MEYDIS, S.L., pues bien, no es cuestión baladí ya que se convierte en responsable del tratamiento respecto del servicio que esta le presta y le sitúa por tanto bajo el régimen sancionador de la LOPD al margen del intento de PLENISAN, S.L. de centrar el debate jurídico de su actuación únicamente de acuerdo con el art. 46.2
  46. b)RDLOPD. Asimismo en la documentación obtenida en la inspección realizada PLENISAN, S.L. es receptora de multitud de comunicaciones en las que los destinatarios de las acciones publicitarais o bien niegan su consentimiento para recibir publicidad, ante lo que solicitan la baja o bien manifiestan que los destinatarios de su publicidad han fallecido hace tiempo, todo ello haría pensar a cualquier empresa que el fichero sobre el que se hacen sus campañas puede no cumplir la legalidad por no estar debidamente actualizado incumpliendo principios como el de calidad del dato, o el del consentimiento y a pesar de ello PLENISAN, S.L. continua con su actividad utilizando el fichero en cuestión. Tampoco consta a este respecto comunicación alguna de PLENISAN, S.L. a MACRO SELECT PRINT, S.L. informando de tales extremos para adecuar el fichero generado, sino tan solo manifestaciones y explicaciones irrelevantes del por qué se dirigen los afectados a PLENISAN, S.L. en el sentido de que es por que consta el logo de su entidad, pero no acredita extremo alguno tendente a cumplir lo dispuesto en el art. 51.4 del RDLOPD que señala que: (…)Si el derecho de oposición se ejercitase ante una entidad que hubiera encomendado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho del afectado en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado. Por otra parte, existe tanto la reiteración como la reincidencia en la comisión de infracciones de la misma naturaleza. El art. 131.3
  47. c)LRJPAC establece que existe reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme. Además, dicho artículo señala como parámetro para graduar el importe de la sanción en relación con el principio de proporcionalidad, el grado de intencionalidad o reiteración. En el presente, habida cuenta de que la PLENISAN, S.L., ha sido sancionada anteriormente mediante Resoluciones R/02402/2014, R/02556/2015 y R/02678/2015 por lo que concurre el agravante tanto de la reiteración, como de la reincidencia. En este sentido así ha reconocido, entre otras, en la STSJ de Baleares de 11 de junio de 1999 (RJA 1999,1621): En efecto, en el marco del Derecho administrativo sancionador, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/24 reiteración se distingue de la reincidencia, únicamente en que aquella comprende a infracciones cometidas con una diferencia temporal superior a un año y es también independiente de que dichas infracciones participen o no de la naturaleza de la considerada, en la que se quieren hacer valer los efectos agravatorios”. Por su parte, en cuanto a la firmeza de las resoluciones que requiere el citado art. 131.1
  48. c)LRJPAC, la jurisprudencia del Tribunal Supremo, en Sentencia de 24 de octubre de 2000 (RJ 2000,9375) y de 11 de marzo de 2003 ( RJ 2003,2656) ha señalado que “ Por ello parece preferible la interpretación de que, para que pueda aplicarse la circunstancia de reincidencia para una calificación mas grave de la conducta sancionable o para la agravación de la sanción prevista en la norma sancionadora, solo será necesaria la firmeza en vía jurisdiccional del acto sancionador previo cuando explícitamente sea exigida por la norma, pero no cuando se exige genéricamente la firmeza de la resolución administrativa, como ocurre en el supuesto del art. 131.3
  49. c)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el que corresponde al caso enjuiciado en este proceso. En estos supuesto bastara, por ende, la firmeza en vía administrativa de la resolución sancionadora, determinante de la ejecutividad del acto decisorio”. En el presente caso las Resoluciones R/02556/2015 y R/02678/2015, citada son firmes debiendo predicarse en el presente procedimiento, la reiteración de la conducta, y la reincidencia en la comisión de infracciones de la misma naturaleza. En cuanto a la aplicación de los criterios recogidos en el art. 45 .4 de la LOPD, y en especial al grado de intencionalidad, su vinculación con el tratamiento de datos y el elemento subjetivo de la culpabilidad, ( apartados c),
  50. d)y
  51. f)debe señalarse que reiterada jurisprudencia nos dice que la diligencia exigible nos la da la profesionalidad del presunto infractor en relación a su vinculación con el tratamiento de datos y sometimiento a la norma sectorial, por lo que en el presente caso PLENISAN, S.L. no puede ser ajena a los mandatos de la LOPD, y probado esta que no solo no lo es, sino que formula alegaciones y crea documentación para intentar eludir el régimen sancionador. Asimismo en cuanto al volumen de negocio de la entidad, hay que señalar que en las actuaciones de Inspección realizadas se constatan los siguientes datos de facturación que dibujan el volumen de negocio de la entidad, y no debe obviarse que el modelo de negocio de PLENISAN, S.L. parte de la premisa del tratamiento de datos personales y en lo que aquí interesa su adecuación a la norma: En relación con el pago que realiza por el alquiler de locales para sus eventos consta que en el año 2014 a 2015 una cantidad de 64.099,32 euros. ( folio 208) En relación a su actividad con MACRO SELECT PRINT, S.L. consta una facturación durante el año 2014 de 53.287,10 euros (Folios 171) y durante el año 2015 (de enero a octubre) de 48.276,16 euros ( Folio 172) En relación a su actividad con MEYDIS, S.L. consta durante el ejercicio 2014 una facturación de 823.047, 34 euros (Folio 169) y durante el año 2015 hasta el 30/10/2015 de 902.059,97 euros (Folio 170). Por todo ello procede determinar la cuantía de sanción a PLENISAN S.L., en la cuantía de 60.000 euros que se estima adecuada al principio de proporcionalidad por las circunstancias expuestas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/24 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MACRO SELECT PRINT, S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  52. b)de la LOPD, una multa de 60.000 euros ( sesenta mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad PLENISAN, S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  53. b)de la LOPD, una multa de 60.000 euros ( sesenta mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a MACRO SELECT PRINT, S.L. PLENISAN, S.L. y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/24 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.