← España

PS-00464-2016

1/31 Procedimiento Nº PS/00464/2016 RESOLUCIÓN: R/01113/2017 En el procedimiento sancionador PS/00464/2016, instruido por la Agencia Española de Protección de Datos a la entidad MACRO SELECT PRINT S.L., MEYDIS S.L., y PLENISAN S.L., vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 02/11/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que manifiesta que ha recibido una carta publicitaria de PLENISAN, S.L., (en lo sucesivo PLENISAN o la denunciada) que evidencia que la empresa MACRO SELECT PRINT, S.L., (en adelante MSP o la denunciada) conoce y trata sus datos personales; que no ha consentido el tratamiento de sus datos por dicha entidad y que los datos tratados adolecen del mismo error que existe en la hoja del Padrón Municipal de Madrid relativa a su persona. La denunciante explica que su dirección correcta es calle (C/...1), “6ºC” pero que en el Ayuntamiento de Madrid, por error, figura calle (C/...1), “BLOQ.B 6ºC”, que es también la que aparece en la carta que ha recibido de MSP, cuya copia aporta con la denuncia. Añade que del texto de la carta recibida se infiere que la denunciada conoce su edad y su estado civil. La carta mencionada –en la que PLENISAN invita a la denunciante a una reunión “con intención de entregarle uno de nuestros mejores regalos”, a celebrarse el 15/10/2015 en el Hotel XXXX de Madrid- incluye en la parte superior izquierda el anagrama de PLENISAN y al pie del documento esta leyenda: “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Pueden ejercerse los derechos de acceso, rectificación, cancelación y oposición en el Apartado de Correos número ******1 Madrid”. En el sobre de envío del documento consta como remitente “ Plenisan, S.L., ******* Apartado de Correos ******2, ***CP.1 Madrid”. La denunciante aporta además copia del “Volante de Inscripción Padronal” del Ayuntamiento de Madrid, del “Padrón Municipal de Habitantes”, con sus datos, entre ellos el domicilio antes citado: calle (C/...1), BLOQ.B 6ºC. La fecha de alta de sus datos en el Padrón es 26/11/2012. SEGUNDO: A la vista de la denuncia, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron actuaciones tendentes al esclarecimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/31 de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS Del análisis de la documentación aportada por la denunciante se desprende lo siguiente: 1. La carta que aporta como recibida incluye en su pie una leyenda informativa indicando que los datos utilizados para la campaña provienen de MSP. En la cabecera de la carta figura “PLENISAN”, y en el sobre “PLENISAN, SL”. Debajo del nombre y apellidos de la denunciante consta como dirección de envío “(C/...1)-B, BLQ. B, 6ºC”. En la carta se hace referencia a que la promoción “es para parejas y personas viudas”, así como que “…si tiene alguna pareja amiga, mayor de 45 años, puede invitarla…” Se invita a un acto en el Hotel XXXX de Madrid, el jueves 15 de octubre de 2015. 2. La hoja informativa del padrón municipal donde consta en su dirección “(C/...1) B, PL 6 PT C”. Se ha solicitado al Hotel XXXX de Madrid información sobre la persona o entidad que contrató la sala para el evento de fecha 15 de octubre de 2015 al que alude la carta recibida por la denunciante, encontrándose que la sala fue contratada por PLENISAN SL (en adelante PLENISAN) con dirección en (C/...2), Valencia. Las facturas han sido emitidas a dicha entidad. En otras actuaciones llevadas a cabo por esta Agencia se ha girado visita de inspección a PLENISAN (I/00005/2015/I-01-PS/00435/2015) durante la investigación de envíos postales también con datos de los destinatarios provenientes de MSP, habiéndose declarado por parte de los representantes de la entidad la existencia del siguiente procedimiento para este tipo de envíos: - PLENISAN elige una localidad y contrata un hotel en la misma para la demostración comercial y captación de clientes. - Concertado el hotel, se comunica a MSP el lugar y fecha en que se realizará el evento. - MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS, SL (en adelante MEYDIS). MSP también diseña la creatividad publicitaria, que la envía por correo electrónico a PLENISAN para su conformidad previamente a su impresión. - MEYDIS realiza la impresión y ensobrado de la publicidad, así como su puesta en Correos. - Posteriormente Correos pasa factura a PLENISAN del envío realizado. Tras la mencionada inspección, en múltiples requerimientos de información posteriores realizados por esta Agencia, PLENISAN matiza lo manifestado durante la inspección, indicando: “Plenisan, S.L. no elige una localidad segmentando la geografía española, puesto que Plenisan, S.L. realiza acciones de venta en todo el territorio nacional. Cuando en el acta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/31 se dice que “la entidad elige una localidad” a lo que se refiere es a que elige una acción de ventas entre las propuestas por Macro Select Print (puesto que es esta la que prepara las acciones para Plenisan, tal y como figura en el contrato, las facturas y resto de documentos aportados ya a la AEPD) dependiendo de la lejanía, las fechas (no es lo mismo una acción la víspera de Nochebuena, cerca o lejos del domicilio del comercial, etc.), disponibilidad del hotel, disponibilidad de los comerciales, presupuesto del que se disponga (una acción en una gran ciudad requiere un presupuesto diferente de otra en una pequeña localidad), etc. Por eso, más que de elegir” una localidad, lo que hacemos es “descartar” las que no son idóneas de la propuesta de Macro Select Print, por determinadas circunstancias que hacen imposible hacer allí la acción comercial. Una vez conocida por Plenisan la localidad en la que se realizará la campaña, contrata al Hotel (entre los disponibles en esa localidad) y le confirma a Macro Select Print (habitualmente, por vía telefónica) el lugar y fecha del evento, pues podría darse el caso de no haber disponibilidad del hotel o cualquier otro inconveniente (fiestas, huelgas, coincidencia con empresas de la competencia, etc.). En cualquier caso, reiteramos, es Macro Select Print quien determina y prepara las acciones comerciales para Plenisan; como figura en el contrato y en los escritos que hemos remitido a la AEPD. En este sentido y respondiendo al requerimiento que nos hace la AEPD, tenemos que decir que, cuando el Acta de la inspección dice que “MSP también diseña la creatividad publicitaria”, se refiere a la creación de la acción comercial en concreto; es decir, si es conveniente o no que la carta vaya personalizada, si es mejor imprimir por las dos caras o sólo por una, si se debe adjuntar a la carta algún regalo promocional, si es conveniente o no adjuntar a la carta una hoja de respuesta, incluir en ella un teléfono de confirmación de asistencia, etc. Pero el mecanografiado de la carta y su arte definitivo lo hace Plenisan, en base a una serie de modelos de trabajo predefinidos que se utilizan para ello y que fueron facilitados en su momento por nosotros a la empresa Meydis, S.L., encargada de la impresión y envío de las cartas. Así, en cada campaña de marketing, una vez determinada la carta modelo que se va a utilizar en ella, Plenisan lo comunica a Meydis, S.L., que es quien se encarga de su impresión y ensobrado, para enviarla a sus destinatarios.” Respecto de la creatividad utilizada para las campañas publicitarias, manifiesta la entidad: “La solicitud para que se procediese a la impresión y envío de las cartas de esta campaña se la enviamos a la empresa Meydis, S.L. mediante correo electrónico de 5 de febrero de 2015. Dicho correo incluía un archivo adjunto con la orden de impresión de las cartas. …” Se ha intentado la realización de inspecciones a MSP en las direcciones que constan de la entidad, no habiendo sido posible después de los intentos de localización que constan en la diligencia levantada por los inspectores con fecha 28/10/2015. No obstante, se ha recibido en esta Agencia, con fecha 04/11/2015, un escrito emitido por un representante de MSP en el que se indica: “Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/31 fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.” Como consta en las actuaciones de referencia E/4041/2015 se solicitó al administrador de MSP que informara de la dirección efectiva de administración y gestión de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: - Que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. - Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. - Han aportado copia del contrato y facturas de servicios profesionales prestados a PLENISAN en estas ocasiones anteriores. Según consta en las actuaciones de referencia E/6878/2015, solicitada información al BANCO BILBAO VIZCAYA ARGENTARIA, SA respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos de PLENISAN a MSP, se ha podido comprobar que entre el 10/9/2015 y el 2/2/2015 se han realizado un total de 20 accesos desde la dirección IP ***IP.1, que está asignada a MEYDIS. Por otro lado la Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda ha informado en el marco del procedimiento PS/107/2016 que el certificado digital a nombre de MSP fue solicitado y descargado desde la misma dirección IP ***IP.1. Se ha podido comprobar que en la URL http://es.slideshare.net............ aparece una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/31 presentación publicitaria de MEYDIS en la que se anuncia que la entidad dispone de más de 12.000.000 de hogares españoles, con los siguientes datos: - persona de contacto (titular del teléfono), - dirección postal completa, - nivel socioeconómico de la unidad familiar, - edad del titular del teléfono, - nivel cultural del titular del teléfono. En el marco del expediente de actuaciones previas de inspección de referencia E/00285/2015 se solicitó información a PLENISAN, quien manifestó: “Desconocemos los parámetros marcados por la entidad emisora de la publicidad para la selección del público objetivo del envío, puesto que dichos criterios son fijados unilateralmente por la tercera empresa a la que, en este caso, encargamos que llevara a cabo las campañas publicitarias de nuestros productos, según figura en el referido contrato. Las medidas adoptadas por nosotros para asegurarnos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas IV y V del contrato que adjuntamos a este escrito, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre de 2011.” Aporta copia del contrato fechado el 16/7/2014, figurando en las clausulas citadas: “IV.- LIST BROKER se compromete al cumplimiento de la Ley Orgánica de Protección de Datos en las campañas que realice para CLIENTE y manifiesta especialmente que no se utilizarán datos de personas inscritas en las Listas Robinson de ADIGITAL y que los datos estarán convenientemente actualizados. V.- LIST BROKER ofrece absoluta garantía de que los datos que se utilizarán se han obtenido exclusivamente de fuentes accesibles al público que estaban vigentes en el momento del tratamiento de los datos, conforme a lo establecido en la Ley de Protección de Datos. En caso de que no procedan de dichas fuentes, dichos datos habrán sido obtenidos con consentimiento de los afectados para e1 envío de comunicaciones comerciales de los productos o servicios de CLIENTE. Las partes están conformes en que estas manifestaciones y garantías ofrecidas por LIST BROKER son las determinantes de que CLIENTE realice las campañas de marketing utilizando las bases de datos del LIST BROKER. En caso de que, en algún momento, esas garantías dejasen de ser ciertas, el contrato se resolverá de pleno derecho. A modo de comprobación, CLIENTE podrá exigir a LIST BROKER que, antes de determinada campaña, le facilite un muestreo aleatorio de los datos a utilizar en ella, para que CLIENTE pueda verificar que figuran en las fuentes accesibles al público vigentes.” Donde LIST BROKER se refiere a MSP. Aportaban copia de una factura emitida en fecha 31/10/2014 por los servicios prestados por MSP durante el mes de octubre de 2014. En el marco de las presentes actuaciones de investigación se ha solicitado a MEYDIS copia de documentación acreditativa de la puesta a disposición de MEYDIS por parte de MSP del fichero conteniendo datos personales de los destinatarios de la campaña, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/31 concreto de la fecha, a lo que los representantes de la entidad responden que MSP informaba de que un fichero estaba disponible y para confeccionar la impresión de la publicidad, y que cuando recibían una orden de trabajo de PLENISAN accedían al FTP en el que MSP colocaba los ficheros y se encontraban el que debía utilizarse. Manifiestan que como ya han indicado a la Agencia en ocasiones anteriores, ya no conservan en sus sistemas los registros de actividad. Sí aportan copia de los correos electrónicos intercambiados con PLENISAN para el trabajo en concreto:  correo de 21/09/2015 por el PLENISAN ordenaba a MEYDIS la impresión de la publicidad, con las condiciones : o modelo de carta “robot limpiasuelos” o Lugar convocatoria “Madrid” o fecha convocatoria “jueves 15 octubre 2015” o fecha deposito “martes 06 octubre 2015”  correo de 22/09/2015 enviado por MEYDIS a PLENISAN con la carta publicitaria anexa para su conformidad.  correo de 29/09/2015 enviado por MEYDIS a PLENISAN con la carta personalizada, para su conformidad.  correo de 30/09/2015 enviado por PLENISAN a MEYDIS dando conformidad. También se ha requerido a MEYDIS que aporte copia de las facturas emitidas PLENISAN y MSP por los servicios prestados. A este respecto han aportado copia de la factura emitida a PLENISAN, de fecha 31/10/2015, y del listado de trabajos del mes de octubre, remarcando la línea correspondiente al envío denunciado. Por otro lado han manifestado que no se emitió factura a MSP por los servicios del mes de octubre de 2015 al tener conocimiento de que la empresa iba a cerrar y que la factura sería de difícil cobro. Se incorporan a las presentes actuaciones de inspección los contratos celebrados PLENISAN y MSP, entre MSP y MEYDIS, y entre PLENISAN y MEYDIS que se encuentran en el E/225/2013. Se incorpora así mismo, la prueba testifical practicada a L.P.C. que obra en el procedimiento sancionador PS/128/2016, así como el resultado de todas las pruebas practicadas en dicho PS.>> TERCERO: Con fecha 28/10/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MACRO SELECT PRINT S.L., MEYDIS S.L., y PLENISAN S.L., como responsables cada una de ellas de una presunta infracción del artículo 6.1, en relación con el 30.1, de la LOPD, tipificada como infracción grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica. En el punto 3 de la parte dispositiva del Acuerdo de Inicio del expediente sancionador, la Directora de la AEPD acordó incorporar a éste, a efectos probatorios, la denuncia interpuesta por D.ª A.A.A. y la documentación anexa a ella, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones, los documentos incorporados al expediente de investigación así como el informe de actuaciones previas de Inspección; documentos todos ellos que integran el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/31 expediente E/08040/2015. CUARTO: De conformidad con el artículo 73.1 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP) el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. En relación a la notificación del Acuerdo de Inicio del expediente PS/464/2016 hemos de indicar lo siguiente: - Por lo que respecta a PLENISAN, S.L., existieron varios intentos de notificación tanto a través de la empresa ENVIALIA como del Servicio de Correos y Telégrafos y finalmente se acudió a la publicación de edictos:
  2. a)En el albarán remitido por ENVIALIA se documentan dos intentos de notificación realizados el día 02/11/2016 a las 12:17:59 horas (por el empleado “***NOMBRE.1”) y a las y a las 15:30.44. (por el empleado ***NOMBRE.2)
  3. b)El Servicio de Correos y Telégrafos ha expedido certificación en la que detalla dos intentos de notificación en las siguientes fechas: El primero el 02/11/2016 a las 12.10 horas, por el empleado ***NÚM.3, con el resultado “ausente” y el segundo el 03/11/2016 a las 17:50 horas, por el empleado ***NÚM.4, con resultado “ausente” y la indicación de que dejan aviso en el buzón. La carta fue devuelta a la AEPD y en el sobre del envío se estamparon un sello con la indicación “Correos Manises” y la fecha 12/11/2016 y otro que dice “Caducado”.
  4. c)En fecha 29/11/2016 se publicó en el BOE un anuncio de notificación de fecha 24/11/2016 relativo al Acuerdo de Inicio, ante la imposibilidad de notificarlo en domicilio. - Por lo que respecta a MEYDIS, S.L.:
  5. a)A través de la empresa MRW se efectuaron dos intentos de notificación: El primero el 31/10/2016 a las 12:07 horas, por el mensajero “**1”. En el albarán de entrega consta de forma manuscrita “Dep. Dirección Ausente. Recepción no acepta el envío”. El segundo el 02/11/2016 a las 12:55 horas, por el mensajero “**2”. En el albarán de entrega consta de forma manuscrita “No está la persona y no lo recogen” (se refiere a la persona de B.B.B., Administrador de MEYDIS, S.L.,)
  6. b)El Servicio de Correos y Telégrafos ha expedido certificación en la que detalla que el envío resultó entregado el 07/11/2016 a las 11.53 horas siendo recogido por C.C.C.. - Por lo que respecta a MACRO SELECT PRINT, S.L.:
  7. a)A través de la empresa MRW se intentó la notificación en fecha 31/10/2016 a las 11.20 horas, por el mensajero número “**3”. En el albarán de entrega figura manuscrita esta indicación: “No existe la empresa en dicha dirección”.
  8. b)El Servicio de Correos y Telégrafos ha expedido certificación en la que detalla que el envío resultó entregado el 17/11/2016 a D.D.D.. QUINTO: Con fecha 07/11/2016 tuvo entrada en la sede electrónica de la AEPD un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/31 email remitido por B.B.B., en representación de MEYDIS, en el que solicita, en aplicación del artículo 32 de la LPCAP, una ampliación del plazo para presentar alegaciones. Mediante escrito firmado por la Instructora del expediente de fecha 11/11/2016 se acordó ampliar por el máximo permitido legalmente el plazo inicialmente concedido para alegar. También con fecha 07/11/2016 tuvo entrada en la sede electrónica de la AEPD otro email remitido por el representante de MEYDIS en el que solicita la copia íntegra del expediente PS/464/2016 al amparo del artículo 53.1.a de la LPACAP. Este documento quedó traspapelado con el anterior email, motivo por el que esa solicitud no fue atendida en la fecha en la que se respondió ampliando el plazo de alegaciones y no se le dio curso hasta que se tuvo conocimiento de su existencia. SEXTO: Una vez cumplido sobradamente el plazo concedido para hacer alegaciones al Acuerdo de Inicio ninguna de las entidades denunciadas –PLENISAN, MEYDIS y MACRO SELECT PRINT- las habían presentado. Por ello, al amparo de lo dispuesto en el artículo 64.2.
  9. f)de la LPACAP el Acuerdo de Inicio del expediente sancionador PS/464/2016 ha de considerarse Propuesta de Resolución. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: HECHOS PROBADOS PRIMERO: Con fecha 02/11/2016 D.ª A.A.A. presentó ante la AEPD un escrito en el que manifestó: “…la empresa Macro Select Print, S.L., tiene información sobre mis datos personales que proporcioné al Ayuntamiento de Madrid para hacer el Padrón Municipal. Mi dirección correcta es calle (C/...1),6ºC, pero en el Ayuntamiento de Madrid por error aparece calle (C/...1), BLQ.B 6ºC. Además de la dirección errónea que aparece en la carta, esta empresa también sabe mi edad y mi estado civil por lo que temo que están traficando con mis datos personales” SEGUNDO: Obra en el expediente, aportada por la denunciante, una copia de la carta recibida de PLENISAN, dirigida a su nombre y al domicilio de calle (C/...1), BLQ.B 6ºC. Aporta también una copia del sobre de ventanilla que lleva impreso, como remitente, “PLENISAN, S.L. ******* Apartado de Correos ******2, ***CP.1 Madrid”. La carta dirigida a la denunciante incluye en la esquina superior izquierda el logotipo de PLENISAN y en la derecha sus datos personales y la referencia “SM********************” (el subrayado es de la AEPD) En ella le invitan a acudir a una reunión a celebrar el jueves 15/10/2015 en el Hotel XXXX en la que será obsequiada con un robot limpia suelos. En la carta se especifica que la “promoción es para parejas y personas viudas” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/31 TERCERO: La denunciante ha aportado una copia del “Volante de Inscripción Padronal” por cambio de domicilio del Padrón Municipal de Habitantes, en el que consta el alta, con fecha 26/11/2012, en la dirección antes transcrita: calle (C/...1), BLQ.B 6ºC. CUARTO: Al pie de la carta descrita en el apartado anterior se incluye la siguiente leyenda: “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Pueden ejercer los derechos de acceso, rectificación, cancelación y oposición en el Apartado de Correos ******1 Madrid”. QUINTO: En el marco de las actuaciones de investigación efectuadas en el E/2253/2015, que fueron incorporadas al expediente de investigación E/08040/2015 -precedente del expediente sancionador que nos ocupa- mediante Diligencia del Inspector de datos de fecha 06/05/2016, se solicitó a la Sociedad Estatal Correos y Telégrafos, S.A., (Correos) información relativa al apartado de correos ******1 anteriormente citado. Correos comunicó a la AEPD que MSP, mediante contrato de 22/06/2014, hizo una suscripción anual de este apartado de correos. Añadió que el domicilio que MSP incluyó en el contrato era (C/...3) Madrid y como teléfono de contacto el número de móvil ***TEL.1. Aportó copia de la escritura de constitución de la sociedad que le facilitó MSP, de fecha 12/06/2014, en la que D.D.D. figura como socio único y administrador, así como la copia de la autorización otorgada a favor de E.E.E. y F.F.F. para la recogida de los documentos que llegaran a ese apartado de correos. SEXTO: En el marco del expedientes PS/47/2016, en fecha 04/02/2016, E.E.E. se personó en la AEPD en nombre de MEYDIS para tomar vista del expediente y obtener copias de él. SÉPTIMO: Del Acta levantada por la Inspección de Datos de la AEPD con ocasión de la inspección efectuada el 03/11/2015 en la sede de PLENISAN -en el marco del expediente de investigación E/00005/2015/I-01, que dio lugar al PS/00435/2015, documentos incorporados a las actuaciones del E/08040/2015 mediante Diligencia del Inspector de Datos de fecha 06/05/2016- resulta lo siguiente: a. Solicitada la documentación acreditativa de la “oferta comercial” recibida de MSP en virtud de la cual PLENISAN había decidido contratar con esa entidad, los representantes manifestaron que tal asunto lo llevó un socio que no estaba presente ni era posible contactar con él. b. Respecto al desenvolvimiento de la relación con MSP los representantes de PLENISAN manifestaron lo siguiente: -Que ella elige la localidad y contrata un hotel donde se realizará la demostración comercial y la captación de los clientes. -Que una vez concertado el hotel se comunica a MSP el lugar y fecha del evento, comunicación que puede ser telefónica o a través de email -Que MSP realiza la selección de personas a convocar, generando un fichero que envía a MEYDIS. Que MSP diseña también la creatividad publicitaria. -Que MEYDIS realiza la impresión y ensobrado de la publicidad así como la puesta en Correos. -Que Correos pasa a PLENISAN la factura del envío realizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/31 -Que los correos electrónicos intercambiados se borran después de cada campaña. c. Se accede a los sistemas de información de PLENISAN y se obtiene (y se imprime) un correo electrónico de PLENISAN a MSP en el que solicita una muestra de 50 registros. Se obtiene copia de la respuesta a esa solicitud que se le remite desde la cuenta ....@meydis.com d. Solicitada información sobre la vía de contacto con MSP afirman los representantes de PLENISAN que se comunican a través de dos personas: G.G.G. y B.B.B. a través del número ***TEL.2 OCTAVO: En Diligencia de fecha 04/11/2015 levantada en el curso del expediente de investigación E/ I/00005/2015,( que quedó incorporada a las Actuaciones del E/08040/2015, mediante Diligencia) los Inspectores actuantes detallan la conversación mantenida a través del número ***TEL.2 con G.G.G., a quien los representantes de PLENISAN identificaron como uno de los contactos con MSP. La interlocutora declara que no trabaja ni ha trabajado en MSP; que la actividad de su empresa consiste en la impresión y ensobrado de publicidad postal; que su empresa es MEYDIS y que PLENISAN sí trabaja con su empresa. NOVENO: La dirección del Hotel XXXX ha aportado copia de los emails intercambiados con PLENISAN (....@plenisan.com ) en fecha 06/10/2015 en los que solicita confirmación de la reserva de una sala para los días 13, 14 y 15/10/2015. DÉCIMO: La dirección del Hotel XXXX aporta copia de la factura emitida a nombre de PLENISAN, con domicilio en (C/...2), Valencia, por un importe de 750 euros. Aporta también copia del resguardo bancario de la transferencia ordenada por PLENISAN a su nombre el 07/10/2015. UNDÉCIMO: En el Informe de Actuaciones de Investigación del que trae causa este expediente sancionador el Inspector actuante recuerda que MSP, en respuesta a múltiples requerimientos de información realizados en diversos expedientes sancionadores tramitados en esta Agencia, manifestó que los datos para las campañas fueron obtenidos de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. El Informe añade que en ninguno de los expedientes seguidos contra MSP esta entidad ha llegado a aportar una prueba acreditativa de lo manifestado y que, según la entidad, los parámetros que sirvieron para identificar a los destinatarios de cada campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. DUODÉCIMO: En el curso de las actuaciones de investigación practicadas en el expediente de investigación E/8040/2015, del que trae causa el procedimiento sancionador PS/464/2016 que nos ocupa, se solicitó a MEYDIS que, en relación a la campaña publicitaria identificada con el código SM***** - a tal fin se le remitió una copia de la carta de invitación al evento del Hotel Ágora que la denunciante recibió de PLENISAN- aportara la documentación acreditativa de la fecha en la que MSP puso a su disposición el fichero que contenía los datos personales utilizados para la confección de la impresión publicitaria. Se solicitó asimismo copia de los correos intercambiados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/31 para la ejecución del trabajo y de las facturas emitidas a MSP y a PLENISAN. MEYDIS respondió a través de un escrito firmado por B.B.B., Consejero Delegado de la sociedad, que “MSP informaba de que un fichero estaba disponible y para confeccionar la impresión de la publicidad, y que cuando recibían una orden de trabajo de PLENISAN accedían al FTP en el que MSP colocaba los ficheros y se encontraban el que debía utilizarse. Manifiestan que como ya han indicado a la Agencia en ocasiones anteriores, ya no conservan en sus sistemas los registros de actividad.” Esta entidad no aportó ningún documento que hiciera prueba de sus declaraciones. DECIMOTERCERO: En el Informe de Actuaciones previas recogido en el PS/128/2016 – expediente que fue incorporado al PS 464/2016 que nos ocupa por acuerdo del Inspector actuante en el Informe de Actuaciones del E/08040/2015- se hacen las siguiente consideraciones acerca de cómo accede MEYDIS a los datos de los ficheros de MSP: “Manifiestan los representantes de la entidad que el servicio de informática accede a un servicio FTP en el que MSP deposita los ficheros que contienen los datos personales para cada campaña publicitaria. Tras realizar la impresión, los ficheros ubicados en dicho FTP son borrados, en cumplimiento de las condiciones contractuales. Los inspectores de la Agencia solicitan al representante de MEYDIS S.L. que les permita el acceso los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Solicitado un acceso al servicio FTP del cual obtienen los ficheros proporcionados por MSP para la elaboración de las campañas y tras realizar un intento de acceso al servicio, se comprueba que no existen ficheros alojados en el mismo. Se comprueba que la dirección del servidor es ***IP.2. Realizada la búsqueda de dicha IP en el servicio WHOIS se comprueba que está asignada a un prestador de servicio ubicado en EEUU. Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es menor de 1 milisegundo. Los representantes de la entidad manifiestan que dicho servidor pertenece a MEYDIS, que proporciona un FTP a algunos clientes para que puedan enviar los ficheros de ejecución de las campañas. Solicitado el acceso al directorio real al que se asocia el servicio FTP del usuario MACRO, se comprueba que dicho directorio está vacío. Solicitado el acceso al registro de actividad del servicio FTP se comprueba que únicamente se guarda registro de los accesos de mismo día de la inspección. Informa un miembro de sistemas que esto es debido a que acaban de instalar un antivirus y que se ha estropeado la configuración del sistema perdiéndose los datos de los registros de acceso. Aclaración respecto de los tipos direcciones IP’s y sus usos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/31 Las direcciones IP pueden clasificarse según su accesibilidad en públicas o privadas. Las direcciones IP públicas son gestionadas por organizaciones internacionales que, a través de agentes, las asignan a distintos operadores, prestadores de servicios de acceso a Internet y organizaciones. Estas direcciones sirven para identificar unívocamente un dispositivo en Internet y su asignación, estática o dinámica, la decide el operador, prestador de acceso u organización que la tiene asignada. Las direcciones IP privadas son un subconjunto del rango total de direcciones IP que pueden ser utilizadas dentro de las redes internas (Intranet) de cualquier hogar, empresa u organización. Dichas direcciones son únicas dentro de la red interna, y así identifican a un dispositivo dentro de la red, pero pueden repetirse a través de distintas organizaciones. La utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna. En el caso de las presentes actuaciones, la dirección IP ***IP.2 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica, pero a través de la dirección ***IP.2, el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde Internet. Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.2, no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada. Por tanto, a través de la dirección IP ***IP.2 únicamente se puede tener acceso desde la red interna de MEYDIS sin que hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP sería únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS.” DECIMOCUARTO: En respuesta al requerimiento hecho a MEYDIS para que aportara una copia de las facturas que emitió a PLENISAN y a MSP por los servicios que condujeron a dicha impresión, la requerida facilitó sólo la copia de la factura emitida a PLENISAN pero, sobre la de MSP, declaró: “no se emitió factura a MSP por los servicios del mes de octubre de 2015, dado que tuvo noticia de que la empresa iba a cerrar y la factura sería de difícil cobro”. DECIMOQUINTO: Como consta en la documentación incorporada al presente expediente sancionador, la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda informó a la AEPD que el certificado digital que había expedido a nombre de MSP había sido solicitado y descargado desde la dirección IP ***IP.1. Dicha IP está asignada a MEYDIS. DECIMOSEXTO: Como consta en la documentación incorporada al presente expediente sancionador, el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. informó a la AEPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/31 respecto de los accesos realizados mediante banca electrónica a la cuenta en la que están domiciliados los pagos que PLENISAN hizo a MSP, que se había comprobado que entre el 10/09/2015 y el 02/02/ 2016 se efectuaron un total de 20 accesos desde la dirección IP ***IP.1 que como hemos indicado está asignada a MEYDIS. DECIMOSÉPTIMO: En Diligencia de fecha 04/07/2016 del Inspector actuante en el E/08040/2015, del que procede el presente expediente PS /464/2016, se hace constar que se obtiene de internet una impresión de pantalla de “SlidesShare” en la que el Grupo Meydis publicita entre sus “servicios” “Bases de datos” y dice que posee registrados más de 12.000.000 de hogares españoles todos ellos con los siguientes campos: -Personas de contacto (Titular del teléfono); -Dirección postal completa; -Nivel socioeconómico de la unidad familiar; -Edad del titular del teléfono: -Nivel cultural del titular del teléfono. DECIMOCTAVO: En la Diligencia de 28/10/2015 levantada por los Inspectores actuantes en el marco del expediente de investigación I/000005/2015 –Diligencia que ha sido incorporada a las Actuaciones Previas del E/08040/2015 mediante Diligencia del Inspector de Datos de 06/05/2016, se hace constar que se personaron en la (C/...3), de Madrid y verificaron que en el buzón correspondiente a la vivienda (del que obtuvieron una foto que quedó incorporada al expediente) figura el nombre de D.D.D., administrador de MSP pero que, pese a ser el domicilio de esa entidad, no hay referencia a ella en el buzón. En la Diligencia se deja constancia de que tampoco en el exterior del edificio existe indicación alguna que haga pensar que esa empresa tiene su sede allí. DECIMONOVENO: De la consulta efectuada por el Inspector actuante en fecha 20/01/2016 al Registro Mercantil Central resulta que el domicilio social de MACRO SELECT PRINT, S.L., es (C/...3), Madrid. VIGÉSIMO: D.ª H.H.H., antigua empleada de un cliente de MEYDIS, en su declaración testifical efectuada el 15/12/2015 y el 29/05/2016 -declaraciones que obran en el expediente PS 128/2016 y que fueron incorporadas a las Actuaciones de Investigación del E/08040/2015, que preceden a este expediente sancionador, por Diligencia del Inspector de Datos- manifestó que MSP era una entidad meramente formal; que nunca trató con personal de esa entidad; que el esquema de negocio de acciones de marketing postal nominativo desarrollado por estas empresas respondía a la determinación de las características de los destinatarios por la empresa cliente para que el proveedor de la base de datos generara un fichero de destinatarios de esa concreta acción comercial. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36, ambos de la LOPD. II La Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/31 Públicas (en adelante, LPACAP) en su artículo 64, bajo la rúbrica “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora” establece: “(…)2. El acuerdo de inicio deberá contener al menos: (…)
  10. f)(…) indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuanto contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD) En fecha 28/10/2016 la Directora de la AEPD acordó la apertura de un expediente sancionador contra MSP, MEYDIS y PLENISAN en el que se responsabilizaba a cada una de las tres entidades mencionadas de una presunta infracción del artículo 6.1 LOPD, en relación con el artículo 30.1 de esa norma. El acuerdo de inicio precisaba que la sanción que podría corresponder a cada una de las infractoras, sin perjuicio del resultado de la instrucción, era, a tenor del artículo 45.2 LOPD, de 60.000 euros. Los Fundamentos de Derecho del acuerdo de inicio incluían una sucinta mención a los hechos relevantes (Fundamento Segundo) y a las circunstancias del artículo 45.4 LOPD que concurrían y permitían, en principio, fijar la sanción en 60.000 euros (Fundamento Tercero). La documentación que obra en este expediente -nos remitimos a esos efectos al Antecedente cuarto de esta resolución- acredita que el acuerdo de inicio del PS/464/2016 fue notificado a MSP, MEYDIS y PLENISAN y que ninguna de estas entidades ha presentado alegaciones. En consecuencia, habida cuenta de que el plazo de diez días fijado en la LPACAP para hacer alegaciones al acuerdo de inicio del expediente sancionador se cumplió sin que las entidades imputadas las hubieran presentado y, puesto que dicho acuerdo contenía –tal y como exige el artículo 64.2.
  11. f)de la LPACAP- “un pronunciamiento preciso acerca de la responsabilidad imputada”, hemos de concluir que, en el asunto que nos ocupa, el referido acuerdo de inicio se considera propuesta de resolución, de manera que el instructor del expediente lo eleva sin más trámites al órgano competente para resolver (ex artículo 88.7 LPACAP). III Al hilo de lo anterior es necesario hacer mención a las notificaciones realizadas por la AEDP a MEYDIS, MSP y PLENISAN del acuerdo de inicio del presente expediente sancionador, notificaciones que se detallan en el Antecedente cuarto de esta resolución al que nos remitimos. Respecto a PLENISAN, está acreditado documentalmente que el día 02/11/2016, a diferentes horas, se hicieron dos intentos de notificación por la empresa ENVIALIA. También se realizó un intento de notificación por Correos el día 02/11/2016 con el resultado “ausente”, intento que fue reiterado al día siguiente con el mismo resultado. Finalmente, ante la imposibilidad de notificar el acuerdo en el domicilio, en fecha 29/11/2016 se publicó en el BOE un anuncio de notificación de 24/11/2016 relativo al Acuerdo de Inicio del PS/464/2016. En cuanto a MEYDIS están acreditados documentalmente los intentos de notificación efectuados por MRW en fechas 31/10/2016 y 02/11/2016 y la notificación en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/31 fecha 07/11/2016, a las 11:53 horas, por Correos y Telégrafos, siendo recogido por C.C.C.. Por lo que atañe a MSP consta acreditado un intento de notificación de la empresa MRW realizado el día 31/10/2016, que resultó infructuoso, habiendo hecho constar el empleado (mensajero número 10) que “No existe la empresa en dicha dirección”. La notificación efectuada a MSP antes referida ha de ser valorada a la luz de los siguientes hechos declarados probados: El Registro Mercantil Central, según el resultado de la consulta del 20/01/2016, revela que esa dirección se corresponde con el domicilio social de la entidad. Añadir a lo anterior que mediante diligencia de 28/10/2015, levantada en el expediente de investigación I/000005/2015, los inspectores de la AEPD comprobaron que en el buzón de esa vivienda figuraba únicamente el nombre de D.D.D., administrador de MSP, pero que no existía en el buzón ninguna referencia a la sociedad y que en el exterior del edificio no había tampoco indicación alguna que permitiera pensar que la empresa tenía allí su sede. (Hechos probados decimonoveno y decimoctavo). El acuerdo de inicio resulta finalmente notificado en fecha 17/11/2016 – como lo acredita la certificación expedida por Correos- recepcionado por D.D.D.. Respecto a la notificación del acuerdo de inicio a PLENISAN y MEYDIS se ha de indicar que la Audiencia Nacional, Sala de lo contencioso administrativo, considera que “a los efectos señalados en el artículo 58.4” (de la Ley 30/1992, vigente en el momento en el que se practica la notificación) el intento de notificación, debidamente acreditado, de la resolución sancionadora en el domicilio de la persona destinataria antes del transcurso del plazo de caducidad es válido. La SAN de 13/05/2015 (Rec. 291/2013), Fundamento de Derecho Quinto, reconoce cumplida la notificación por el intento de una empresa de mensajería (en ese caso, MRW), por cuanto en los resguardos de la empresa de servicios postales había elementos suficientes para entender realizados los intentos de notificación. Estos elementos eran, según la Sentencia citada, el día y la hora de cada uno de los intentos, el número de control y una anotación a mano expresando la razón por la que no se hacía la entrega, tales como “No está”; “no hay nadie”; “la asistenta no acepta el sobre”. Elementos todos ellos que también están presentes en los albaranes de las empresas de mensajería que intentaron las notificaciones a PLENISAN y MEYDIS (MRV y ENVIALIA, respectivamente) a los efectos señalados en el artículo 58.4 de la Ley 30. Documentos que obran en el expediente administrativo. IV En el expediente sancionador que nos ocupa se atribuye a las entidades MSP, MEYDIS y PLENISAN una infracción del artículo 6.1 de la LOPD en relación con el artículo 30.1 de la misma norma. Por razones de lógica argumental es necesario analizar en primer término quiénes se encuentran sometidos al régimen sancionador contemplado en la LOPD. El artículo 43 de la LOPD bajo la rúbrica “Responsables” dispone en su apartado 1: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley“. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/31 La Ley Orgánica 15/1999, a diferencia de su predecesora, la Ley Orgánica 5/1992 de Regulación del Tratamiento Automatizado de Datos de Carácter Personal (LORTAD), somete a responsabilidad administrativa sancionadora tanto al “responsable del fichero” como al “encargado de tratamiento”. El alcance de ese precepto debe interpretarse a la luz de otras disposiciones de la referida Ley Orgánica que permiten conocer su verdadero alcance. Así, el artículo 3.
  12. d)de la LOPD define al “Responsable del fichero o tratamiento“ como “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. A su vez, el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) en el artículo 5.1.
  13. q)considera “Responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente.” (El subrayado es de la AEPD) Las disposiciones citadas han de integrarse también con las definiciones recogidas en los apartados b, c, y e, del artículo 3 de la LOPD que versan sobre lo que ha de entenderse por “fichero”, “tratamiento” y “afectado o interesado”: “
  14. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” “
  15. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” “
  16. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  17. c)del presente artículo”. Paralelamente la LOPD concreta en su artículo 2 cuál es su ámbito objetivo de aplicación, que queda circunscrito a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. (El subrayado es de la AEPD) El criterio que la LOPD sigue en relación a su ámbito objetivo de aplicación está en consonancia con el criterio que había fijado la Directiva 95/46/CE, de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos- cuya trasposición al ordenamiento interno español se efectuó través de la LOPD. La Directiva resultaba aplicable no sólo cuando existía un conjunto organizado (fichero) de datos, sino también cuando se realizaban operaciones y procedimientos que permitieran la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos. El Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que deroga la Directiva 94/46/CE y que será de aplicación a partir del 25/05/2018, establece en su artículo 2.1 que el objeto de esta norma es el “tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/31 De la exposición precedente se evidencia que los sujetos pasivos de la potestad sancionadora atribuida a la AEPD por la LOPD son dos, el “responsable del fichero” y el “responsable del tratamiento”, y que esta segunda figura –conforme a lo dispuesto en el apartado
  18. c)del artículo 3 LOPD en relación con su apartado d)- no es titular de un fichero. Incluso la LOPD convierte en responsable del tratamiento al mero encargado de tratamiento que incumple las instrucciones fijadas en el contrato, o destine los datos a otra finalidad o los comunique a terceros (ex artículo 12.4 LOPD) Tal criterio ha sido confirmado por el Tribunal Supremo y por la Audiencia Nacional, Sala de lo contencioso administrativo. Muy esclarecedora es en tal sentido la Sentencia del Tribunal Supremo de 26/01/2005, dictada en Casación para unificación de la doctrina, de la que reproducimos el siguiente fragmento: “(…) junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
  19. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”.(El subrayado es de la AEPD) Igualmente clara es la SAN de 03/03/2004, que la Audiencia Nacional reproduce en su SAN de 18/01/2006, que dice: “El ámbito subjetivo del ilícito administrativo descrito son los <<responsables de los ficheros y los encargados de los tratamientos>>, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en la Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al <<responsable del fichero>>, esta expresión comprende ahora C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/31 al responsable del tratamiento, ex artículo 3.
  20. d)de la Ley Orgánica 15/1999, bajo la expresión <<responsable del fichero o tratamiento>>, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  21. d)y g), respectivamente, de la Ley Orgánica 15/1999”. (El subrayado es de la AEPD) El expediente sancionador que nos ocupa tiene por objeto el tratamiento de los datos personales de la denunciante –nombre, dos apellidos y dirección postal, incluido el piso y la puerta- materializado en el envío de una carta publicitaria (publicidad postal). En la carta aparece como remitente de la publicidad PLENISAN –empresa cuyos productos y servicios se pretendía promocionar a través de aquella- y como responsable del fichero del que procedían los datos personales MSP. Como se expondrá seguidamente, a la vista de la documentación obrante en el expediente y de los hechos declarados probados, se constata que en el presente caso MEYDIS y PLENISAN han actuado como “responsables del tratamiento” de los datos personales de la denunciante y MSP como “responsable del fichero” sin que ninguna de las entidades imputadas hubiera mantenido relación comercial con la denunciante que pudiera amparar el tratamiento efectuado (ex artículo 6.2 LOPD) y sin que la denunciante hubiera otorgado su consentimiento a dicho tratamiento. V La LOPD proclama en su artículo 6, bajo la rúbrica “Consentimiento del afectado”, el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Esa disposición ha de integrarse con la definición legal de “consentimiento del interesado” que ofrece el artículo 3
  22. h)de la Ley Orgánica 15/1999: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/31 la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos de carácter personal. Derecho fundamental que en palabras del Tribunal Constitucional (STC 292/2000, Fundamento Jurídico 7) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” La LOPD exige que sea el titular de los datos quien otorgue el consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos como con toda claridad dice el artículo 3.
  23. h)de la LOPD, al definir el consentimiento. Indicar que incumbe a quien trata los datos la carga de acreditar que ha recabado el consentimiento inequívoco de su titular o, al menos, que adopto las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6.1. En ese sentido la Audiencia Nacional en Sentencia de 31/05/2006, Recurso 539/2004, (Fundamento de Derecho Cuarto)dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. El artículo 30 de la LOPD bajo la rúbrica “ Tratamientos con fines de publicidad y prospección comercial”, dispone: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten” (El subrayado es de la AEPD) Por otra parte, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, dedica el Capítulo II del Título IV a los “Tratamientos para actividades de publicidad y prospección comercial” (artículos 45 a 51) y en el artículo 45, de los “Datos susceptibles de tratamiento e información al interesado”, dice lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/31 “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  24. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  25. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  26. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ Asimismo, el artículo 46 del RLOPD, “Tratamiento de datos en campañas publicitarias”, establece: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  27. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  28. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  29. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. (El subrayado es de la AEPD) VI A. Se atribuye a PLENISAN una infracción del artículo 6.1 de la LOPD en relación con el artículo 30.1 de la citad norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/31 La condición de responsable del tratamiento de tal entidad –que en las declaraciones realizadas en el curso de otros expedientes sancionadores idénticos al que nos ocupa únicamente admite haber sido la beneficiaria de la publicidad contratada con la entidad MSP- se desprende de diversas circunstancias concurrentes que evidencian que es ella quien decide sobre los parámetros identificativos de la campaña publicitaria a desarrollar, lo que debe ponerse en relación con el artículo 46.2.a, del RLOPD que establece que si la entidad que contrata la campaña fija los parámetros a través de los que se determinan los destinatarios de la publicidad será responsable del tratamiento de los datos personales efectuado. Ha quedado acreditado en el expediente que la carta publicitaria que la denunciante recibió estaba remitida por PLENISAN, que en ella figuraba el logotipo de esta entidad y la referencia SM*****. En el pie del escrito se indicaba que los datos personales tenían su origen en un fichero de MSP. En la carta se invitaba a la denunciante a un acto en el Hotel XXXX de Madrid en fecha 15/10/2015. Ahora bien, como ha comprobado la Inspección de Datos, fue PLENISAN quien se puso en contacto con el Hotel para consultar la posibilidad de celebrar allí el evento en las fechas que ella indicaba. Es decir, fue esta entidad quien seleccionó el hotel y contrató con él una sala en la que se celebraría el evento promocional. Esta Agencia estima que la elección por PLENISAN del lugar en el que se debe celebrar el evento promocional implica que es esa entidad la que fija un parámetro identificativo de los eventuales destinatarios de la campaña. Téngase en cuenta que la elección del local lleva implícita una selección del público destinatario de la campaña del que se extraerán los datos personales de los destinatarios individuales en función de una determinada segmentación. Así pues, PLENISAN, a tenor del artículo 46.2.a del RLOPD es responsable del tratamiento de los datos de la persona denunciante y conforme al artículo 6.1 de la LOPD dicho tratamiento exigía contar con el consentimiento de la titular de los datos. Condición esencial para que pueda exigirse a PLENISAN responsabilidad administrativa sancionadora es que esté presente el elemento subjetivo o elemento culpabilístico de la infracción. Así lo ha reconocido el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. La SAN de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
  30. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) La Ley 40/2015 del Régimen Jurídico del Sector Público se refiere a este requisito en su artículo 28 que dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/31 les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El RLOPD incide también sobre la diligencia que ha de observar en lo relativo al tratamiento de los datos personales la entidad que contrata con un tercero una campaña publicitaria. El artículo 46.3 del RLOPD exige que estas entidades adopten las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las obligaciones impuestas en la LOPD y en el RLOPD. PLENISAN ha afirmado en los expedientes sancionadores seguidos por conductas idénticas a las que aquí analizamos que sí adopta las medidas que exige el artículo 46.3 RLOPD y a tal fin remite al contrato celebrado con la empresa MSP en cuyas estipulaciones se dice expresamente que ofrece “absolutas garantías” de que los “datos tratados proceden de fuentes accesibles al público o se han obtenido con el consentimiento de los interesados”. En el Informe de Actuaciones Previas del E/08040/2015 se incorporan y reproducen las actuaciones practicadas en el E/00285/2015 relativas a la información solicitada PLENISAN que transcribimos seguidamente: “Las medidas adoptadas por nosotros para asegurarnos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas IV y V del contrato que adjuntamos a este escrito, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre de 2011.” Aporta copia del contrato fechado el 16/7/2014, figurando en las clausulas citadas: “IV.- LIST BROKER se compromete al cumplimiento de la Ley Orgánica de Protección de Datos en las campañas que realice para CLIENTE y manifiesta especialmente que no se utilizarán datos de personas inscritas en las Listas Robinson de ADIGITAL y que los datos estarán convenientemente actualizados. V.- LIST BROKER ofrece absoluta garantía de que los datos que se utilizarán se han obtenido exclusivamente de fuentes accesibles al público que estaban vigentes en el momento del tratamiento de los datos, conforme a lo establecido en la Ley de Protección de Datos. En caso de que no procedan de dichas fuentes, dichos datos habrán sido obtenidos con consentimiento de los afectados para e1 envío de comunicaciones comerciales de los productos o servicios de CLIENTE. Las partes están conformes en que estas manifestaciones y garantías ofrecidas por LIST BROKER son las determinantes de que CLIENTE realice las campañas de marketing utilizando las bases de datos del LIST BROKER. En caso de que, en algún momento, esas garantías dejasen de ser ciertas, el contrato se resolverá de pleno derecho. A modo de comprobación, CLIENTE podrá exigir a LIST BROKER que, antes de determinada campaña, le facilite un muestreo aleatorio de los datos a utilizar en ella, para que CLIENTE pueda verificar que figuran en las fuentes accesibles al público vigentes.” Donde LIST BROKER se refiere a MSP.” (El subrayado es de la AEPD) De lo manifestado por PLENISAN resulta que las medidas que dice haber adoptado consistieron en dar por buenas las manifestaciones hechas por MSP en el contrato publicitario suscrito con ella. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/31 Esto significa que realmente PLENISAN no llegó a adoptar ninguna medida para asegurarse, como exige el artículo 46.3 RLOPD, que la parte contratante había dado cumplimiento a las obligaciones que le impone la LOPD, la primera y fundamental el respeto al principio del consentimiento. Esta omisión de PLENISAN demuestra su absoluta falta de diligencia en el cumplimiento de la normativa de protección de datos. Así pues, en su condición de responsable del tratamiento de los datos personales de la denunciante es responsable de una infracción del artículo 6.1, en relación con el 30.1 de la LOPD. B. Por lo que respecta a MEYDIS, las actuaciones de investigación ponen de manifiesto que, en el presente asunto, esta entidad actuó como responsable del tratamiento de los datos personales de la afectada; datos que fueron incorporados a una carta relativa a un evento promocional de PLENISAN, impresa por ella y puesta en Correos. MEYDIS, en su respuesta al requerimiento informativo de la Inspección de Datos de fecha 13/06/2016 ha reconocido la impresión de la carta perteneciente a la campaña SM***** que la denunciante recibió en su domicilio. Se requirió a esta entidad para que aportara la documentación acreditativa de la fecha en la que MSP puso a su disposición el fichero para la confección de las cartas de la campaña publicitaria encargada por PLENISAN (SM*****) y en su respuesta MEYDIS declaró que “cada vez que recibíamos una orden de trabajo de nuestro cliente PLENYSAN, accedíamos al FTP en el que MSP colocaba los ficheros y ya nos encontrábamos colocados ahí el que debía utilizarse para esa concreta actividad”. A propósito del fichero FTP que supuestamente MSP “ponía a disposición” de MEYDIS han de traerse a colación las actuaciones de investigación reproducidas en el Informe de Actuaciones que dio lugar al PS/128/2016 -que han sido incorporadas a este expediente por el Inspector actuante en el Informe del E/08040/2015-. Se reproduce seguidamente el siguiente fragmento: “Manifiestan los representantes de la entidad que el servicio de informática accede a un servicio FTP en el que MSP deposita los ficheros que contienen los datos personales para cada campaña publicitaria. Tras realizar la impresión, los ficheros ubicados en dicho FTP son borrados, en cumplimiento de las condiciones contractuales. Los inspectores de la Agencia solicitan al representante de MEYDIS S.L. que les permita el acceso los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: b. Solicitado un acceso al servicio FTP del cual obtienen los ficheros proporcionados por MSP para la elaboración de las campañas y tras realizar un intento de acceso al servicio, se comprueba que no existen ficheros alojados en el mismo. Se comprueba que la dirección del servidor es ***IP.2. Realizada la búsqueda de dicha IP en el servicio WHOIS se comprueba que está asignada a un prestador de servicio ubicado en EEUU. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/31 Solicitada la ejecución del comando TRACEROUTE a dicha dirección IP se comprueba que el tiempo de respuesta es menor de 1 milisegundo. Los representantes de la entidad manifiestan que dicho servidor pertenece a MEYDIS, que proporciona un FTP a algunos clientes para que puedan enviar los ficheros de ejecución de las campañas. Solicitado el acceso al directorio real al que se asocia el servicio FTP del usuario MACRO, se comprueba que dicho directorio está vacío. Solicitado el acceso al registro de actividad del servicio FTP se comprueba que únicamente se guarda registro de los accesos de mismo día de la inspección. Informa un miembro de sistemas que esto es debido a que acaban de instalar un antivirus y que se ha estropeado la configuración del sistema perdiéndose los datos de los registros de acceso. Aclaración respecto de los tipos direcciones IP’s y sus usos: Las direcciones IP pueden clasificarse según su accesibilidad en públicas o privadas. Las direcciones IP públicas son gestionadas por organizaciones internacionales que, a través de agentes, las asignan a distintos operadores, prestadores de servicios de acceso a Internet y organizaciones. Estas direcciones sirven para identificar unívocamente un dispositivo en Internet y su asignación, estática o dinámica, la decide el operador, prestador de acceso u organización que la tiene asignada. Las direcciones IP privadas son un subconjunto del rango total de direcciones IP que pueden ser utilizadas dentro de las redes internas (Intranet) de cualquier hogar, empresa u organización. Dichas direcciones son únicas dentro de la red interna, y así identifican a un dispositivo dentro de la red, pero pueden repetirse a través de distintas organizaciones. La utilización de direcciones IP públicas dentro de IP privadas tiene como consecuencia que la IP pública correspondiente deje de ser accesible desde la red interna de la empresa, a la vez que crea la ficción de estar accediendo a una red externa cuando en realidad el servidor está en la red interna. En el caso de las presentes actuaciones, la dirección IP ***IP.2 es una dirección pública que es utilizada dentro de la red privada de la entidad inspeccionada. Caso de querer proporcionar acceso al servidor ftp al exterior, debería la entidad utilizar una IP pública asignada por su operadora telefónica, pero a través de la dirección ***IP.2, el servidor ftp estará accesible únicamente dentro de su red interna y no lo estará desde Internet. Se ha podido comprobar que no existe servidor en Internet con dirección IP que responda a peticiones en la dirección IP ***IP.2, no responde a peticiones ftp, http, ni siquiera al PING, que al menos permitiría comprobar que en dicha dirección IP existe una máquina conectada. Por tanto, a través de la dirección IP ***IP.2 únicamente se puede tener acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/31 desde la red interna de MEYDIS sin que hayan podido comprobarse accesos desde fuera de dicha red. Si MSP pudo tener acceso a dicha dirección IP sería únicamente porque los sistemas de MSP se encuentren dentro de la red interna de MEYDIS.” Son muy numerosos los indicios de que la actividad desarrollada por MEYDIS no se ciñe a las tareas que teóricamente se le atribuyen (impresión, ensobrado y puesta en Correos de cartas de publicidad postal). Se desprende de las pruebas recabadas que en el desarrollo de su actividad MEYDIS tenía acceso a los datos personales del fichero del que MSP es responsable para realizar un tratamiento con fines publicitarios. El protocolo teórico de funcionamiento según el cual MSP ponía a su disposición, una vez que PLENISAN le había realizado un encargo, en un fichero FTP los datos personales con los que se habría de confeccionar la publicidad de PLENISAN no ha sido en ningún caso acreditado. Paralelamente concurren varias circunstancias relevantes que evidencian que MEYDIS fue responsable del tratamiento de los datos personales utilizados en la campaña publicitaria SM ***** en cuyo marco se confeccionó y envió una carta publicitaria a la denunciante. Entre ellas que los contactos que han precedido a la impresión de las cartas publicitarias de esta campaña (SM*****) se reducen a los mantenidos entre MEYDIS y PLENISAN sin que existan contactos entre MEYDIS y MSP. Nos remitimos a tal fin a los emails aportados por MEYDIS en respuesta al requerimiento informativo de la Inspección. Además, como se recoge en el hecho probado séptimo de esta resolución, en el curso del E00005/2015/I-01, a raíz de la inspección practicada en la sede de PLENISAN, se accedió a sus sistemas de información y se obtuvo un email de esa entidad dirigido a MSP en el que le solicitaba una muestra de 50 registros. Pues bien, la respuesta a ese correo electrónico la recibió PLENISAN desde una cuenta del dominio MEYDIS (....@meydis.com) En esas mismas actuaciones de investigación los representantes de PLENISAN declararon que los contactos con MSP se hacían a través de dos personas: B.B.B. y G.G.G. en el número ***TEL.2. Resulta que el Consejero Delegado de la mercantil MEYDIS se llama B.B.B. y respecto a G.G.G. –como consta en los hechos probados de esta resolución- se contactó con ella por la Inspección de Datos a través del número de teléfono facilitado por PLENISAN y declaró que su empresa no era MSP sino MEYDIS. Asimismo, en el presente caso, MEYDIS no aporta tampoco copia de la factura que debía haber emitido a MSP. Aporta únicamente la factura girada a PLENISAN y justifica la falta de factura a nombre de MSP declarando que “no se emitió factura a MSP por los servicios del mes de octubre de 2015, dado que tuvo noticia de que la empresa iba a cerrar y la factura sería de difícil cobro”. Recordemos (ver hecho probado decimonoveno) que en fecha 20/01/2016 –fecha en la que el Inspector actuante accede a los datos de MSP que obran en el Registro Mercantil Central- la entidad continuaba activa. Además, en fecha 04/07/2016 se comprueba que en internet, en la página Slideshare, el llamado “Grupo Meydis” publicita “sus” servicios entre ellos “Bases de datos” y declara que posee registrados más de doce millones de hogares españoles con los siguientes campos: Personas de contacto (Titular del teléfono); Dirección postal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/31 completa; Nivel socioeconómico de la unidad familiar; Edad del titular del teléfono: Nivel cultural del titular del teléfono. Esta información contradice la versión que en los distintos expedientes administrativos seguidos contra ellas han mantenido tanto PLENISÁN como MEYDIS conforme a la cual esta última sería una mera encargada de tratamiento de la primera. Existen otros elementos que revelan que MSP ha estado utilizando la dirección IP asignada a MEYDIS y que desde esa dirección IP se ha accedido a la cuenta bancaria en la que están domiciliados los pagos que PLENISAN hizo a MSP: hechos probados decimoquinto y decimosexto. Damos por reproducidas las consideraciones que sobre la carga de la prueba del consentimiento y sobre la culpabilidad, como elemento integrante de la infracción, se recogen en los párrafos precedentes. Las circunstancias descritas son indicios relevantes de que MEYDIS decidió sobre la finalidad y uso de los datos contenidos en los ficheros de MSP, lo que le sitúa como responsable del tratamiento de los datos personales de la denunciante. Tratamiento que, a tenor del artículo 6.1 en relación con el artículo 30.1 LOPD requería contar con su consentimiento, extremo que en ningún caso ha sido acreditado. C. Se atribuye a MSP una infracción del artículo 6.1 de la LOPD en relación con el artículo 30.1 de la misma norma. MSP ha manifestado a esta Agencia en respuesta a numerosos requerimientos de información realizados en diversas actuaciones previas de inspección que los datos personales para campañas publicitarias los ha obtenido de listados accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.), revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Lo cierto es que, como señala el Inspector actuante en el Informe de Actuaciones Previas que precede a este expediente sancionador, esta entidad nunca ha aportado prueba acreditativa de sus manifestaciones. Está acreditado que MSP es una de las entidades a quien la Comisión Nacional de los Mercados y la Competencia (CNMC) ha otorgado autorización para acceder al Sistema de Gestión de Datos de Abonados (SGDA) El artículo 3
  31. j)de la LOPD define como fuentes accesibles al público “ aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. Sin embargo, como se ha indicado, MSP nunca ha probado que obtenga los datos incluidos en sus ficheros ni de fuentes accesibles al público en general ni menos aún del SGDA o de repertorios telefónicos. Además, debe tenerse en cuenta que conforme al artículo 28.3 de la LOPD, “Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/31 incluidos en las fuentes de acceso público”, “Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención.” Se suma a lo anterior que los datos personales de la denunciante que han sido objeto de tratamiento en ningún caso podían proceder de repertorios telefónicos ya que entre ellos se incluye el dato relativo al piso y puerta que no se incorporan a los repertorios telefónicos. Expuesto lo anterior, reiterar que damos por reproducidas las consideraciones que sobre la carga de la prueba del consentimiento y sobre la culpabilidad, como elemento integrante de la infracción, se recogen en los párrafos precedentes. Así pues, MSP, como responsable de un fichero del que procedían los datos personales de la denunciante que han sido objeto de tratamiento, en tanto no ha acreditado haber obtenido el consentimiento de la titular ni que el tratamiento efectuado estuviera amparado en otras disposiciones de la LOPD que dispensan de recabar el consentimiento, es responsable de una infracción del artículo 6.1 en relación con el artículo 30.1 de la LOPD. VII El artículo 45 de la LOPD establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  32. a)El carácter continuado de la infracción.
  33. b)El volumen de los tratamientos efectuados.
  34. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  35. d)El volumen de negocio o actividad del infractor.
  36. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  37. f)El grado de intencionalidad.
  38. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  39. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  40. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  41. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/31 en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  42. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  43. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  44. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  45. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  46. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Esas circunstancias no concurren respecto a ninguna de las entidades contra las que se dirige este expediente sancionador lo que impide aplicarles el efecto jurídico descrito en el artículo 45.5 LOPD. Así pues, la sanción a imponer a MSP, MEYDIS y PLENISAN por la infracción de la LOPD de la que son responsables estará comprendida dentro de los límites que el artículo 45.2 LOPD fija para las infracciones graves: entre 40.001 y 300.000 euros. La graduación de la sanción dentro de los márgenes de ese precepto ha de hacerse atendiendo a los criterios que detalla el artículo 45.4 LOPD: A. Frente a la entidad MSP, en el presente caso, operan en calidad de agravantes de la conducta enjuiciada las siguientes circunstancias: - “El carácter continuado de la infracción”, apartado a). En el Informe de las Actuaciones Previas que han precedido a este expediente sancionador se reproduce una carta remitida por un representante de MSP el 04/11/2015 en la que, con motivo de comunicar que cesa en el “uso de dicho fichero” y de sus “actividades de marketing”, reconoce cuál es la naturaleza de la actividad que desarrolla (marketing) y que ha estado utilizando en sus campañas ficheros de datos. Extremos que deben conectarse con el hecho de que en la carta publicitaria que la denunciante recibió se indicaba expresamente que sus datos personales procedían de un fichero del que MSP era responsable. Por tanto, los datos de la afectada, en la medida en que estuvieron incorporados por MSP a un fichero del que se extraían para sus campañas de marketing fueron tratados de forma continuada sin su consentimiento por dicha entidad. - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, apartado c). Como se ha señalado, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/31 actividad de MSP tenía por objeto la explotación de bases de datos para envíos publicitarios, es decir, su actividad estaba vinculada con el tratamiento de datos personales. A este respecto cabe añadir que obra en el expediente el resultado de una búsqueda de la entidad en el Registro Mercantil Central, lo que permite comprobar que el objeto social declarado en el citado Registro versa sobre actividades de recabo de documentos, tratamiento, enriquecimiento etc; lo que evidencia que el tratamiento de datos personales está implícito en la actividad que desarrolla. - “Los beneficios obtenidos como consecuencia de la comisión de la infracción”, apartado e). Esta circunstancia opera como agravante ya que el tratamiento de los datos personales de la afectada sin su consentimiento – conducta en la que se concreta la infracción cometida- aconteció en el desarrollo de la actividad empresarial de MSP, que por su misma naturaleza persigue un beneficio económico. - “El grado de intencionalidad”, apartado i). Este expresión debe interpretarse como equivalente a grado de culpabilidad que puede manifestarse como dolo, culpa o culpa levísima B. En relación a MEYDIS se aprecia la concurrencia como agravantes de las siguientes circunstancias contempladas en el artículo 45.4 LOPD: - “El carácter continuado de la infracción”, apartado a). -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, apartado
  47. c)- “Los beneficios obtenidos como consecuencia de la comisión de la infracción”, - “El grado de intencionalidad”, apartado i). C. En cuanto a PLENISAN - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” - “El grado de intencionalidad”, apartado
  48. i)Esta agravante es especialmente significativa en relación con PLENISAN por cuanto el RLOPD (artículo 46.3) se refiere expresamente a la obligación que tienen las entidades que encargan una campaña publicitaria de asegurarse que la persona con quien contrata recabó los datos respetando las exigencias impuestas por la LOPD. A la luz de lo expuesto, tomando en consideración las agravantes que concurren así como el principio de proporcionalidad que ha de presidir la imposición de la sanción (ex artículo 29.3 de la Ley 40/2015), se acuerda sancionar a cada una de las entidades como responsables de una infracción del artículo 6.1, en relación con el 30.1, de la LOPD, tipificada como grave en el artículo 44.3.
  49. b)de la LOPD, con una multa de sesenta mil euros, cuantía próxima al mínimo previsto en el artículo 45.2 de la citada Ley Orgánica para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/31 PRIMERO: IMPONER a la entidad MACRO SELECT PRINT, S.L., por una infracción del artículo 6.1, en relación con el artículo 30.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  50. b)de la LOPD, una multa de 60.000 euros (sesenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad MEYDIS, S.L., por una infracción del artículo 6.1, en relación con el artículo 30.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  51. b)de la LOPD, una multa de 60.000 euros ( sesenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. TERCERO: IMPONER a la entidad PLENISAN, S.L., por una infracción del artículo 6.1, en relación con el artículo 30.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  52. b)de la LOPD, una multa de 60.000 euros ( sesenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: NOTIFICAR la presente resolución a PLENISAN, S.L., a MEYDIS, S.L., y a MACRO SELECT PRINT, S.L., QUINTO: Advertir a las entidades sancionadas que la sanción impuesta deberán hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/31 con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.