← España

PS-00532-2017

1/17 Procedimiento Nº PS/00532/2017 RESOLUCIÓN: R/03419/2017 En el procedimiento sancionador PS/00532/2017, instruido por la Agencia Española de Protección de Datos a la entidad INFORMACION PRIVILEGIADA, S.L.., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A., y B.B.B. (en lo sucesivo los denunciantes o denunciante 1 y denunciante 2 respectivamente) presentaron escritos de denuncia en fechas de 6/09/2016 y 6/011/2016 en el que denuncian a GRUPO MEDIA SALUD TV y a INFORMACION PRIVILEGIADA, S.L.., por los siguientes hechos: 1. El denunciante1 ha recibido un envío publicitario, el 4 de noviembre de 2016, de la entidad MEDISALUD a su nombre, apellidos y dirección postal que no figura en ninguna fuente de acceso público y no consta en repertorio de abonados a servicios telefónicos. La comunicación parece ir dirigida a personas mayores de 45 años por lo que las empresas afectadas, GRUPO MEDISALUD TV, S.L. e INFORMACIÓN PRIVILEGIADA, S.L. (en adelante IP), pueden disponer de la fecha de nacimiento Se anexa con el escrito de denuncia sobre ventanilla en el cual consta como destinatario denunciante1 y como remitente “MEDISALUD GM (C/...1)”. El documento publicitario Invitación personal, para el día 17 de noviembre de 2016 en un hotel de la localidad de ***LOCALIDAD.1 (Barcelona), en el que se indica “y si es usted viudo/a, venga acompañado de un familiar o un amigo/a mayor de 45 años y recibirá el mismo regalo (…). Si conoce a un matrimonio o pareja amiga, mayor de 45 años, INVÍTELA a venir. También recibirá los mismos regalos que usted”. En el pie de página figura el texto “Los datos utilizados para este envío publicitario tienen su origen en IP, S.L. Usted puede ejercer los derechos de acceso, rectificación, cancelación u oposición dirigiéndose a la siguiente dirección: (C/...2) (Tfno.: ***TELF.1)”. En el código de barras del envío publicitario constan los caracteres ***COD.1. 2. La denunciante2 ha recibido “5” envíos publicitarios, en enero, junio y septiembre de 2016 y en enero y agosto de 2017, de la entidad MEDISALUD en el domicilio postal donde no reside y que entre los organismos que tienen sus datos se encuentra la oficina del censo electoral. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 Se anexa con el escrito de denuncia copia de los “5” documentos publicitarios en los que consta como destinataria denunciante2, nombre, apellidos y domicilio postal en la localidad de ***LOCALIDAD.2 (Málaga), como remitente “MEDISALUD GM (C/...1)”. En “3” de ellos se invita a un acto en un restaurante de la localidad de ***LOCALIDAD.3 (Málaga) los días 21 de enero, 14 de septiembre de 2016 y 15 de enero de 2017, en los otros “2” envíos se invita a una excursión los días 17 de junio de 2016 y 4 de agosto de 2017. En “3” de ellos se indica “Si es usted viudo/a, venga acompañado de un familiar o un amigo/a mayor de 45 años y recibirá el mismo regalo (…). Y si conoce a un matrimonio o pareja amiga, mayor de 45 años, INVÍTELA a venir. También recibirá los mismos regalos que usted”. En el pie de página figura el texto “Los datos utilizados para este envío publicitario tienen su origen en IP, S.L. Usted puede ejercer los derechos de acceso, rectificación, cancelación u oposición dirigiéndose a la siguiente dirección: (C/...3) (Tfno.: ***TELF.1)”. En “3” de ellos consta la dirección (C/...2)En el código de barras de los envíos publicitarios figuran los caracteres GM3485, GM3773, GM3995, GM4326 y GM5094. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias, teniendo conocimiento de lo siguiente: 1. La Inspección de Datos ha verificado que los datos de los denunciantes no constan en los repertorios electrónicos de clientes del Servicio Telefónico Básico denominados “páginasblancas” e “infobel”. Dichas circunstancias constan en las Diligencias de fecha 31 de agosto y 23 de octubre de 2017. 2. Con respecto a MEDISALUD: De la información y de la documentación remitida por la compañía, con fecha de 12 de julio y de 20 de octubre de 2017, en relación con los envíos publicitarios recibidos por los denunciantes se desprende lo siguiente:  Las empresas MEDISALUD (CLIENTE) e IP (PROVEEDOR) suscribieron un Contrato de prestación de servicios de suministro de bases de datos para marketing, con fecha de 18 de septiembre de 2015, entre cuyas estipulaciones se encuentran las siguientes: Primera.- Objeto Por virtud de este contrato, se prestaran por PROVEEDOR al CLIENTE los siguientes servicios:  Planificación de las campañas de marketing y publicidad que se vayan a llevar a cabo para la venta de los productos del CLIENTE.  Selección de datos de carácter personal de los destinatarios de sus propios ficheros para la ejecución de cada una de dichas campañas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17  Impresión de los datos personales de los destinatarios en las piezas publicitarias que se vayan a utilizar en cada una de las campañas. Gestión para envío. El PROVEEDOR obtendrá por sus propios medios los datos para efectuar las convocatorias y decidirá cómo segmentarlos en cada envío. Segunda .- Obligaciones del PROVEEDOR 2.2. - El PROVEEDOR se compromete a que los datos suministrados al CLIENTE cumplan las exigencias de la Ley 15/1999 (LOPD). En ningún caso se realizará una campaña si el PROVEEDOR no está seguro de que los datos que se van a utilizar cumplen dicha normativa y, en especial, las siguientes exigencias:  Que, bien el interesado ha dado su consentimiento para el envío de la publicidad, sin que lo haya revocado o que los datos procedan de los repertorios telefónicos vigentes en la fecha. Dichos repertorios deberán estar vigentes y podrán ser completados con datos de piso y puerta procedentes de otras fuentes accesibles al público de las previstas en el artículo 3

  1. j)de la LOPD u obtenidos con consentimiento informado de los interesados.  Que los datos se encuentren actualizados.  Que hayan sido previamente cruzados con las listas de exclusión de comunicaciones comerciales 2.3. – Si el PROVEEDOR adquiriese bases de datos de terceros para realizar dichas campañas de marketing directo, exigirá a esos terceros, bajo su responsabilidad, las mismas garantías establecidas en este contrato”. La resolución contractual del citado contrato de prestación de servicios se efectúa por la compañía IP, con fecha de 31 de julio de 2017, por incumplimiento de las obligaciones de pago incluidas en la cláusula sexta. Se adjunta copia del citado contrato y de la resolución del mismo.  Por otra parte, MEDISALUD comunica que no disponen de documentación acreditativa del procedimiento de obtención de los datos personales de los denunciantes, puesto que dicha tarea fue realizada por la empresa IP, en virtud del contrato suscrito al respecto, dicha empresa es la que seleccionaba, recopilaba y trataba, como responsable del fichero, los datos personales de los destinatarios de las campañas de marketing que realizaba MEDISALUD. Por lo que en los ficheros de MEDISALUD no constan ni han constado los datos personales de los denunciantes.  Los destinatarios de las campañas objeto de las denuncias fueron seleccionados por la empresa IP como resulta de los términos del contrato y de las facturas. A tal efecto, IP informaba a MEDISALUD previamente de los lugares elegidos por ella como más adecuados para llevar a cabo los eventos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 de presentación de los productos. En caso de que la presentación de productos se fuese a llevar a cabo en un determinado lugar, IP recomendaba la contratación de un determinado hotel o restaurante en la zona y actuaba como intermediaria para su contratación en las fechas que había elegido, si bien, el pago al hotel o restaurante se efectuaba por MEDISALUD. Dichas circunstancias se acreditan mediante los siguientes documentos aportados: correo electrónico reserva restaurante por la compañía IP, para el evento de fecha 15 de enero de 2017, y posterior comunicación a MEDISALUD, así como factura emitida por el restaurante a nombre de MEDISALUD, documentos nº 4 y 7, anexos al escrito de fecha 20 de octubre de 2017. También, se aporta sendos escritos remitidos por la empresa IP a MEDISALUD, de fecha 3 de marzo de 2016 y de 20 de febrero de 2017, en los que informaba de las localidades seleccionadas para las convocatorias recibidas por la denunciante2, como documentos nº 9 y 10, anexos al escrito de fecha 20 de octubre de 2017.  En la factura emitida por la empresa IP a MEDISALUD, con fecha de 31 de octubre de 2016, por los servicios de la campaña del denunciante1 se detalla “Identificación y segmentación de áreas de influencias en las zonas residenciales donde se celebra el evento. Generación de BBDD (…), cantidad 535.820”. También, en el justificante de los envíos realizados con expresión de los parámetros identificativos”, de fecha 27 de octubre de 2016, perfil “HyM 5577 Edad”, una relación de poblaciones de la provincia de Barcelona con un total de “2.973” envíos. Copia de los citados documentos figuran como nº 2 y 3 anexo al escrito de fecha 12 de julio de 2017. En relación con las campañas de marketing, entre las que se encuentran, las recibidas por la denunciante2, aportan “4” facturas emitidas por IP a MEDISALUD, por los conceptos de “realización de campañas para organizar eventos, identificación y segmentación de áreas de influencia donde se celebra el evento y generación de BBDD” por cantidad “1.152.596”, “593.851”, “94.877” y “537.755” total “2.329.079”. 3. Con respecto a la compañía IP: de la información y de la documentación remitida por la compañía, con fecha de 13 de julio y de 17 de octubre de 2017, y de las actuaciones realizadas por la Inspección de Datos se desprende lo siguiente:  Los datos del denunciante1 manifiestan que han sido obtenidos mediante procedimientos legales a través de detectives privados, cuyos servicios son prestados a la mercantil IP, estando a la espera que les remitan dicha información para aportarla a esta AEPD, pero no han acreditado el origen de los datos personales del mismo.  Los inspectores de la AEPD se personaron, el día 5 de octubre de 2017, en el domicilio social de la compañía IP, que consta en el Registro Mercantil Central y en envíos publicitarios recibidos por la denunciante2, habiendo constatado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 que el Centro de Negocios en el que se encontraba dicho domicilio había cerrado sus instalaciones hace un año. También, se personaron en el domicilio que consta en la publicidad recibida por los denunciantes y que coincide con el que figura como remitente de la respuesta dada al requerimiento de la Inspección de Datos, no encontrándose presente representante de la entidad. Dichas circunstancias constan en la Diligencia de fecha 23 de octubre de 2017.  La Inspección de Datos remite escrito a la empresa IP informando que van a proceder a realizar inspección en el establecimiento de la compañía sito en la dirección (C/...2), el día 18 de octubre de 2017, habiendo sido entregado en destino el día 11 de octubre de 2017.  Con fecha de 17 de octubre de 2017, se recibe en la Inspección de Datos escrito, por correo electrónico, del Abogado de la compañía IP en el que comunica lo siguiente: “Me pongo en contacto con ustedes a raíz de la conversación tenida en el día de ayer con el Inspector, avisándole de que mi cliente, la mercantil requerida, en la persona de su Administrador, D. B.B.B., no iba a dar su consentimiento a ser inspeccionado en tanto en cuanto ha interpuesto dos querellas criminales contra los Inspectores actuantes en el procedimiento sancionador PS/156/ 2016 y la última contra la misma AEPD, en tanto en cuanto se vuelve a conculcar la legalidad existente en los Arts. 49 LOPD y 121 del RLOPD, por cuanto no se ha requerido de inmovilización al propietario y responsable del fichero, y aun así, se vuelve a incoar contra él otro procedimiento sancionador que tiene la misma causa y objeto que otros dos anteriores, es decir, la sanción por incumplimiento de no observar la inmovilización de un fichero contra el que no existe requerimiento de inmovilización alguno en la persona del propietario y responsable del fichero. En tanto en cuanto no se resuelvan estos procedimientos penales no se permitirá la entrada a locales de mi cliente de Inspectores de la AEPD. En este punto, mi cliente quiere hacer mención del respeto que le merecen los Inspectores actuantes a los que se dirige, contra los cuales no tiene nada en contra, pero las circunstancias obligan a que la jurisdicción penal dirima las responsabilidades penales denunciadas y en base a las mismas se tomen las medidas pertinentes. En lo referente a la documentación requerida, nuestro cliente, la mercantil MEDISALUD TV, nos remitimos a nuestros anteriores escritos en el seno del presente requerimiento de información, y en particular al contrato ya aportado por nuestro cliente de fecha 18 de septiembre de 2015, y a las facturas ya aportadas por el mismo, etc, que también obran en su poder. Confirmamos su validez, insistiendo en el hecho básico que los criterios de selección de los destinatarios de las campañas publicitarias eran realizados por INFORMACION PRIVILEGIADA conforme a la ejecución del referido contrato. Volvemos a citar en este punto los fundamentos de la Sentencia del Tribunal Supremo, Sala C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 Tercera, de lo Contencioso-administrativo, Sección 2ª, Sentencia de 2 Abr. 2012, rec. 6089/2008, conforme a los cuales no constituye obstrucción a la labor inspectora la no aportación de documentos cuando estos ya obran en poder de la Administración cuando son aportados por un tercero”.  Los inspectores de la AEPD se personaron, el día 18 de octubre de 2017, en el domicilio de la compañía IP, (C/...2), Centro de Negocios Lexington, informando la recepcionista que no se encontraba presente el administrador de la sociedad. Posteriormente, el abogado de la empresa se puso en contacto con los inspectores reiterando el contenido del escrito del día anterior indicando que no recibirá a los mismos. TERCERO: En fecha de 30/10/2017 la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador a INFORMACION PRIVILEGIADA, S.L.. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  2. b)y del articulo 40 tipificada como infracción grave en el artículo 44.3
  3. j)de la citada Ley. CUARTO: La notificación del Acuerdo de Inicio, según consta en certificado del Servicio de soporte de Notificaciones electrónicas y Dirección electrónica Habilitada de la FNMT de 16/11/2017, fue puesta a disposición en fecha de 31/10/2017 y tras el plazo previsto en el art. 43 de la Ley 39/2015, de 1 de Octubre del Procedimiento Administrativo Común, y de acuerdo con lo dispuesto en el art. 41.5 de la misma norma, se entendió cumplido dicho trámite en fecha de 10/11/2017. QUINTO: En el Acuerdo de Inicio, notificado en fecha de 10/11/2017 se acordó (…)3. INCORPORAR al expediente sancionador, a efectos probatorios, las denuncias interpuestas y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
  4. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
  5. b)del RLOPD, la sanción que pudiera corresponder sería de 100.000 € (cien mil euros), sin perjuicio de lo que resulte de la instrucción. SEXTO: Tal como se advertía en el citado acuerdo de inicio, de conformidad con los artículos 64.2.
  6. f)y 85 de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP en adelante), de no efectuar alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. SEPTIMO: De las actuaciones practicadas han resultado acreditados los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 HECHOS PROBADOS UNO.- Entre los meses de enero a noviembre 2016 y de enero a agosto de 2017, los denunciantes han recibido varios envíos publicitarios, dirigidos a personas mayores de 45 años, en los que se ha utilizado sus datos personales (nombre y apellidos y domicilio), para la invitación a un evento de exposición comercial de la entidad GRUPO MEDISALUD TV, figurando, en el pie de dicha invitación “Los datos utilizados para este envío publicitario tienen su origen en INFORMACION PRIVILEGIADA, S.L.. Usted puede ejercer los derechos de acceso, rectificación, cancelación u oposición dirigiéndose a la siguiente dirección: (C/...3) (Tfno.: ***TELF.1)”, y en otros, consta la dirección Pº de la Castellana, 141, piso 19, edificio Lexington. 28046 MADRID. DOS.- La Inspección de Datos ha verificado que los datos de los denunciantes no constan en los repertorios electrónicos de clientes del Servicio Telefónico Básico denominados “páginasblancas” e “infobel”. TRES.- Las empresas MEDISALUD (CLIENTE) e INFORMACION PRIVILEGIADA, S.L.. (PROVEEDOR) suscribieron un Contrato de prestación de servicios de suministro de bases de datos para marketing, con fecha de 18 de septiembre de 2015, en la cláusula 2.2 figura lo siguiente: 2.2. - El PROVEEDOR se compromete a que los datos suministrados al CLIENTE cumplan las exigencias de la Ley 15/1999 (LOPD). En ningún caso se realizará una campaña si el PROVEEDOR no está seguro de que los datos que se van a utilizar cumplen dicha normativa y, en especial, las siguientes exigencias:  Que, bien el interesado ha dado su consentimiento para el envío de la publicidad, sin que lo haya revocado o que los datos procedan de los repertorios telefónicos vigentes en la fecha. Dichos repertorios deberán estar vigentes y podrán ser completados con datos de piso y puerta procedentes de otras fuentes accesibles al público de las previstas en el artículo 3
  7. j)de la LOPD u obtenidos con consentimiento informado de los interesados.  Que los datos se encuentren actualizados.  Que hayan sido previamente cruzados con las listas de exclusión de comunicaciones comerciales CUATRO.- En la factura emitida por la empresa INFORMACION PRIVILEGIADA a MEDISALUD, con fecha de 31 de octubre de 2016, por los servicios de la campaña del denunciante1 se detalla “Identificación y segmentación de áreas de influencias en las zonas residenciales donde se celebra el evento. Generación de BBDD (…), cantidad 535.820”. En el justificante de los envíos realizados con expresión de los parámetros identificativos”, de fecha 27 de octubre de 2016, consta perfil “HyM 55-77 Edad”, una relación de poblaciones de la provincia de Barcelona con un total de “2.973” envíos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 CINCO.- En relación con las campañas de marketing, entre las que se encuentran, las recibidas por la denunciante2, constan “4” facturas emitidas por INFORMACION PRIVILEGIADA a MEDISALUD, por los conceptos de “realización de campañas para organizar eventos, identificación y segmentación de áreas de influencia donde se celebra el evento y generación de BBDD” por cantidad “1.152.596”, “593.851”, “94.877” y “537.755” total “2.329.079”. SEIS.- La Inspección de Datos de la Agencia Española de Protección de Datos los funcionarios se personaron a los efectos de realizar actuaciones previas de inspección, en el domicilio social de la entidad que consta en el Registro Mercantil y en la dirección que consta en los envíos publicitarios, sin hallarse nadie presente. SIETE.- INFORMACION PRIVILEGIADA, S.L.., manifestó reiteradas ocasiones a la Inspección de la Agencia Española de Protección de Datos que no permitirá ser inspeccionado: la Inspección de Datos remite escrito a la entidad, informando que van a proceder a realizar inspección en el establecimiento de la compañía sito en la dirección (C/...2), el día 18 de octubre de 2017, habiendo sido entregado en destino el día 11 de octubre de 2017. OCHO.-Con fecha de 17 de octubre de 2017, se recibe en la Inspección de Datos escrito, del Abogado de la entidad en el que comunica que no iba a dar su consentimiento a ser inspeccionado. NUEVE.- Los inspectores de la AEPD se personaron, el día 18 de octubre de 2017, en el domicilio de la compañía IP, (C/...2), Centro de Negocios Lexington, informando la recepcionista que no se encontraba presente el administrador de la sociedad. Posteriormente, el abogado de la empresa se puso en contacto con los inspectores reiterando el contenido del escrito del día anterior indicando que no recibirá a los mismos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II Disponen los artículos 41.5 y 43 de la LPACAP, lo siguiente: Artículo 41.5: Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento. Artículo 43.2: Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido. Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido. En el presente caso de acuerdo con lo dispuesto en el antecedente cuarto de la presente resolución y en los preceptos transcritos, el citado Acuerdo de Inicio del Procedimiento se notificó en fecha de 10/11/2017. En el citado Acuerdo de Inicio se otorgaba un plazo de 10 días hábiles, para la formulación de alegaciones y proposición de prueba y se advertía que de conformidad con los artículos 64.2.
  9. f)y 85 de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP en adelante), de no efectuar alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. III En el presente caso se atribuye a INFORMACION PRIVILEGIADA, S.L.. la comisión de la infracción de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, De las actuaciones practicadas se desprende que los datos utilizados para las campañas publicitarias han sido proporcionados por INFORMACION PRIVILEGIADA, S.L.., en su condición de responsable del fichero, por ello le corresponde acreditar el origen licito de los mismos, en el sentido de que dispone del consentimiento de sus titulares o que acontece alguna de las circunstancias previstas en el apartado 2 del citado art. 6 de la LOPD que dispensan de la obtención de dicho consentimiento. Abundando en este sentido, cabe citar la doctrina legal contenida en la Sentencia de la Audiencia Nacional, de fecha 11/05/2001, en la que se señala que “quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado –art. 6 LO 5/1992-, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. Criterio también mantenido por la Audiencia Nacional en su Sentencia de 15/12/2001 que señala que “Los inspectores de la APD comprueban que los datos de ... figuran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 registrados en una copia del fichero de clientes. Datos personales que fueron utilizados por ... para remitir las susodichas revistas al menor. Dichos hechos no han sido negados por la actora, es más los admite, sin embargo sostiene que la falta de consentimiento para el tratamiento de datos no ha sido acreditado por la APD, y ésta al tenerlos como tales a la espera de que los probara el inculpado ha invertido la carga de la prueba. Argumento de todo punto insostenible, porque de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la APD probó el hecho constitutivo que era el tratamiento automatizado de datos personales del menor ... , y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo.... Es decir, ..., debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/21992. Y nada de esto ha sucedido.” En este caso, existe constancia de que INFORMACION PRIVILEGIADA, S.L.., ha sometido a tratamiento los datos que contiene en el fichero que fue utilizado para las campañas publicitarias por lo que corresponde acreditar que dicho tratamiento se realizó con consentimiento los titulares de los mismos. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el articulo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la proteccion de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” Por lo tanto, INFORMACION PRIVILEGIADA, S.L.., al tratar los datos que contiene el fichero utilizado sin haber podido acreditar el consentimiento u origen licito de los mismos ha vulnerado el artículo 6 de la LOPD. Conducta que se encuentra tipificada como grave en el artículo 44.3.
  10. b)de dicha norma que considera como tal Tratar datos de carácter personal sin recabar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. IV Asimismo, se atribuye a INFORMACION PRIVILEGIADA, S.L. la comisión de la de la infracción del artículo 40 de la LOPD que señala que (…)1. Las autoridades de control podrán inspeccionar los ficheros a que hace referencia la presente Ley, recabando cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal efecto, podrán solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos, accediendo a los locales donde se hallen instalados. 2. Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior tendrán la consideración de autoridad pública en el desempeño de sus cometidos.(…) INFORMACION PRIVILEGIADA, S.L., ha impedido el ejercicio de la función inspectora de los funcionarios de la Agencia Española de Protección de Datos, tal como se recoge en los antecedentes y hechos probados de la presente resolución, El artículo 28.1 del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, en relación con las funciones inspectoras, establece: “1. Compete, en particular, a la Inspección de Datos efectuar inspecciones, periódicas o circunstanciales, de oficio o a instancia de los afectados, de cualesquiera ficheros, de titularidad pública o privada, en los locales en los que se hallen los ficheros y los equipos informáticos correspondientes, y a tal efecto podrá:
  11. a)Examinar los soportes de información que contengan los datos personales.
  12. b)Examinar los equipos físicos.
  13. c)Requerir el pase de programas y examinar la documentación pertinente al objeto de determinar, en caso necesario, los algoritmos de los procesos de que los datos sean objeto.
  14. d)Examinar los sistemas de transmisión y acceso a los datos.
  15. e)Realizar auditorías de los sistemas informáticos con miras a determinar su conformidad con las disposiciones de la Ley Orgánica 5/1992 (Ley Orgánica 15/1999).
  16. f)Requerir la exhibición de cualesquiera otros documentos pertinentes.
  17. g)Requerir el envío de toda información precisa para el ejercicio de las funciones inspectoras. 2. El responsable del fichero estará obligado a permitir el acceso a los locales en los que se hallen los ficheros y los equipos informáticos previa exhibición por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 funcionario actuante de la autorización expedida por el Director de la Agencia. Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá ajustarse además a las reglas que garantizan su inviolabilidad”. De los citados preceptos se deduce claramente que la Agencia Española de Protección de Datos se encuentra habilitada, por Ley, para realizar funciones inspectoras con una finalidad de control de la aplicación de la LOPD. Así, las actuaciones inspectoras se enmarcan dentro de las facultades de control que la mencionada Ley Orgánica encomienda a la Agencia, a fin de asegurar la máxima eficacia en la aplicación de sus disposiciones. En el marco de estas competencias, con el propósito de realizar la oportuna investigación sobre los hechos denunciados, por la Inspección de Datos de la Agencia Española de Protección de Datos los funcionarios se personaron en dos ocasiones en el domicilio social de la entidad que consta en el Registro Mercantil y en la dirección que consta en los envíos publicitarios, sin hallarse nadie presente. La Inspección de Datos remite escrito a la entidad, informando que van a proceder a realizar inspección en el establecimiento de la compañía sito en la dirección (C/...2), el día 18 de octubre de 2017, habiendo sido entregado en destino el día 11 de octubre de 2017. Con fecha de 17 de octubre de 2017, se recibe en la Inspección de Datos escrito, del Abogado de la entidad en el que comunica que no iba a dar su consentimiento a ser inspeccionado,. Finalmente, los inspectores de la AEPD se personaron, el día 18 de octubre de 2017, en el domicilio de la compañía IP, (C/...2), Centro de Negocios Lexington, informando la recepcionista que no se encontraba presente el administrador de la sociedad. Posteriormente, el abogado de la empresa se puso en contacto con los inspectores reiterando el contenido del escrito del día anterior indicando que no recibirá a los mismos. La actitud de la entidad investigada, al manifestar en dos ocasiones que no iba a permitir la realización de actuaciones inspectoras por parte de la Agencia, constituye sin ningún género de duda una firme oposición al ejercicio de las funciones que tiene atribuida la Agencia Española de Protección de Datos, en los artículos antes citados, lo que supone una infracción del citado artículo 40 de la LOPD por parte de INFORMACION PRIVILEGIADA, S.L.. V El artículo 44.3.
  18. j)de la LOPD tipifica como infracción grave “La obstrucción al ejercicio de la función inspectora”. Obstruir, según el Diccionario de la Real Academia Española, en sus significaciones más acordes con el presente supuesto, equivale a “impedir la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 operación de un agente, sea en lo físico, sea en lo inmaterial”, o a “impedir la acción”. En consecuencia, bastará con dificultar, poner obstáculos o no colaborar para que pueda estimarse la conducta recogida en el artículo 44.3.j), y ello sin perjuicio, y al margen, de que se llegue o no al conocimiento de los datos o de la actividad investigada, pues lo que se sanciona no es un resultado sino una conducta que obstruye la tarea inspectora. De acuerdo con lo señalado, constituye infracción grave no permitir a los Servicios de Inspección de la Agencia Española de Protección de Datos el acceso a los locales, en los que se encuentren los ficheros que constituyan el objeto de la investigación, así como no proporcionar los documentos e informaciones que le sean requeridos por los mencionados servicios. La clara negativa de INFORMACION PRIVILEGIADA, constituye la conducta que tipifica el precepto. VI Establece el art. 45 de la LOPD apartados 2, 4 y 5 lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)El volumen de negocio o actividad del infractor.
  23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. En el presente caso ha resultado probado que INFORMACION PRIVILEGIADA, S.L.., ha cometido dos infracciones graves previstas en los arts. 44.3
  34. b)y 44.3 j), pudiendo ser sancionadas, cada una, con multa de 40.001 a 300.000 euros. Respecto de la infracción del art. 6 de la LOPD, prevista en el art. 44.3
  35. b)a los efectos de graduar la cuantía de la sanción a imponer, debe indicarse que procede graduar la sanción a imponer en la cuantía de 50.000 euros, de acuerdo con los criterios establecidos en los siguientes apartados del artículo 45.4 de la LOPD, que operarían como circunstancias agravantes:
  36. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal y el apartado
  37. d)referido a la actividad del infractor, ambos apartados en relación con el objeto del negocio de la entidad, entre los que se encuentra, según consta en el Registro Mercantil Central, “la explotación de electrónica de datos a terceros”, que de acuerdo con antecedentes obrantes en esta Agencia y con los hechos denunciados, se concreta en la explotación de bases de datos de carácter personal.
  38. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción., en relación a que de la explotación de la bases de datos, obtiene beneficio económico.
  39. f)El grado de intencionalidad y
  40. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora., ambos apartados en relación con que la circunstancia relativa a que el administrador de la sociedad denunciada, de modo individual o a través de otras entidades, ha sido parte en diversos expedientes de investigación y procedimientos sancionadores ante esta Agencia Española de Protección de Datos, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 es conocedor de las obligaciones y cautelas que requiere el cumplimiento de la LOPD y de la interpretación que de ella realiza esta Agencia cuyo criterio ha sido confirmado por los órganos jurisdiccionales, en procesos en los que también ha sido parte el citado administrador, y a pesar de todo ello, no consta que, respecto de los hechos denunciados haya procedido a la adecuación de su actividad a la citada Ley Orgánica. Respecto de la infracción del art. 40 de la LOPD, prevista en el art. 44.3
  41. j)a los efectos de graduar la cuantía de la sanción a imponer, debe indicarse que procede graduar la sanción a imponer en la cuantía de 50.000 euros, de acuerdo con los criterios establecidos en los siguientes apartados del artículo 45.4 de la LOPD, que operarían como circunstancias agravantes:
  42. b)El volumen de los tratamientos efectuados, en la medida en que la obstrucción a la función inspectora impide constatar las condiciones en las que se obtuvieron los registros de los datos obrantes en el fichero utilizado para la realización de los envíos, que en relación con la campaña donde se incluían los datos del denunciante 1, figuran facturados 535.820 envíos, y en la que se incluían los datos del denunciante 2, figuran facturados 2.329.079 envíos.
  43. f)El grado de intencionalidad y
  44. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora., ambos apartados en relación con que el administrador de la sociedad denunciada, de modo individual o a través de otras entidades, ha sido parte en diversos expedientes de investigación y procedimientos sancionadores ante esta Agencia Española de Protección de Datos, y es conocedor de las obligaciones y cautelas que requiere el cumplimiento de la LOPD y de la interpretación que de ella realiza esta Agencia cuyo criterio ha sido confirmado por los órganos jurisdiccionales, en procesos en los que también ha sido parte el administrador de la sociedad denunciada, y a pesar de todo ello, ha impedido el ejercicio de la función inspectora amparada en la potestad conferida en el artículo 40 de la LOPD, asimismo ha sido en fecha de 27/11/2017 mediante resolución número R/03022/2017, por diversos incumplimientos a la LOPD, entre los que se encuentra la obstrucción a la función inspectora. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad INFORMACION PRIVILEGIADA, S.L.. una infracción del artículo 6 de la LOPD, tipificada como Grave en el artículo 44.3
  45. b)de la LOPD, una multa de 50.000 € ( cincuenta mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: IMPONER a la entidad INFORMACION PRIVILEGIADA, S.L.. una infracción del artículo 40 de la LOPD, tipificada como Grave en el artículo 44.3
  46. j)de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 LOPD, una multa de 50.000 € ( cincuenta mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a INFORMACION PRIVILEGIADA, S.L... Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  47. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.