← España

PS-00516-2015

1/23 Procedimiento Nº PS/00516/2015 RESOLUCIÓN: R/00451/2016 En el procedimiento sancionador PS/00516/2015, instruido por la Agencia Española de Protección de Datos a la entidad PLENISAN, S.L., y PRINT LASER SPAIN, S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16 de septiembre de 2014 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara: <<El pasado día 26 de Agosto de 2014, he recibido en mi domicilio un envío publicitario de SISTEMAS MEDICOS PROFESIONALES, S.L. Dicho envío lo he recibido por correo postal dirigido a mi dirección, que no figura en ninguna fuente de acceso público y que sólo ha podido ser obtenida de ficheros como el Censo o Padrón Municipal, ya que se comprueba que en la dirección de envío aparece piso, puerta y zona o barrio del municipio. Según mis averiguaciones la empresa SMP, S.L. (Sistemas Médicos Profesionales, S.L.), tiene su domicilio en MANISES (VALENCIA), (C/....1). Si bien en el sobre utilizado para el envío postal consta el remitente desde un Apartado de Correos de MADRID. En el escrito publicitario figura la siguiente leyenda: “La información utilizada para éste envío publicitario procede de ficheros de PRINT LASER SPAIN, S.L. – Apartado de correos nº 12 – 28470 CERCEDILLA (MADRID) donde Ud. podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición”.>> Aporta el denunciante copia del envío publicitario, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. La carta muestra el pie de página citado por el denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades SISTEMAS MEDICOS PROFESIONALES, S.L, (actualmente PLENISAN S.L.) y PRINT LASER SPAIN, S.L., teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones de inspección E/07380/2014 de fecha 28/08/2015, que se transcribe: “ACTUACIONES PREVIAS 1. Solicitada información a PLENISAN, la entidad manifiesta: <<Desconocemos los parámetros marcados por la entidad emisora de la publicidad para la selección del público objetivo del envío, puesto que dichos criterios son fijados unilateralmente por la tercera empresa a la que, en este caso, encargamos que llevara a cabo las campañas publicitarias de nuestros productos, según figura en el referido contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 Las medidas adoptadas por nosotros para aseguramos de que la entidad contratada ha recabado los datos cumpliendo las exigencias de la LOPD, a los efectos del artículo 46.3 del Reglamento de dicha Ley, son las que se describen en las Cláusulas Segunda y Tercera del contrato que adjuntamos a este escrito, de conformidad con los criterios sentados por la jurisprudencia de la Audiencia Nacional, entre otras, en Sentencias de 21 de mayo de 2009 y 22 de septiembre de 2011.>> Aporta PLENISAN copia del contrato suscrito con PRINT, en el que consta: <<Segundo. - Garantías.- A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, PROVEEDOR manifiesta que en la ejecución de este contrato:

  1. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3j) de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
  2. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
  3. c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD. Las condiciones establecidas en esta cláusula han sido esenciales en la decisión del CLIENTE de contratar el servicio con PROVEEDOR, a los efectos del cumplimiento de las garantías exigidas por el Reglamento de Desarrollo de la LOPD para la ejecución de campañas de marketing directo con ficheros de tercero.>> 2. Solicitada información a PRINT la entidad manifiesta: No aporta acreditación del origen de los datos del denunciante, si bien reconoce disponer de ellos en sus ficheros, aportando copia los mismos que coinciden con los que aparecen en la carta aportada por el denunciante. Aporta igualmente copia de la factura emitida por la entidad a PLENISAN por los servicios, de fecha 21/8/2014, así como copia del contrato suscrito para la prestación del servicio.” TERCERO: Consta en el Registro Mercantil Central inscripción de fecha 07/04/2015 del cambio de denominación social de SISTEMAS MEDICOS PROFESIONALES, S.L. por PLENISAN, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 CUARTO: Con fecha 11/09/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a PLENISAN, S.L., y a PRINT LASER SPAIN, S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  4. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, PRINT LASER SPAIN, S.L. efectuó las siguientes alegaciones: 1ª.Nulidad del procedimiento por indefensión por cuanto habiendo solicitado copia del expediente la misma no fue recibida en el plazo otorgado para efectuar alegaciones y por tanto estas has sido efectuadas sin contar con todos los elementos necesarios para ejercitar la defensa de la infracción que se le imputa. 2º.Reconocimiento de los hechos imputados. Los datos del denunciante figuran en sus ficheros y han sido utilizados en la campaña de marketing que ha sido denunciada, sin que les conste el consentimiento del denunciado y hubieran podido hallar los datos en las fuentes accesibles al público vigentes en el momento en que se realizó ese envío, por .o que si el interesado niega que dio su consentimiento, no puede rebatirse con la información de que disponen. Sería la segunda ocasión en que se produce este hecho ya que en al procedimiento sancionador PS/181/2015 ya fue sancionada por un hecho similar. Se ha corregido la situación y se han cancelado de modo definitivo los datos del denunciante para evitar que puedan volver a ser tratados de cualquier otro modo. No se ha obtenido beneficio alguno, no consta perjuicio causado al denunciante. La confirmación de que existen en el fichero datos que han podido ser obtenidos sin el consentimiento del interesado les han llevado a adoptar la decisión de prescindir del uso del citado fichero. QUINTO: Notificado el acuerdo de inicio, PLENISAN, S.L. efectuó las siguientes alegaciones: 1ª.Caducidad de las actuaciones previas. La denuncia fue interpuesta a través dela Sede Electrónica de la AEPD con fecha 02/09/2014. Adicionalmente el documento tiene un sello manual del Registro de entrada de la AEPD en el que figura como fecha de presentación y entrada el 16/09/2014. Es la fecha de presentación de la denuncia en la sede electrónica aquella en la que se inician las actuaciones previas, que conforme al art. 122 del RLOPD deben tener una duración máxima de 12 meses. Considerando que el acuerdo de inicio del procedimiento sancionador fue dictado en fecha 11/09/2015 y notificado a PLENISAN en fecha 16/09/2015, ha trascurrido el plazo citado con lo cual se produce la caducidad de las actuaciones previas y debe decretarse el archivo del procedimiento sancionador. 2ª.Arbitrariedad. Aplicación del principio de confianza legítima. El procedimiento sancionador PS/181/2015 fue incoado por un hecho idéntico al que es objeto del presente procedimiento y en aquel caso no se incoó procedimiento sancionador contra el beneficiario de la publicidad al no considerarlo responsable de la infracción cometida por el proveedor al tratar datos personales sin consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 Además concurre la circunstancia de que en este caso los términos del contrato formado entre el proveedor y el cliente en aquel supuesto fueron exactamente idénticos a los que constan en el contrato suscrito entre PRINT LASER SPAIN y PLENISAN. En el presente caso la AEPD ha cambiado de criterio son motivo y ha imputado a PLENISAN una infracción del artículo 6.1 de la LOPD. PLENISAN ha actuado con la convicción de que su conducta no era constitutiva de infracción basándose en las decisiones previas adoptadas por la AEPD en ese caso, lo cual determina la ausencia de culpabilidad. 3ª.Vulneración de los criterios sentados por la Jurisprudencia. Es criterio de la jurisprudencia que, en la realización de las campañas de marketing, la exigencia contractual del beneficiario de la publicidad al proveedor de que garantice que los datos personales a utilizar en una campaña proceden de fuentes accesibles al público o han sido facilitados con consentimiento, excluye la culpabilidad de la publicidad (SAN 21 de mayo de 2009, SAN 22 de septiembre de 2011) SEXTO: En fecha 12/022016 se emitió propuesta de resolución en el sentido de imponer a PLENISAN una multa de 60.000 €, y a PRINT LASER SPAIN, S.L. una multa de 3.000 €, por la infracción del artículo 6.1 de la LOPD. La propuesta fue notificada a PLENISAN en fecha 16/02/2016 y en fecha 23/02/2016 fue devuelto por el servicio de correos el envío efectuado a PRINT LASER SPAIN, S.L., en fecha 18/02/2016 al resultar desconocido en el domicilio social de la empresa que consta en el Registro Mercantil Central. SEPTIMO: En fecha 23/02/2016 tuvo entrada en esta Agencia solicitud de PLENISAN de copia de los documentos nº 41 hasta el final del expediente, los cuales fueron enviados en fecha 26/02/2016 a la dirección y persona representante de PLENISAN siendo rehusado el envío en fecha 29/02/2016 según informa el servicio de mensajería utilizado para su envío. La documentación fue enviada nuevamente a PLENISAN a través del servicio de correos siendo recibida en fecha 07/03/2016. OCTAVO: En fecha 08/03/2016 tiene entrada en esta Agencia escrito de PLENISAN de fecha 04/03/2016 en el que solicita la suspensión del plazo para realizar alegaciones a la propuesta de resolución por no disponer, a fecha del término del plazo para efectuar dichas alegaciones, de copia del expediente administrativo completo solicitado HECHOS PROBADOS PRIMERO: En el mes de agosto de 2014 el denunciante recibe en su domicilio una comunicación comercial por vía postal de SISTEMAS MEDICOS PROFESIONALES (actualmente denominada PLENISAN, S.L.) en la que se invita a un evento que se realizara en el Hotel NH Viapol de Sevilla en fecha de 04/09/2014. Se informa que los datos utilizados para efectuar el envío publicitario proceden de ficheros de PRINT LASER SPAIN, S.L. (Folios 4-6) SEGUNDO: En fecha 17/102/2014 SISTEMAS MEDICOS PROFESIONALES (actualmente denominada PLENISAN, S.L.) y PRINT LASER SPAIN, S.L. suscribieron un “Contrato de selección de datos de carácter personal y personalización de documentos publicitarios”, en el que PLENISAN, S.L. (el CLIENTE) y PRINT LASER SPAIN, S.L. (el PROVEEDOR), ponen de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 <<… EXPONEN: Primero.- Que PROVEEDOR es una empresa dedicada, entre otras actividades, al diseño de campañas de marketing y la recopilación y selección de datos de carácter personal para su ejecución. Segundo.- Que CLIENTE desea que PROVEEDOR idee y ejecute campañas de marketing directo y prospección comercial para la promoción de sus productos entre el público objetivo que determine PROVEEDOR. Tercero.- Que PROVEEDOR dispone de la experiencia y conocimientos necesarios para la prestación de dichos servicios y, además, es titular de un fichero de datos de carácter personal que puede ser utilizado para la realización de antedichas campañas de marketing directo y prospección comercial. ….. ACUERDAN: Primero.- Objeto del contrato.- Constituye el objeto del presente Contrato la prestación por parte de PROVEEDOR de los siguientes servicios: 1. La recopilación y determinación de criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en las campañas de marketing que PROVEEDOR idee para el CLIENTE. Al llevar a cabo la selección de datos de los destinatarios de la campaña. PROVEEDOR deberá excluir, en todo caso, los datos de aquellas personas que hayan ejercido previamente sus derechos de cancelación u oposición a recibir publicidad en los ficheros de PROVEEDOR. 2. La confrontación de los datos de carácter personal con la Lista Robinson de AGITAL con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. … Segundo. - Garantías.- A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, PROVEEDOR manifiesta que en la ejecución de este contrato:
  5. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3j) de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
  6. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23
  7. c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD. Las condiciones establecidas en esta cláusula han sido esenciales en la decisión del CLIENTE de contratar el servicio con PROVEEDOR, a los efectos del cumplimiento de las garantías exigidas por el Reglamento de Desarrollo de la LOPD para la ejecución de campañas de marketing directo con ficheros de tercero.>> (folios 15-20) TERCERO: Consta en el expediente factura de fecha 31/08/2014 girada por PRINT LASER SPAN, S.L. a SISTEMAS MEDICOS PROFESIONALES (actualmente denominada PLENISAN, S.L.) por los siguientes conceptos: “- Determinación de los parámetros para la selección de los receptores (público objetivo). - Extracción y normalización de datos conforme a dichos parámetros. - Impresión de datos en documentos publicitarios.” CUARTO: Los datos del denunciante no se encontraban en fuentes de acceso público en el momento en que se realizó el envío denunciado, ni actualmente (folios 63, 79-80) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II Con carácter previo debe analizarse la alegación de PRINT LASER SPAIN, S.L. referida a la nulidad del procediendo por indefensión por no haber podido haber efectuar alegaciones a la vista del expediente pese a haber so citado copia del mismo. En este sentido debe señalarse lo siguiente: - En fecha 15/09/2015 le fue notificado el acuerdo de inicio del procedimiento sancionador otorgándole un plazo de 15 días hábiles para formular alegaciones, por tanto el plazo finalizaba en fecha 02/10/2015. En fecha 21/09/2015 tuvo entrada en esta Agencia su escrito solicitando copia del expediente. En fecha 28/09/2015 se remitió copia del expediente que fue recibido por la imputada en fecha 05/10/2015. En fecha 02/10/2015 la imputada prestó escrito de alegaciones en el servicio de correos que tuvieron entrada en esta Agencia en fecha 06/10/2015. Por tanto si bien es cierto que la copia del expediente fue recibida por la imputada con posterioridad a la finalización del plazo de alegaciones, debe recordársele lo establecido por la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 “Artículo 79 Alegaciones 1. Los interesados podrán, en cualquier momento del procedimiento anterior al trámite de audiencia, aducir alegaciones y aportar documentos u otros elementos de juicio. Unos y otros serán tenidos en cuenta por el órgano competente al redactar la correspondiente propuesta de resolución.” Para analizar esta cuestión conviene recordar que, en materia sancionadora, el Tribunal Constitucional ha establecido, como uno de los pilares básicos para la interpretación del Derecho Administrativo sancionador, que los principios y prácticas básicas en el ámbito del Derecho Penal sean aplicables, con ciertos matices, en el ejercicio de cualquier potestad sancionadora de la Administración Pública (entre otras, la Sentencia 76/1990, de 26 de abril). En este sentido la Sentencia del Tribunal Constitucional 18/1981 (fundamento jurídico segundo “in fine”), señaló que “los principios esenciales reflejados en el artículo 24 de la Constitución en materia de procedimiento, han de ser aplicables a la actividad sancionadora de la Administración ...... porque la garantía del orden constitucional exige que el acuerdo se adopte a través de un procedimiento en el que el presunto inculpado tenga oportunidad de aportar y proponer pruebas y alegar lo que a su derecho convenga”. En dicho contexto constitucional, uno de los trámites esenciales del procedimiento sancionador es la propuesta de resolución, que se regula en el artículo 18 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, que dispone: “1. Concluida, en su caso, la prueba, el órgano instructor del procedimiento formulará propuesta de resolución en la que se fijará de forma motivada los hechos, especificándose los que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan y la persona o personas que resulten responsables, especificándose la sanción que propone que se imponga y las medidas provisionales que se hubieran adoptado, en su caso , por el órgano competente para iniciar el procedimiento o por el instructor del mismo; o bien se propondrá la declaración de no existencia de infracción o responsabilidad”. La propuesta de resolución, como dispone la Sentencia del Tribunal Supremo de 17 de julio de 2003, contiene los hechos que se consideran probados y su exacta calificación jurídica, determina la infracción que, a su juicio, aquellos constituyen, y la persona o personas que resulten responsables, además de la sanción que lleva aparejada y que se propone. El transcrito precepto es la concreción del principio general en materia sancionadora contenido en el artículo 135 de la LRJPAC. Se trata de un precepto que pretende garantizar el derecho a la defensa del presunto responsable, de ahí que se establezca la garantía de notificación de los hechos imputados, pues sólo cuando se tiene conocimiento de éstos es posible el ejercicio del legítimo derecho de defensa. Por ello, todo presunto responsable tiene derecho a ser informado de la acusación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 Sobre la propuesta de resolución, la Sala Tercera del Tribunal Supremo (en Sentencias, entre otras, de 21 de abril de 1997, 16 de marzo de 1998, 24 de abril de 1999 y 16 de noviembre de 2001) y teniendo en cuenta la Sentencia del Tribunal Constitucional 29/1989, de 6 de febrero, ha elaborado una jurisprudencia consolidada en virtud de la cual “el derecho a ser informado de la acusación, que con la categoría de fundamental se garantiza en el artículo 24.2 de la Constitución, se satisface normalmente en el procedimiento administrativo sancionador a través de la notificación de la propuesta de resolución.... Excepcionalmente aquel trámite podrá dejar de ser imprescindible, desde la óptica de la plena satisfacción del derecho fundamental citado, si en un trámite anterior se notificó aquel pronunciamiento preciso”. Aplicada la anterior doctrina al presente caso, hay que señalar que el procedimiento sancionador se inició por acuerdo de la Directora de la Agencia Española de Protección de Datos, de fecha 11/09/2015. En dicho Acuerdo se designó Instructor y Secretario, con indicación de la posibilidad de ser recusados, en su caso, conforme a lo establecido en el artículo 29 de la LRJPAC. Asimismo se identificó a PRINT LASER SPAIN, S.L. como presunta responsable del hecho imputado en dicho Acuerdo, fue informada detalladamente de la infracción objeto de reproche a la luz de la LOPD, de su calificación jurídica, de la posible sanción que tal infracción merecía, de la autoridad competente para imponerla y de su derecho a formular alegaciones y proponer prueba. Por tanto, conoció, en detalle, el hecho que se le imputaba y su alcance al amparo de dicha Ley Orgánica. De acuerdo con cuanto antecede, cabe señalar que, en ningún caso, ha existido indefensión material para PRINT LASER SPAIN, S.L. que, por el contrario, dispuso de los derechos y garantías previstas en el Ordenamiento Jurídico para la defensa de sus derechos. En consecuencia, no se ha producido un menoscabo del derecho de defensa, por lo que no cabe entender que se haya producido la infracción alguna del procedimiento sancionador. En este sentido, el Tribunal Constitucional, en su Sentencia de 29 de noviembre de 1999, manifestó que “...la indefensión constitucionalmente relevante es la situación en que, en general, tras la infracción de una norma procesal, se impide a alguna de las partes el derecho a la defensa, eliminando o limitando su potestad, bien de alegar derechos e intereses para que le sean reconocidos, o bien de replicar dialécticamente las posiciones contrarias en el ejercicio del principio de contradicción y que esta indefensión ha de tener un carácter material y no meramente formal, lo que implica que no es suficiente con la existencia de un defecto o infracción procesal, sino que debe haberse producido un efectivo y real menoscabo del derecho de defensa...”. Más aún, Tribunal Supremo ha mantenido que para que un acto pueda considerarse nulo por haberse dictado prescindiendo total y absolutamente del procedimiento legalmente establecido, “...han de concurrir los requisitos, como sostiene la sentencia de 15 de octubre de 1997 de esta Sala y jurisprudencia precedente, (desde la sentencia de 21 de marzo de 1988) que dicha infracción ha de ser clara, manifiesta y ostensible, lo que supone que dentro del supuesto legal de nulidad, se comprendan los casos de ausencia total del trámite o de seguir un procedimiento distinto, lo que no ha sucedido en la cuestión examinada, como en un asunto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 precedente también hemos reconocido: STS de 10 de octubre de 2000, 3ª, 7ª, núm. 219/1999” (Sentencia de 17/10/2000). Conforme a los fundamentos de derecho señalados con anterioridad debe desestimarse la alegación de infracción de la norma reguladora del procedimiento sancionador. III En cuanto a la caducidad de las actuaciones previas, se aprecia que en la denuncia, modelo precumplimentado consta “FIRMADO por sede electrónica AGPD a fecha 02/09/2014”, y si bien el ejemplar extraído e imprimido de dicha sede, aparece firmado a mano en dicha fecha, constando u sello de presentación en fecha 03/09/2014 en el Registro General del Ayuntamiento de Sevilla, y el sello de entrada de la Agencia de 16/09/2014. En la sede electrónica de la AEPD se ofrecen modelos precumplimentados y la posibilidad de enviar con firma electrónica o en soporte papel. En este caso se presentó en soporte papel si bien el formulario se obtuvo el 02/09/2014. La fecha de efectos de la presentación, al no ser firma electrónica no es la de 02/09/2014, sino la de su efectiva entrada en el Organismo, en fecha 16/09/2014 por lo que las alegaciones de que se cuenta desde la fecha del sello de Correos no pueden ser estimadas, tomando en consideración que el acuerdo de incaico del procedimiento sancionador fue notificado a PLENISAN, S.L. en fecha 15/09/2015. IV Respecto a la solicitud del plazo para realizar alegaciones a la propuesta de resolución efectuada por PLENISAN en base a la indefensión sobrevenida al no tener acceso al expediente completo con anterioridad al vencimiento del plazo de alegaciones a la propuesta de resolución pese a haber solicitado copia del mismo. En este sentido debe señalarse lo siguiente: - En fecha 15/09/2015 le fue notificado el acuerdo de inicio del procedimiento sancionador otorgándole un plazo de 15 días hábiles para formular alegaciones. En fecha 23/09/2015 tuvo entrada en esta Agencia su escrito solicitando copia del expediente. En fecha 28/09/2015 se remitió copia del expediente que fue recibido por la imputada en fecha 05/10/2015. En fechas 06/10/2015 y 16/10/2015 tuvieron entrada en esta Agencia escritos de alegaciones de la imputada las cuales fueron tomadas en cuenta e incorporadas en la propuesta de resolución del procedimiento. En fecha 12/02/2016 se emitió propuesta de resolución que fue notificada a la imputada en fecha 16/02/2016 según acredita el documento de entrega del servicio de mensajería responsable de la entrega. Dicha entrega, dirigida a la imputada y su representante B.B.B., se efectuó en el domicilio social de la imputada en (C/....1) (Valencia) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 - - En fecha 23/02/2016 tuvo entrada en esta Agencia solicitud de la imputada de copia de los documentos nº 41 hasta el final del expediente, los cuales fueron enviados en fecha 26/02/2016 a la dirección ((C/....1) Valencia) y persona (B.B.B.) representante, de la imputada siendo rehusado el envío en fecha 29/02/2016 según informa el servicio de mensajería utilizado para su envío. La documentación fue enviada nuevamente a PLENISAN a través del servicio de correos siendo recibida en fecha 07/03/2016. En fecha 08/03/2016 tiene entrada en esta Agencia escrito de PLENISAN de fecha 04/03/2016 en el que solicita la suspensión del plazo para realizar alegaciones a la propuesta de resolución por no disponer, a fecha del término del plazo para efectuar dichas alegaciones, de copia del expediente administrativo completo solicitado En este punto debe recordarse lo dispuesto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC). “Artículo 59 Práctica de la notificación 1. Las notificaciones se practicarán por cualquier medio que permita tener constancia de la recepción por el interesado o su representante, así como de la fecha, la identidad y el contenido del acto notificado. La acreditación de la notificación efectuada se incorporará al expediente. … 4. Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las circunstancias del intento de notificación y se tendrá por efectuado el trámite siguiéndose el procedimiento.” En el presente caso el envío de la copia (documentos nº 41 y siguientes) del expediente solicitada por PLENISAN fue rechazada por ésta en fecha 29/02/2016, esto es con anterioridad al plazo para formular alegaciones que terminaba en fecha 04/03/2016, por lo que según la normativa señalada se tuvo por efectuado el citado trámite. En cuanto a la suspensión del plazo para formular alegaciones a la propuesta de resolución debe señalarse que tal circunstancia no se encuentra prevista en la norma de procedimiento aplicable, a saber, el Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el reglamento del procedimiento para el ejercicio de la potestad sancionadora. Respecto a la alegación de indefensión por falta de acceso al expediente íntegro debe recordarse nuevamente que la imputada rehusó la recepción de su envío efectuad por la Agencia, al margen de que dichos documentos, con la única excepción de la alegaciones de PRINT LASER SPAIN, S.L (que por otra parte constan incorporadas a la propuesta de resolución y por tanto fueron conocidas por la imputada), en ningún caso suponen un menoscabo de su derecho de defensa por cuanto se trata en único extremo de actos de trámite (solicitudes de copia de expediente y remisión de las mismas) que en todo caso, al igual que las alegaciones antes referidas, están recogidos en la propuesta de resolución notificada a la imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 V Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado VI Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas: Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos. Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento. Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso PRINT LASER SPAIN,S.L. ha de considerarse responsable del fichero de acuerdo con el art. 3 de la LOPD transcrito parcialmente ut supra en relación los elementos de juicio que constan en el expediente habida cuenta que los datos del denunciante utilizados para el envío denunciado se encontraban en sus ficheros sin que se acredite el origen de los mismos y el consentimiento de sus titular para su tratamiento, extremos éstos reconocidos por la propia entidad. Respecto de PLENISAN, S.L., alega respecto de su consideración de acuerdo con el art. 43 LOPD y 46.2 RDLOPD, la vulneración del principio de confianza legítima así como la existencia de jurisprudencia que determina la ausencia de culpabilidad del beneficiario de la publicidad en caso de que exista la exigencia contractual del beneficiario de la publicidad al proveedor de que garantice que los datos personales a utilizar en una campaña proceden de fuentes accesibles al público o han sido facilitados con consentimiento Pues bien, debe tenerse en cuenta que con la documentación obrante en el expediente, Factura y Contrato, no pueden determinarse las variables utilizadas para identificar el público objetivo o destinatario de una campaña ex art. 46.4 RDLOPD. Es decir, no puede determinarse que en el servicio encomendado a PRINT LASER SPAIN, S.L., conste la determinación de dichos parámetros, por mucho que en dicho contrato conste la inserción de una clausula tipo estandarizada, pues es obvio que en la relación mercantil entre ambas para la citada campaña es necesario la existencia de otras instrucciones, órdenes de trabajo, etc.,. que pueda conllevar el envío de cartas nominativas que publicitan un evento comercial organizado por PLENISAN, S.L. por las razones que a continuación se exponen: PLENISAN S.L. no aporta otros elementos de prueba que acrediten qué parámetros se fijaron y por quién se fijaron. Así las cosas, lo establecido en el contrato es genérico siendo racionalmente necesario otra determinación u acotación más allá de la citada clausula, pues únicamente del citado contrato ayuno de otras circunstancias, no puede deducirse los aspectos relacionados con la acción publicitaria consistente de remitir la carta/invitación que aporta el denunciante al expediente y que prueba el tratamiento de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 En este sentido escapa a la lógica más elemental que con la documentación en que se sustenta la contratación de los servicios incorporado al expediente (únicamente el contrato y la factura) se pueda llevar a cabo una acción publicitaria que culmine con el envío del folleto donde constan los datos personales del denunciante, y que se promociona un evento que tiene se celebra en un lugar determinado y que se publicita un determinado producto, de dicha documentación ( solamente contrato y factura) no puede deducirse el dónde?, el qué?, el cómo? y en lo que aquí interesa, el¿ a quién?, es decir, las variables utilizadas para identificar el público objetivo o destinatario de una campaña ex art. 46.4 RDLOPD. Es decir, se hace necesario la existencia de otras indicaciones que únicamente está en condición de probar la propia PLENISAN,S.L, pues no puede obviarse que si la acción publicitaria consiste en la invitación a un evento comercial que tiene lugar en el “Hotel NH Viapol” de la localidad de Sevilla, cualquier fin buscado con dicha acción comercial, se vería frustrado si la publicidad se envía a vecinos de cualquier otro municipio del territorio español ( téngase en cuenta que hay 8.122 a 1 de enero de 2015, INE). Es decir, necesariamente se tiene que determinar los datos personales sobre los que se hace la acción comercial, en este caso sobre los vecinos de la localidad donde se vaya a realizar el evento comercial, y como se ha señalado esa determinación y su prueba, solamente está en condiciones de acreditarla la propia PLENISAN, S.L. incluso aunque hubiera sido la propia PRINT LASER SPAIN, S.L. estaría en condiciones de probar tal extremo y nada de esto ha sucedido. PLENISAN, S.L., debería estar en condiciones de probar la existencia de los criterios de segmentación referidos en el contrato y la factura, aun en el caso de que se hubieran fijado por PRINT LASER SPAIN, S.L., es decir, si esta entidad los determinó, es PLENISAN, S.L. la que tiene de algún modo que aceptarlos o validarlos, pues no puede olvidarse que la beneficiaria de la acción publicitaria, la principal interesada en que dicha acción se haga de una forma o de otra, es la propia PLENISAN, S.L., por lo que de ser todo como manifiesta, existiría un documento ( ya sea orden de trabajo, borrador, albarán o un simple correo electrónico) donde diera su visto bueno o aceptación, que probara que fue PRINT LASER SPAIN, S.L., quien determinó los parámetros y sin embargo nada de esto ha aportado. No puede argumentarse que PLENISAN, S.L. no intervino en la campaña según reflejan el contrato y la factura. Pues bien, debe señalarse que no solo son objeto de prueba los documentos que cita, sino que también son objeto de prueba los hechos producidos, es decir, el tratamiento de datos personales de la denunciante para recibir publicidad de PLENISAN, S.L., y es precisamente la confrontación de los documentos, con los hechos, los que hacen insuficiente o carente de sentido las manifestaciones de PLENISAN, ya que como se señaló de dicha documentación no puede llevarse a cabo la acción publicitaria determinada, pues ni en el contrato, ni en la factura consta nada respecto de la campaña “La Olla Electrica Programable CHEF 3355”, ni respecto del lugar de celebración el Hotel NH VIAPOL de Sevilla, ni la fecha del evento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 Por lo tanto, lo que se deduce de la documentación obrante en el expediente y atendiendo al resultado producido, que PLENISAN, S.L. se dirigió a PRINT LASER SPAIN, S.L. que ofrecía un fichero para realizar acciones de marketing directo y es precisamente esa elección, la determinación del público objetivo destinatario de la campaña, es decir, la única determinación acreditada de a quién va dirigida la campaña, o dicho de otro modo, la única variable utilizada para identificar el público objetivo o destinatario, y que es imputable a PLENISAN, S.L.. VII Los razonamientos expuestos en los Fundamentos de Derecho anteriores han de tenerse en cuenta, sin perjuicio de que PLENISAN, S.L. decidió sobre la finalidad y el uso de los datos contenidos en el fichero de PRINT LASER SPAIN, S.L. lo que le sitúa como responsable del tratamiento de acuerdo con la definición prevista en el art. 3 de la LOPD que determina que es responsable del tratamiento la (…) Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.(…) El art. 46.2 de RDLOPD será de aplicación cuando son probados los hechos cuya consecuencia jurídica se recoge en el citado precepto. Esto es, no será responsable del tratamiento la entidad que encargue la campaña cuando esté plenamente acreditado que los parámetros de la campaña los determinó la empresa contratada, cuando no sea así, habrá que atender a lo dispuesto con carácter general en el art. 43 de la LOPD. Y en el presente caso, PLENISAN, S.L. no ha probado (a pesar de la facilidad de dicha prueba y de las sendas oportunidades que ha tenido para ello) los hechos que permiten la aplicación del art. 46.2 del RDLOPD. Por todo ello PLENISAN, S.L. ha de considerarse responsable del tratamiento de los datos del denunciante y situarla bajo la responsabilidad que determina el art. 43 de la LOPD antes citado. VIII De acuerdo con lo dispuesto en el art. 6 de la LOPD, ni PRINT LASER SPAIN, S.L. ni PLENISAN,S.L., han acreditado que tenían el consentimiento del denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Acreditado el tratamiento de datos personales las entidades denunciadas no han presentado ninguna prueba que pueda evidenciar el origen licito de los datos del denunciante ( ni si quiera ha concretado cual es el origen de los mismos) y por tanto que contaban con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. PRINT LASER SPAIN, S.L. registró en su fichero automatizado y por cuenta de PLENISAN, S.L. los sometió a tratamiento utilizando los datos concretándose en nombre y apellidos, dirección con piso y puerta, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos. IX Dispone el artículo 44.3.
  9. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, respecto del tratamiento realizado por cuenta de PLENISAN, S.L. y utilizando el fichero de PRINT LASER SPAIN, S.L. se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. X Acreditada la comisión de la infracción por parte de las entidades denunciadas procede abordar el elemento subjetivo que requiere la imposición de la sanción que pudiera corresponder. En cuanto a la concurrencia, en el caso de PLENISAN S.L., del elemento subjetivo de la culpa o negligencia en la medida en que mediante el contrato obrante en el expediente y en concreto en el acuerdo segundo “Garantías” se ofrecen garantías de legalidad de la base de datos a utilizar todo ello de acuerdo con el art. 46.3 del RDLOPD que prevé que (…) En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.(…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 No cabe entender que el contrato cumple con el precepto ya que las previsiones del mismo suponen la adopción de (…) las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento (…), sin embargo no puede entenderse suficiente dicha consideración ni menos aún excluir el elemento subjetivo de la culpa. Así en la Sentencia de la Audiencia Nacional de 30/04/2015 recaída en el Recurso ContenciosoAdministrativo 242/2013, en un caso similar al objeto de valoración en este expediente sancionador y en relación con la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) En el presente caso no consta medida alguna por parte de PLENISAN, S.L., tendente a verificar la legalidad de los datos a los que iban a ser sometidos por su cuenta, por lo que la comisión del ilícito que se imputa lo es al menos a título de culpa. XI Por otro lado también en relación con el elemento subjetivo, PLENISAN, S.L. manifiesta la vulneración del principio de confianza legítima ya que en la resolución recaída en el Procedimiento Sancionador PS/181/2015 no fue objeto de sanción y en cambio en el presente si lo ha sido. De acuerdo con lo establecido en el art. 54 de la LRJPAC las administraciones pueden cambiar el criterio de sus actuaciones siempre y cuando se haga de forma motivada, pues bien, precisamente existen diferencias subjetivas y temporales, entre lo resuelto en el procedimiento sancionador de tanta cita, y en el presente caso, que se concretan en lo expuesto en el fundamento de derecho anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 Asimismo y siguiendo con el análisis del principio de confianza legítima en la citada sentencia transcrita parcialmente ut supra, se aborda el análisis de la modulación de criterios de las administraciones públicas en el ejercicio de la potestad sancionadora, en un caso similar a éste para concluir que de los hechos probados se desprende la comisión de la infracción por parte del beneficiario de la publicidad con independencia del criterio mantenido con anterioridad, en concreto señala (…) Por otro lado, se alude por la parte actora a la conculcación del principio de confianza legítima al existir precedentes administrativos, en concreto, en el procedimiento sancionador PS 52/2012, incoado por la Agencia contra Todo Data Integral Services, S.L., en que no se han sancionado conductas idénticas a la de la parte actora. En relación con la doctrina de los actos propios resultan de interés lo declarado en las Sentencias del Tribunal Supremo de 28 de diciembre 2012 -recurso nº. 273/2009y 3 julio 2013 -recurso nº. 2.511/2011-, entre otras, que tratan sobre la infracción del principio de vinculación por actos propios, doctrina, surgida originariamente en el ámbito del derecho privado, que significa la vinculación del autor de una declaración de voluntad al sentido objetivo de la misma y la imposibilidad de adoptar después un comportamiento contradictorio, estando la misma doctrina estrechamente ligada al principio de buena fe y de protección de la confianza legítima, positivizados en el artículo 3.1 de la Ley 30/1992, de 216 de noviembre, y que ha sido acogida igualmente por la jurisprudencia del Tribunal Supremo (SS.TS. de 1 de febrero de 1990; 13 de febrero y 4 de junio de 1992; 28 de julio de 1997). En consecuencia, tal doctrina, indican las citadas Sentencias, supone que la actuación de las Administraciones Públicas no puede ser alterada arbitrariamente, y añaden: <<En concreto, en la STS de esta Sala de 26 de febrero de 2001, RC 5453/1995 dijimos que "Tanto la doctrina del Tribunal Constitucional como la Jurisprudencia de este Alto Tribunal (STS de 1 de febrero de 1999) considera que el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que dicho principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos, constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contra factum propium". Ahora bien, este principio no puede invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de amparar una conducta discrecional por la Administración que suponga el reconocimiento de unos derechos y/u obligaciones que dimanen de actos propios de la misma. O, dicho en otros términos, la doctrina invocada de los "actos propios" sin la limitación que acaba de exponerse podría introducir en el ámbito de las relaciones de Derecho público el principio de la autonomía de la voluntad como método ordenador de materias reguladas por normas de naturaleza imperativa, en las que prevalece el interés público salvaguardado por el principio de legalidad; principio que resultaría conculcado si se diera validez a una actuación de la Administración contraria al ordenamiento jurídico por el solo hecho de que así se ha decidido por la Administración o porque responde a un precedente de ésta>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 Con la alegación de la parte actora, de la existencia de precedentes administrativos, lo que se pretende es extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, pues, en el caso que nos ocupa, como hemos analizado, cabe apreciar en la conducta de la parte actora la infracción del art. 6.1 de la LOPD en relación con el art. 46 del RDLOPD, siendo indiferente al respecto que en otros supuestos, la Agencia Española de Protección de Datos, no haya sancionado a la entidad que contrataba la campaña de publicidad. ( El subrayado es de la Agencia Española de Protección de Datos) XII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La aplicación del artículo 45.5 de la LOPD <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC)”, SAN 21/01/2014, incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto y en el resto de supuestos examinados en el citado artículo. En el presente caso, constatada la comisión de la infracción imputada, se aprecia los requisitos del apartados
  25. b)y
  26. d)por cuanto PRINT LASER SPAIN, S.L. canceló los datos del denúnciate en sus ficheros y reconoce los hechos imputados, procediendo, en consecuencia, imponer una multa cuyo importe se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). Se considera que cabe aplicar esta minoración cualificada de la sanción por concurrir en forma significativa varios de los criterios enunciados en el apartado 4 del artículo 45, en concreto los supuestos
  27. b),
  28. h), toda vez que de lo actuado se desprende que del tratamiento efectuado por la entidad imputada en relación con los datos personales del denunciante afecta a un único envío publicitario, falta de constancia de que a raíz de la comisión de la infracción se hayan causado perjuicios al denunciante distintos de los asociados al tratamiento no consentido de sus datos personales. A su vez, ya en el rango de las multas descritas para las infracciones leves a la LOPD, y a los efectos de la ponderación de la sanción concreta a imponer en este caso, junto a los supuestos anteriormente citados que actúan como atenuantes, se considera que, por el contrario, operan como agravantes los supuestos
  29. c)y
  30. g)del mencionado artículo 45.4. En cuanto al supuesto c), téngase en cuenta que la entidad PRINT LASSER SPAIN, S.L. es titular de un fichero con datos de carácter personal que tiene como finalidad la “realización de actividades de marketing directo y prospección comercial, suministro y enriquecimiento de bases de datos” (folio 67), lo que supone que para la realización de la actividad publicitaria objeto de su negocio dicha entidad precisa estar en continuo contacto con datos de carácter personal, por lo que le resulta exigible una especial diligencia no sólo en lo que se refiere al conocimiento de la normativa de protección de datos de carácter personal, sino también en cuanto al rigor y cuidado que debe mostrar para su efectivo cumplimiento en razón de la vinculación de la actividad del infractor con el tratamiento habitual y constante de datos personales . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 En este caso, a la vista de las consideraciones efectuadas en los anteriores fundamentos de derecho, ha quedado patente la falta de diligencia mostrada por esa entidad al tratar con fines publicitarios los datos personales del denunciante sin poder acreditar que la utilización de los mismos era conforme a los derechos y garantías establecidos por la LOPD y su normativa de desarrollo, resultando con ello acreditado el elemento culpabilísimo en la comisión de la infracción que nos ocupa, no obstante lo cual se acreditada que la entidad ha excluido de su fichero los datos del denunciante con objeto de no que no vuelva a recibir comunicaciones como la que fue objeto de su denuncia, sin que se tenga constancia de ningún nueva tratamiento de datos sin consentimiento del denunciante efectuado por la imputada y concretado en un envío publicitario como el que originó la apertura del presente expediente sancionador. En este sentido conviene recordar lo recogido por la Sentencia de la Audiencia Nacional Recurso 104/2006 señala que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”, en el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que ”pues la naturaleza de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentales- art. 18.4 CE”. Se incide que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado, para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En lo referente al supuesto g), en el PS/00181/2015, Resolución nº R/01378/2015, se acordó sancionar por esta Agencia a PRINT LASSER, S.L., con fecha 2 de junio de 2015, con una multa de 1.000 euros por la comisión de una infracción de la misma naturaleza, lo que conlleva la existencia de reincidencia. En consecuencia, con arreglo a los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y de conformidad con el principio de proporcionalidad contemplado en el artículo 131.3 de la LRJ-PAC, se estima como adecuada a la gravedad de los hechos constitutivos de la infracción analizada proponer la imposición de una multa de 3.000 euros a PRINT LASSER. En relación con la infracción cometida por PLENISAN y en relación con lo establecido en el art. 45 de la LOPD no procede aplicar la degradación prevista en su apartado 5 y fijar el importe de la sanción propuesta, dentro de la escala relativa a las infracciones leves. Y ello porque no se acreditado que tomara medida alguna en atención al cumplimiento de lo previsto en el artículo 46.3 del RLOPD, lo cual detona una absoluta falta de diligencia en su actuación, diligencia que le es exigible en la medida en que su actividad es la realización de campañas comerciales en las que el tratamiento masivo de datos es condición sine pensable. Por otra parte, existe tanto la reiteración como la reincidencia en la comisión de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 infracciones de la misma naturaleza. El art. 131.3
  31. c)LRJPAC establece que existe reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme. Además, dicho artículo señala como parámetro para graduar el importe de la sanción en relación con el principio de proporcionalidad, el grado de intencionalidad o reiteración. En el presente, habida cuenta de que la PLENISAN, S.L., ha sido sancionada anteriormente mediante Resoluciones R/02402/2014, R/02556/2015 y R/02678/2015 por lo que concurre el agravante tanto de la reiteración, como de la reincidencia. En este sentido así ha reconocido, entre otras, en la STSJ de Baleares de 11 de junio de 1999 (RJA 1999,1621): En efecto, en el marco del Derecho administrativo sancionador, la reiteración se distingue de la reincidencia, únicamente en que aquella comprende a infracciones cometidas con una diferencia temporal superior a un año y es también independiente de que dichas infracciones participen o no de la naturaleza de la considerada, en la que se quieren hacer valer los efectos agravatorios”. Por su parte, en cuanto a la firmeza de las resoluciones que requiere el citado art. 131.1
  32. c)LRJPAC, la jurisprudencia del Tribunal Supremo, en Sentencia de 24 de octubre de 2000 (RJ 2000,9375) y de 11 de marzo de 2003 ( RJ 2003,2656) ha señalado que “ Por ello parece preferible la interpretación de que, para que pueda aplicarse la circunstancia de reincidencia para una calificación mas grave de la conducta sancionable o para la agravación de la sanción prevista en la norma sancionadora, solo será necesaria la firmeza en vía jurisdiccional del acto sancionador previo cuando explícitamente sea exigida por la norma, pero no cuando se exige genéricamente la firmeza de la resolución administrativa, como ocurre en el supuesto del art. 131.3
  33. c)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el que corresponde al caso enjuiciado en este proceso. En estos supuesto bastara, por ende, la firmeza en vía administrativa de la resolución sancionadora, determinante de la ejecutividad del acto decisorio”. En el presente caso las Resoluciones R/02556/2015 y R/02678/2015, citada son firmes debiendo predicarse en el presente procedimiento, la reiteración de la conducta, y la reincidencia en la comisión de infracciones de la misma naturaleza. En cuanto a la aplicación de los criterios recogidos en el art. 45 .4 de la LOPD, y en especial al grado de intencionalidad, su vinculación con el tratamiento de datos y el elemento subjetivo de la culpabilidad, ( apartados c),
  34. d)y
  35. f)debe señalarse que reiterada jurisprudencia nos dice que la diligencia exigible nos la da la profesionalidad del presunto infractor en relación a su vinculación con el tratamiento de datos y sometimiento a la norma sectorial, por lo que en el presente caso PLENISAN, S.L. no puede ser ajena a los mandatos de la LOPD, y probado esta que no solo no lo es, sino que formula alegaciones y crea documentación para intentar eludir el régimen sancionador. Por todo ello procede proponer la imposición a PLENISAN, S.L. de una multa en cuantía de 40.001 euros que se estima adecuada al principio de proporcionalidad por las circunstancias expuestas. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PLENISAN, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. b)de la LOPD, una multa de 40.001 € (cuarenta mil un euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: IMPONER a la entidad PRINT LASER SPAIN, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  37. b)de la LOPD, una multa de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45.1 4 y 5 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a PLENISAN, S.L., PRINT LASER SPAIN, S.L., y a D. A.A.A.. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.