1/11 Procedimiento Nº PS/00538/2015 RESOLUCIÓN: R/00294/2016 En el procedimiento sancionador PS/00538/2015, instruido por la Agencia Española de Protección de Datos a la entidad Exclusivas Menssana 2010, S.L., y en virtud de los siguientes, ANTECEDENTES PRIMERO: En la resolución de fecha 30 de octubre de 2014, relativa al procedimiento de Apercibimiento de referencia A/00217/2014, el Director de la Agencia Española de Protección de Datos resolvió APERCIBIR a la entidad Exclusivas Menssana 2010, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. En el mismo acuerdo el Director resolvió REQUERIR a la entidad Exclusivas Menssana 2010, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acredite en el plazo de un mes el cumplimiento de lo establecido en la normativa sobre protección de datos en materia de consentimiento para el tratamiento de los datos personales de sus clientes. En concreto se insta al denunciado, en dicho procedimiento de apercibimiento, el cumplimiento de lo siguiente: “CUMPLA lo previsto en el artículo 6 de la LOPD. En concreto se insta al denunciado a que cese en las llamadas al denunciante que incumplan lo dispuesto en dicho precepto, bien cancelando el número de teléfono de su lista de distribución o bien adoptando cualquier otra medida necesaria que evite dichas llamadas, así como darse de alta en la Lista Robinson, para evitar efectuar llamadas comerciales a personas que ya estén incluidas en la Lista Robinson. INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior.” En dicha resolución de apercibimiento se le advirtió de que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/06691/2014, podría incurrir en una infracción del artículo 37.1.
- f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación con la referencia E/06691/2014. De la información contenida en estas actuaciones de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 30 de octubre de 2014, por el Director de la Agencia Española de Protección de Datos. TERCERO: Con fecha 14 de octubre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad Exclusivas Menssana 2010, S.L., por presunta infracción del artículo 37.1.
- f)de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- i)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad Exclusivas Menssana 2010, S.L. formuló alegaciones, solicitando, que: “
- a)Habiendo adoptado EXCLUSIVAS MENSSANA 2010, S.L, previamente las medidas correctoras que reúnen los requisitos exigidos por el artículo 6 de La LOPD, de modo que tales medidas se estiman suficientes para considerar atendido el requerimiento efectuado a la denunciada en Resohcl6n de 30/10/2014, deberá procederse en consecuencia al archivo de las actuaciones iniciadas por la presunta infracción del artículo 37.1.
- f)
- b)Subsidiariamente, para el caso de que, a pesar de lo manifestado, se considerase que la denunciada ha incurrido en la infracción del artículo 37.1.
- f)tipificada como grave en el artículo 44.3.
- i)de la LOPD sea de aplicación el artículo 45.4 de la LOPD y que en el caso de que la Agencia Española de Protección de Datos mantuviera la existencia de la supuesta infracción, se aplique a la misma, la escala de sanciones previstas en el artículo 45.1 de la LOPD para las infracciones leves en su grado mínimo, es decir, por importe de 900 Euros, ya que ha quedado demostrado que son aplicables a la entidad todos los criterios de minoración aplicables”. QUINTO: Con fecha 16 de noviembre de 2015 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad Exclusivas Menssana 2010, S.L., y el Informe de actuaciones previas de Inspección que forman parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 del expediente E/06691/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00538/2015 presentadas por la entidad Exclusivas Menssana 2010, S.L., y la documentación que a ellas acompaña. SEXTO: Con fecha 18 de enero de 2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 3.500 € a la entidad Exclusivas Menssana 2010, S.L., por la comisión de una infracción del artículo 37.1.
- f)de la LOPD, tipificada SÉPTIMO: Notificada la propuesta de resolución, la entidad Exclusivas Menssana 2010, S.L. realizó alegaciones frente a la misma en las que comunica: “…De lo anterior se desprende que EXCLUSIVAS MENSSANA 2010, S.L... anticipándose a cualquier requerimiento por parte de la Agencia Española de Protección de datos INFORMA en el escrito con fecha 18/07/2014 de manera detallada el procedimiento que sigue la denunciada a la hora de realizar una llamada telefónica, de la posibilidad que tiene el interlocutor para ejercitar sus derechos de Acceso, Rectificación, Cancelación u Oposición, por lo que ésta parte entiende que cumplimentó las medidas requeridas ya previamente adoptadas e informadas a la Agencia Española de Protección de Datos mediante escrito con fecha 18/07/2014 anticipándose a la resolución emitida con fecha 30/10/2014 (cumplimiento de artículo 6 de la LOPD y deber de informar ante la AEPD el cumplimiento de lo requerido) es por ello que la denunciada ya no podía proceder de otra forma ni aportar ninguna información que no hubiera aportado. (…) Sobre la disponibilidad e interés por parte de la denunciada en colaborar con la Agencia Española de Protección de datos, mantenemos íntegramente nuestra postura planteada en el escrito de alegaciones de 04/11/2015: (…) En relación con lo requerido por la Agencia Española de Protección de datos en resolución con fecha 30/10/2014 ésta parte entiende que ha sido cumplido e informado ante dicha Agencia tanto en el escrito de solicitud de información de 18/07/2014 como en el escrito de 26/09/2014, subsidiariamente, para el caso de que la Agencia de Protección de Datos no lo entendiera así, deben aplicarse a mi representada las normas sobre modulación de culpabilidad, que necesariamente convertirían la infracción en leve. SOBRE LA NULIDAD DEL REQUERIMIENTO EFECTUADO (…)” Concluye el escrito de alegaciones solicitando que se estime la nulidad del requerimiento efectuado o subsidiariamente que se archiven las actuaciones iniciadas o si no, que se acuerde imponer una sanción en la escala de las previstas en el artículo 45.1 de la LOPD en su grado mínimo. HECHOS PROBADOS PRIMERO: Con fecha 30 de octubre de 2014, el Director de la Agencia Española de Protección de Datos resolvió APERCIBIR a la entidad Exclusivas Menssana 2010, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 SEGUNDO: En el mismo acuerdo el Director resolvió REQUERIR a la entidad Exclusivas Menssana 2010, S.L., de acuerdo con lo establecido en el artículo 45.6 de la Ley 15/1999 para que acredite en el plazo de un mes el cumplimiento de lo establecido en la normativa sobre protección de datos en materia de consentimiento para el tratamiento de los datos personales de sus clientes, en concreto se insta al denunciado, “a que cese en las llamadas al denunciante que incumplan lo dispuesto en dicho precepto, bien cancelando el número de teléfono de su lista de distribución o bien adoptando cualquier otra medida necesaria que evite dichas llamadas, así como darse de alta en la Lista Robinson, para evitar efectuar llamadas comerciales a personas que ya estén incluidas en la Lista Robinson. INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior.” En la resolución de apercibimiento se le advirtió de que en caso de no atender el requerimiento, para cuya comprobación se abrió un expediente de investigación, podría incurrir en una infracción del artículo 37.1.
- f)de la LOPD. TERCERO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación del que se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 30 de octubre de 2014, por el Director de la Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
- a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos:
- a)Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos”. En el presente procedimiento sancionador ha quedado acreditado que la entidad denunciada fue apercibida según la posibilidad que ofrece el artículo 45.6 de la LOPD que permite excepcionalmente al órgano sancionador, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 criterios establecidos en el apartado 5 del mismo artículo, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes. En el mismo acuerdo de apercibimiento el Director resolvió REQUERIR al denunciado, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el artículo 6 de la LOPD advirtiéndole que si el apercibimiento no fuera atendido en el plazo determinado se procedería a la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación con objeto de constatar el cumplimiento de lo requerido. Del contenido de estas actuaciones previas de investigación se desprende que no consta que el denunciado haya adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 30 de octubre de 2014, del Director de la Agencia Española de Protección de Datos. Notificado el acuerdo de inicio del procedimiento sancionador, la entidad imputada presentó escrito en el que comunica que “ésta parte entiende que aun teniendo el deber de acreditar las medidas correctoras requeridas por la Agencia Española de Protección de Datos en relación con lo que establece el artículo 6 de la LOPD también es cierto que la denunciada a su entender consideró que dichas medidas ya habían sido previamente adoptadas e informadas a la Agencia Española de Protección de Datos mediante escrito con fecha 18/07/2014 anticipándose a la resolución emitida con fecha 30/10/2014 (cumplimiento de artículo 6 de la LOPD y deber de informar ante a AEPD el cumplimiento de lo requerido) es por ello que la denunciada ya no podía proceder de otra forma ni aportar ninguna información que no hubiera aportado”. La resolución de apercibimiento de 30 de octubre de 2014 no fue atendida ni recurrida por la entidad destinataria, por lo que no es posible aceptar lo alegado respecto de un cumplimiento previo al inicio de un procedimiento que concluyó declarando la infracción y solicitando unas concretas medidas correctoras cuya adopción no se ha acreditado por la entidad imputada. Se requirió la cancelación del número de teléfono del denunciante de su lista de distribución o bien la adopción de cualquier otra medida que evite las comunicaciones publicitarias, y que se diera de alta en la Lista Robinson, para evitar efectuar llamadas comerciales a personas que ya estén incluidas en la Lista Robinson. Se requería además que se informase de lo actuado y se concedía un plazo de un mes. Pues bien, no se dispone de acreditación de ninguna de las dos actuaciones requeridas en el procedimiento que da lugar al expediente actual, en el que se imputa ese incumplimiento y que fue advertido en la resolución de apercibimiento con mención expresa del expediente de investigación que se iniciaba y de las consecuencias de la falta de atención al requerimiento. En sus alegaciones la entidad imputada expone que tenía los datos del denunciante por haber adquirido una base datos con registros obtenidos de fuentes accesibles al público, e informa en sus alegaciones de cuál es el procedimiento que utilizan para realizar una llamada telefónica y de la posibilidad que tiene el interlocutor para ejercitar sus derechos de protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 Como ya se expuso en la resolución de apercibimiento, notificada de forma fehaciente a Exclusivas Menssana 2010, los datos personales del denunciante se trataron sin su consentimiento, porque ya había manifestado su oposición o negativa a recibir llamadas comerciales, mediante su adscripción al fichero de exclusión de estas llamadas y cuya consulta resulta de obligado cumplimiento a quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial, según establece el artículo 49.4 del Reglamento de desarrollo de la LOPD. La entidad imputada en el presente procedimiento no ha acreditado que se haya procedido de forma fehaciente a la cancelación del número de teléfono del denunciante de su lista de distribución o que haya adoptado cualquier otra medida que evite las comunicaciones publicitarias, y tampoco ha acreditado que se haya dado de alta en la Lista Robinson, para evitar efectuar llamadas comerciales a personas que ya estén incluidas en ese fichero de exclusión de comunicaciones publicitarias, ni que haya adoptado cualquier otra medida tendente a evitar realizar llamadas comerciales a personas que registraron sus datos en el fichero Lista Robinson. Las alegaciones presentadas a la propuesta de resolución insisten en que las en los escritos de 18 de julio de 2014 y en el de 26 de septiembre de 2014 coinciden con lo requerido por la Agencia de Protección de Datos en su resolución de 30 de octubre de 2014, de manera que se alega que las medidas requeridas en la resolución del apercibimiento ya habían sido adoptadas y por ese motivo no podía proceder de otra forma ni aportar más información de la ya aportada. En el primero de los escritos mencionados se atiende el requerimiento de información de la Inspección de Datos de esta Agencia en un expediente de investigación previa, y en él no se expone que se hayan cancelado los datos del denunciante. En el segundo escrito mencionado, se presentan alegaciones al acuerdo de audiencia previa al apercibimiento A/00217/2014. En este escrito se expone que no se ha cometido ninguna irregularidad porque los datos del denunciante estaban en una fuente de acceso público, que él no expresó su derecho de oposición y que solo se produjo una llamada. Concluye el escrito de 26 de septiembre de 2014 poniéndose a disposición de la Agencia para atender cualquier recomendación que pueda considerar conveniente para mejorar el tratamiento de datos por parte de la sociedad como responsable del fichero. En este escrito tampoco se menciona que se hayan cancelado los datos del denunciante de su base de datos como se requirió en el apercibimiento. Este requerimiento se realizó porque no constaba acreditación de haber cancelado los datos del denunciante, que recibió una llamada publicitaria tras haber manifestado su expresa oposición a ello mediante su inclusión en un fichero común de exclusión. En el presente procedimiento sancionador, como ya se ha expuesto, se imputa la posible vulneración de lo previsto en el artículo 37.1.
- f)de la LOPD por el incumplimiento del requerimiento realizado en una resolución de apercibimiento cuyos términos no dejaban lugar a duda sobre su objeto y el plazo para su cumplimiento, según expresa la Audiencia Nacional al respecto. En este sentido no es posible aceptar alegaciones que valoren que no era preciso el cumplimiento de lo requerido por el Director de esta Agencia porque ya estaba cumplido con anterioridad. En la resolución cuyo incumplimiento se valora en este procedimiento además de conceder un plazo para su cumplimiento, también se informaba de la posibilidad de interponer potestativamente, un recurso de reposición ante el Director o directamente un recurso contenciosoadministrativo ante la Audiencia Nacional. Consta en el expediente que esta Resolución de apercibimiento se notificó a la entidad denunciada el 10 de noviembre de 2014 y que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 no se recibió respuesta alguna a la misma, ni en cumplimiento de lo requerido, ni recurriendo los términos de la misma ante una instancia u otra. La conclusión de todo ello es el incumplimiento de lo requerido en la Resolución de apercibimiento del Director de esta Agencia. No obstante constar acreditada en el presente procedimiento la vulneración imputada por la falta de atención al requerimiento notificado, puede indicarse, respecto del objeto de imputación del procedimiento de apercibimiento origen del presente expediente, varias cosas. Que las medidas adoptadas previamente a la resolución del apercibimiento de 30 de octubre de 2014 no fueron suficientes porque, de haberlo sido, el procedimiento se habría resuelto reconociendo que se habían adoptado las medidas correctoras apropiadas y por ello, resolviendo en el sentido de declarar el archivo del procedimiento de apercibimiento. Indicar también que se alega que la base de datos que se utilizó para realizar la campaña publicitaria en la que se llamó al denunciante, cumplía con los criterios de calidad de Adigital. A este respecto cabe responder, a pesar de no ser objeto del presente procedimiento, que lo aportado como constancia de que la base de datos utilizada por Exclusivas Menssana 2010, cumplía con los criterios de calidad de Adigital, es la pantalla de la política de privacidad de la web de la entidad One Direct Comunicaciones SL para el tratamiento de los datos personales recogidos con motivo de la venta on line de los productos de esa entidad, y la factura de la compra de la base de datos del año 2010. La entidad imputada ha informado que adquirió la base de datos denominada INFOBEL a través de la sociedad ONE DIRECT COMUNICACIONES SL, y ha aportado una factura del año 2010. Con esta base de datos realizó la llamada comercial denunciada de septiembre de 2013. A este respecto hay que tener en cuenta varios plazos que se superan en esta ocasión. Por un lado lo previsto por el artículo 28.3 de la LOPD: “Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención.” La edición de las guías telefónicas es anual, y cada nueva edición anual invalida la anterior, de manera que la base de datos adquirida en 2010 por la entidad imputada dejó de tener validez para su utilización, al menos, por el transcurso de un año. Por otra parte, hay que tener en cuenta también que el reglamento de la Lista Robinson expone en su artículo 32 que la vigencia de la información contenida en el fichero tiene una vigencia de dos meses desde el momento de su obtención por las entidades usuarias. De esta manera hay que considerar que la información de este fichero común de exclusión de envío de comunicaciones comerciales tiene una validez de dos meses, y este es el plazo que hay que considerar para valorar la actualización de los datos incluidos en una base de datos. De esta manera, no existe constancia sobre que el origen de los datos personales del denunciante fuera acorde con la legalidad de protección de datos ni tampoco existe constancia de que se haya desplegado diligencia alguna para la comprobación de que la base de datos adquirida fuera realmente conforme con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 legislación de protección de datos con comprobaciones adicionales por parte de la entidad denunciada. Además resulta irrelevante el hecho de que el denunciante no comunicara su oposición al tratamiento de sus datos, dado que ya había comunicado previamente que no existía consentimiento para el tratamiento realizado. La Audiencia Nacional ha resuelto en varias ocasiones, que no es suficiente con que por contrato se garantice la adecuación de una base de datos personales a la norma, sino que es preciso que se realicen actuaciones adicionales por la entidad adquirente para comprobar dicha legalidad. De todo ello se concluye que el uso de la base de datos INFOBEL no ha resultado conforme con la legislación de protección de datos, toda vez que incluye datos de personas que han manifestado expresamente su deseo de no recibir comunicaciones comerciales y además la entidad adquirente de la base de datos no acredita diligencia alguna para comprobar la legalidad de los datos adquiridos. Se expone el carácter excesivamente oneroso de la consulta al servicio de la Lista Robinson. En la página web de dicho servicio figura el coste de cada uno de los servicios que se ofrecen que en muchos casos son gratuitos y su consulta viene impuesta en el artículo 49.4 del RLOPD que expone que: “Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”. Por otra parte, respecto de la alegación de que los datos personales del denunciante figuran en fuentes de acceso público cabe informar que, en el artículo 22 del reglamento de la mencionada Lista Robinson se expone: “De la obligación de exclusión. Las entidades usuarias deberán excluir de las campañas publicitarias, para cuyo desarrollo sea necesario el tratamiento de datos que figuren en fuentes accesibles al público o en ficheros de terceros, a los interesados que estuviesen inscritos en el servicio de Lista Robinson, cuando la información que traten para la realización de la campaña coincida en cada uno de sus caracteres alfabéticos, numéricos, espacios y especiales que componen el nombre, apellidos, dirección postal, dirección electrónica y número de teléfono, con la facilitada por los interesados al solicitar su inclusión en el fichero de Lista Robinson, de acuerdo con los siguientes criterios (…)” Esta es precisamente la finalidad de la inclusión de los datos personales en una lista de exclusión, manifestar expresamente que no se consiente el tratamiento de los datos para comunicaciones comerciales cuando los datos personales figuren en una fuente de acceso público. En conclusión, en el presente procedimiento, ha quedado acreditado el incumplimiento del requerimiento realizado en la resolución de apercibimiento de 30 de octubre de 2014, cuyos términos no dejaban lugar a duda sobre su objeto y el plazo para su cumplimiento, según expresa la Audiencia Nacional al respecto. En la Sentencia de la Audiencia Nacional de 12 de junio de 2013, en un caso similar al aquí cuestionado por la falta de atención a lo requerido en un procedimiento de apercibimiento, se expone: “Sentado lo anterior y analizados los hechos objeto del expediente sancionador que nos ocupa concluye esta sala que resulta acreditada la concurrencia de culpabilidad respecto de la comisión por el demandante de la infracción administrativa por cuya autoría ha sido sancionado. Debe concluirse que no obró con la diligencia que le resultaba exigible en el cumplimiento del requerimiento de que fue objeto, cuyos términos no dejaban lugar a dudas acerca de su objeto y el plazo concedido para su cumplimiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 En esta ocasión es evidente la existencia de una falta de diligencia plenamente atribuible a la entidad imputada por la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos. III El artículo 44.3.
- i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que no se ha atendido el requerimiento efectuado en la resolución de apercibimiento notificada al denunciado. El hecho constatado de la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos al imputado en este procedimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 37.1.f). IV Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 b. c. d. e. o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. Cuando el infractor haya reconocido espontáneamente su culpabilidad. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Respecto de la aplicación del artículo 45.5 considerando la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, en especial no puede obviarse que la conducta infractora se realizó por una persona jurídica no habituada al tratamiento de datos personales lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad y procede imponer una sanción correspondiente a una infracción leve. Por otro lado respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, y teniendo en cuenta que tras la instrucción del presente procedimiento sancionador no se tiene constancia de que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 30 de octubre de 2014, medidas que se considera son de rápida aplicación: la cancelación del número de teléfono del denunciante de su lista de distribución y la adopción de cualquier otra medida tendente a evitar realizar llamadas comerciales a personas que registraron sus datos en el fichero Lista Robinson. Todas estas cuestiones permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 3.500 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Exclusivas Menssana 2010, S.L., por una infracción del artículo 37.1.
- a)de la LOPD, tipificada como grave en el artículo 44.3.
- i)de dicha norma, una multa de 3.500 € (tres mil quinientos euros) de conformidad con lo establecido en el artículo 45 .2 .4 y .5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad Exclusivas Menssana 2010, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es