PS-00609-2014

1/29 Procedimiento Nº PS/00609/2014 RESOLUCIÓN: R/00924/2015 En el procedimiento sancionador PS/00609/2014, instruido por la Agencia Española de Protección de Datos a la entidad IRIS DATA, S.L. y en base a los siguientes, ANTECEDENTES PRIMERO: Como consecuencia de las numerosas denuncias recibidas en los últimos años en esta Agencia Española de Protección de Datos, (en adelante AEPD), por el envío de comunicaciones comerciales no solicitadas en las que los remitentes habían utilizado bases de datos con direcciones de correo electrónico adquiridas a terceras entidades, con fecha 27 de noviembre de 2012 el Director de la AEPD ordenó la apertura de actuaciones previas de investigación en relación con la venta de bases de datos que contenían, entre otros datos, direcciones de correo electrónico, con el fin de “determinar qué información facilitan a los compradores sobre la legalidad de las bases de datos, la licitud de su utilización conforme a la LSSI y LOPD y la posible vulneración por parte de estas empresas de las citadas normas”. La venta de bases de datos realizada por IRIS DATA S.L., en adelante IRIS DATA, fue una de las actividades investigadas en el expediente de actuaciones previas E/07314/2012, el cual no incluyó entre las gestiones de inspección practicadas el análisis de los datos contenidos en el fichero del que se obtenían las distintas bases de datos comercializadas por IRIS DATA. Sin perjuicio de lo cual, durante el desarrollo de dichas actuaciones IRIS DATA manifestó en relación con dicho fichero lo siguiente:  El origen de los datos almacenados en la base de datos son tres: el Boletín Oficial del Registro Mercantil (BORME), los directorios telefónicos y las páginas web de las empresas, sin que sea posible cuál de los tres es el origen de un dato concreto ya que no almacenan dicha información.  En cuanto a la finalidad con la que se comercializa la base de datos, las condiciones de uso de ésta, accesibles desde el sitio web www.irisdata.org/AvisoLegal.html de la entidad, indican que “La información se suministrará al cliente con carácter confidencial y para el uso exclusivo del CLIENTE en la actividad de publicidad o prospección comercial, y se deben de respetar las leyes en materia de publicidad a través de los diferentes medios: Carta, Fax, Teléfono, Email. En ningún caso podrá: a. Utilizar esta información para actividades diferentes a publicidad o prospección comercial….”. Con fecha C/ Jorge Juan, 6 28001 – Madrid 25 de noviembre de 2013 el Director de la AEPD resolvió el www.agpd.es sedeagpd.gob.es 2/29 expediente E/07314/2012 con el siguiente acuerdo: “1. PROCEDER AL ARCHIVO por caducidad de las actuaciones previas de investigación del expediente número E/0734/2012. 2. INICIAR nuevas actuaciones previas de investigación que se seguirán bajo la referencia de los expedientes número E/07133/2013, E/07140/2013, E/07141/2013 y E/07142/2013.” SEGUNDO: A la vista de la reseñada resolución, en fase de actuaciones previas del expediente E/07133/2013, los Servicios de Inspección de esta Agencia solicitaron información a la entidad IRIS DATA S.L., cuyo representante aportó, mediante escrito registrado de entrada con fecha 7 de abril de 2014, una copia completa de la base de datos de correos electrónicos que comercializa actualizada a 31 de marzo de 2014. Durante las pruebas realizadas para determinar si los datos contenidos en la base de datos aportada pueden ser considerados como de carácter personal se constataron los siguientes hechos: 1. El disco compacto remitido contiene una base de datos en tres formatos distintos: Microsoft Access, Microsoft Excel y texto plano con campos separados por puntos y comas. Mientras en el expediente de actuaciones previas E/07314/2012 la mercantil IRIS DATA había manifestado que el número total de registros de la base de datos era de 502.220, en la base de datos facilitada en el expediente de actuaciones previas E/07133/2013 figuran un total de 390.670 registros, un 22% menos que lo declarado en el anterior expediente. 2. La base de datos, tal y como se manifestó en el anterior expediente, tiene los siguientes campos para cada registro: Identificador, actividad, empresa, dirección, población, provincia, CP, telefono1, telefono2, fax, código CNAE, descripción CNAE, código de provincia, Comunidad, correo electrónico. 3. Las direcciones de correo electrónico están compuestas por un usuario, un carácter arroba y un dominio. Para excluir las cuentas que no están directamente vinculadas a una persona física identificada o identificable, se ha aplicado un filtro sobre el fichero aportado que, en base a una lista de palabras clave , excluye las direcciones de correo electrónico que en el usuario de la cuenta contienen las mismas. La lista de palabras clave utilizada es la que sigue :info, contacto, admin, marketing, publi, compras, ventas, comunicación, prensa, news, dirección, secretaria, secretario, general, legal, jurídico, protección, datos, baja, contabilidad, departamento, cliente, publico, ciudadano, oficina, central, Madrid, Barcelona, servicio. Además se han excluido las direcciones que comienzan por “cp.“ e “ies.”, correspondientes a colegios públicos y a institutos de enseñanza secundaria respectivamente. Por último, se han excluido las direcciones de correo electrónico cuyo usuario únicamente contiene dígitos, que en este caso son 720. El número total de direcciones de correo electrónico 110.496. C/ Jorge Juan, 6 28001 – Madrid excluidas asciende a www.agpd.es sedeagpd.gob.es 3/29 4. Asimismo, se ha realizado un estudio de las 280.174 direcciones de correo electrónico restantes con el fin de determinar si entre ellas existen cuentas que puedan ser vinculadas a una persona física identificada o identificable. Como ejemplos de ello se han considerado las direcciones de correo electrónico que contienen en el usuario el nombre y el primer apellido o los dos apellidos. En el citado acuerdo se adjuntó un Anexo que mostraba 50 direcciones de correo electrónico con esas características, el cual se corresponde con las cuentas de correo electrónico detalladas en el Hecho Probado Cuarto de esta resolución, las cuales se dan por reproducidas en este apartado. Esta muestra no pretendía ser exhaustiva, ya que en algunos dominios, como xunta.es, sergas.es o cfnavarra.es es frecuente el uso del nombre y los dos apellidos del usuario en la dirección de correo electrónico. 5. Con el fin de analizar si el tipo de direcciones de correo electrónico consideradas en el punto anterior identifican o pueden identificar a sus titulares se han utilizado algunas de ellas para verificar, si usándolas como criterio de búsqueda en Internet, se obtienen otros datos asociados a sus titulares. 5.1. ..............@xunta.es El titular de la dirección de correo electrónico es D. A.A.A., ***CARGO.1 de la Xunta cuyos resultados en un proceso de oposición y NIF se pueden consultar en el Diario Oficial de Galicia. (www.xunta.es..............1 ) 5.2. ......@cafmadrid.es La dirección pertenece a D. B.B.B., un ***CARGO.2 de fincas cuyos datos laborales y de formación pueden consultarse en un buscador de profesionales. (www.thesauro.com...............2) 5.3. ...............3@cepsa.com La dirección pertenece a D. C.C.C., ***CARGO.3 de CEPSA cuyos datos pueden hallarse su perfil de la red social Linkedin. ( http://.....linkedin.................... 5.4. ..................@uca.es La dirección pertenece a D. D.D.D., ***CARGO.4 de la Facultad de Ciencias del Trabajo de la Universidad de Cádiz. (http://...uca......) 5.5. ..................@gs.com La dirección pertenece a D. E.E.E., ***CARGO.5 de banca que prestó sus servicios en Goldman Sach, el grupo bancario al que pertenece el domino gs.com. 5.6. ..................@sgs.com La dirección pertenece a Dña. F.F.F., ***CARGO.6 de SGS Española de Control y cuyos datos pueden hallarse su perfil de la red social Linkedin SA ( http://es.linkedin............ ) 5.7. ..................@attendis.com La dirección pertenece a Dña. G.G.G., ***CARGO.7 de un colegio del grupo de colegios Attendis. (www.diario................ ) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/29 TERCERO: Con fecha 4 de noviembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a IRIS DATA, S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, mediante escrito registrado de entrada el 27 de noviembre de 2014 el representante y Administrador de IRIS DATA, S.L. formuló alegaciones solicitando el archivo del procedimiento con fundamento, en síntesis, en los siguientes argumentos: - Se reiteran en lo manifestado en el expediente de actuaciones previas sobre el origen de los datos contenidos en la base de datos comercializada, procedentes de fuentes accesibles al público y de las páginas web oficiales de las empresas. - Inexistencia del incumplimiento del principio del consentimiento, ya que no era necesario recabar el consentimiento de los interesados establecido en el artículo 6.1 de la LOPD por resultar de aplicación la excepción prevista en el artículo 2.2 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo dela Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo RDLOPD), debido a que los correos electrónicos con la estructura nombre.apellido@dominio empresa constituyen una información profesional de las personas físicas que prestan servicios a las personas jurídicas incluidas en la base de datos. C/ Jorge Juan, 6 28001 – Madrid - Respecto de otras direcciones de correo electrónico constituidas por los nombres y apellidos de personas físicas no puede obviarse que podrán pertenecer a personas físicas en su calidad de profesionales, por lo que tampoco estarían sujetos a la normativa de protección de datos conforme a lo establecido en el artículo 2.3 del RDLOPD. - IRIS DATA manifiesta que la localización, en otras páginas de Internet, de datos personales asociados al titular de una dirección de correo electrónico no puede ser considerada por la AEPD como una prueba válida para determinar que se ha producido un incumplimiento de la LOPD, ya que son datos ajenos al fichero titularidad de la sociedad. La utilización de la información obtenida con dichos criterios de búsqueda crearía inseguridad jurídica para los titulares de ficheros que se encuentran en alguno de los supuestos de excepción de los artículos 2.2 y 2.3 del RLOPD por supeditar la consecuente aplicación de la normativa de protección de datos a otros datos que no se encuentran incluidos en el fichero en cuestión. - Para el caso de apreciarse infracción, se solicita se resuelva con el apercibimiento previsto en el artículo 45.6 de la LOPD, atendiendo a la naturaleza delos hechos y a la concurrencia significativa de los criterios establecidos en el artículo 45.5 de la LOPD. - Subsidiariamente, se solicita la aplicación de lo previsto en el artículo 45.5 de la LOPD, al producirse una cualificada disminución de la culpabilidad de IRIS DATA ante su falta de intencionalidad en la www.agpd.es sedeagpd.gob.es 5/29 comisión de la infracción, al haber considerado que las direcciones de correo electrónico recogidas sobre personas que prestan servicios en empresas se encontraban encuadradas en los supuestos de excepción recogidos en los artículos 2.2 y 2.3 del RLOPD. QUINTO: Con fecha 2 de diciembre de 2014 se inició período de práctica de pruebas, en el que se acordó practicar las siguientes pruebas: 1) Dar por reproducidos a efectos probatorios la documentación que integra las actuaciones previas que forman parte del expediente E/07133/2013; 2) Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00609/2014 presentadas por IRIS DATA, S.L. y la documentación que a ellas acompaña; 3) solicitar a dicha sociedad la remisión de la siguiente información y documentación: - Origen de cada una de las cincuenta direcciones de correo electrónico incluidas en el Anexo 1 del Acuerdo de Inicio del PS/00609/2014, con presentación de la documentación acreditativa de los extremos informados. - Acreditación de la obtención por parte de IRIS DATA, S.L. del consentimiento inequívoco de los titulares de cada una de las reseñadas cuentas de correo para su inclusión en una base de datos cuya finalidad es la cesión de los mismos para su tratamiento por el cesionario con fines publicitarios. SEXTO: Con fecha 2 de enero de 2015 se registra de entrada escrito del Administrador de IRIS DATA, S.L. contestando a la práctica de pruebas requeridas con los mismos argumentos que se presentaron a las alegaciones al acuerdo de inicio del procedimiento. SÉPTIMO: Con fecha 2 de febrero de 2015 se accede a través de Internet al sitio web www.irisdata.org a los efectos de obtener impresión de la información mostrada en las diferentes páginas del mismo y de los documentos de “Política de Privacidad” y “Aviso Legal” del citado sitio. OCTAVO: Con fecha 18 de marzo de 2015 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a IRIS DATA, S.L. con multa de 50.000 € (Cincuenta mil euros) , por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha propuesta de resolución consta como notificada con fecha 20 de marzo de 2015. NOVENO: Con fecha 10 de abril de 2015 se registra de entrada en esta Agencia escrito de alegaciones del representante de IRIS DATA en el que solicita el archivo del expediente con fundamento, básicamente, en los mismos argumentos puestos de manifiesto a lo largo del procedimiento, respecto de los cuales hace hincapié en los siguientes extremos: - C/ Jorge Juan, 6 28001 – Madrid Mantienen la inexistencia de la infracción imputada atendido que el tratamiento de las direcciones de correo electrónico objeto de www.agpd.es sedeagpd.gob.es 6/29 análisis queda fuera del ámbito objetivo de aplicación de la normativa de protección de datos, al primar la excepción prevista en el artículo 2.2 del RDLOPD, precepto de cuya literalidad interpretaron, tras consultar varias publicaciones emitidas por la AEPD, como por ejemplo la página web http://www.agpd.es/portalwebAGPD/jornadas/1_sesion_abierta/comm on/faqs_bloque:1.pdf, que las direcciones electrónicas de las personas físicas que prestan servicios en personas jurídicas podían incorporarse a la base de datos empresarial (en adelante BBDD) de su titularidad por los siguientes motivos: 1) Procedían de las fuentes ya citadas en anteriores escritos remitidos a la AEPD; 2) La BBDD sólo incorpora los datos previstos en el artículo 2.2 del RDLOPD en tanto personas de contacto dentro de las empresas, por lo que están estrechamente vinculados a la actividad empresarial; 3) Los datos contenidos tienen un tratamiento destinado a empresas, nunca a las personas físicas en su calidad de particulares; 4) El mencionado artículo no indica que esta excepción sólo opera cuando las direcciones de correo electrónico no permiten identificar a su titular. - No entienden el fin al que responden las comprobaciones efectuadas por la AEPD para verificar que usando como criterio de búsqueda en Internet algunas de las direcciones de correo electrónico incluidas en la BBDD puedan obtenerse otros datos asociados a los titulares de las mismas. Se reafirman en que esta práctica no tiene ningún fundamento jurídico, ya que su resultado, además de escapar a la actuación de IRIS DATA, no impide la aplicación de lo establecido en el artículo 2.2 del RDLOPD ni es un criterio válido para fundamentar la imposición de una sanción. - Discrepan de la interpretación realizada por la AEPD al identificar a los titulares de los correos electrónicos profesionales contenidos en su BBDD como “consumidores individuales”, puesto que en las Condiciones Generales del Servicio contenidas en el Aviso Legal de su página web se informa claramente de que se trata de una “Base de Datos de empresas”. Por ello, los posibles incumplimientos que hayan podido realizar sus clientes tratando la información de contacto empresarial para finalidades distintas a las inherentes a la propia naturaleza del fichero no debería implicar una responsabilidad para IRIS DATA. - Manifiestan su disconformidad frente a la denegación de la aplicación de la figura del apercibimiento prevista en el artículo 45.6 de la LOPD, cuya aplicación solicitan por considerar que, en contra de lo afirmado por la AEPD, su conducta fue diligente teniendo en cuenta que, intentando cumplir con la normativa y no siendo experta en esta materia, la elaboración de la BBDD y el tratamiento de los datos contenidos en la misma se ha circunscrito a finalidades empresariales a partir de la interpretación del tenor literal de la redacción del artículo 2.2 del RDLOPD. Por ello, si la AEPD ha matizado con posterioridad ciertos aspectos del citado precepto referentes a su ámbito objetivo de aplicación, se trataría de un “error” en la interpretación y aplicación de la normativa que no justificaría tal denegación cuando, como en este caso, no existe un incumplimiento voluntario y doloso de la norma y su adopción permite evitar la imposición de elevadas sanciones económicas a pequeñas empresas que, como IRIS DATA, se verían abocadas a la liquidación de la sociedad con su pago. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/29 - Subsidiariamente, solicitan se aplique lo previsto en el artículo 45.5 de la LOPD ante la cualificada disminución de su culpabilidad derivada de la falta de intencionalidad en su conducta, por haber considerado expertos que las direcciones de correo electrónico recogidas se encontraban encuadradas en la excepción contemplada en los artículos 2.2 y 2.3 del RDLOPD, al tener como finalidad el tratamiento de dichas direcciones únicamente una actividad empresarial. HECHOS PROBADOS PRIMERO: Con fecha 25 de noviembre de 2013 el Director de la Agencia Española de Protección de Datos resolvió el expediente de actuaciones previas de investigación E/07314/2012 seguido a cuatro sociedades que comercializaban bases de datos que incluían, entre otros datos, direcciones de correo electrónico, a fin de “determinar qué información facilitan a los compradores sobre la legalidad de las bases de datos, la licitud de su utilización conforme a la LSSI y LOPD y la posible vulneración por parte de estas empresas de las citadas normas” , con el siguiente acuerdo: “1. PROCEDER AL ARCHIVO por caducidad de las actuaciones previas de investigación del expediente número E/0734/2012. 2. INICIAR nuevas actuaciones previas de investigación que se seguirán bajo la referencia de los expedientes número E/07133/2013, E/07140/2013, E/07141/2013 y E/07142/2013.”, correspondiéndose el expediente de investigación de referencia E/07133/2013 a la entidad IRIS DATA, S.L. SEGUNDO: IRIS DATA, S.L. ha manifestado que los datos contenidos en la base de datos que comercializa se obtienen de fuentes accesibles al público y de las páginas web oficiales de las empresas (folio 65). En las actuaciones previas de investigación E/07314/2012 dicha entidad había señalado que los datos que integraban las bases de datos procedían del Boletín Oficial del Registro Mercantil (BORME) y los directorios telefónicos. En cuanto al dato del correo electrónico de las empresas había indicado que “también puede tomarse de sus propias páginas web (cuando así lo hacen público)” y que la entidad no recaba directamente de las empresas dicho dato. También había indicado que la contratación de las bases de datos de IRIS DATA, S.L. está sujeta a las condiciones contractuales que figuran en el sitio web http://www.irisdata.org/Aviso Legal.html. (folios 22, 24 y 25). TERCERO: Con fecha 1 de abril de 2014 por IRIS DATA, S.L. aporta copia de un disco compacto conteniendo copia de la “Base de Datos E-Mails Empresas” con un total de 390.670 registros. (folios (folios 14, 16 y 49 al 54) Cada registro contiene los siguientes campos: Identificador, Actividad, Empresa, Dirección, Población, Provincia, CP, Teléfono 1, Teléfono 2, Fax, Código CNAE, Descripción CNAE, Código Provincia, Comunidad , Email. CUARTO:Como consecuencia de los diversos C/ Jorge Juan, 6 28001 – Madrid filtros efectuados en la mencionada www.agpd.es sedeagpd.gob.es 8/29 “Base de Datos E-Mails Empresas” se constata que la misma incluye, al menos, 50 direcciones de correo electrónico compuestas por el nombre y el primer apellido o ambos apellidos de los titulares y/o usuarios de las mismas, y cuyo detalle es el siguiente: (folios 14, 16 y 49 al 54) [DIRECCIONES DE CORRESOS…..] QUINTO: En las Condiciones Generales del Servicio contenidas en el Aviso Legal de la página web http://www.irisdata.org/Aviso Legal.html aparece, a fecha 2 de marzo de 2015, la siguiente información: (folios 89 al 95 ) “Objeto y Descripción de los Servicios IRIS DATA, S.L. domiciliada en (…) es el creador y propietario de una Base de datos de empresas y la web www.irisdata.org. Dicha base de datos ha sido obtenida de fuentes accesibles al público en especial:- Listines telefónicos. – Guías de EmpresasListas de Colegios Profesionales. – Otros medios de comunicación (Registro Mercantil; Diarios oficiales,- BORME). Junto con otras informaciones tanto propias como provenientes de bases de datos públicas de proveedores de reconocido prestigio, y ofrece una gran variedad de productos y servicios relacionados en gran medida condicha información. El presente contrato regula la prestación y el suministro al CLIENTE, de servicios y productos por parte de IRIS DATA. Los productos y servicios actualmente disponibles en gran parte procedentes de la Base de Datos IRIS DATA, son los que se indican en las Tarifas de precios y servicios que se pueden consultar a través del propio Sistema de Información de la web de IRIS DATA, (…). “Uso de la Información La información se suministrará con carácter confidencial y para el uso exclusivo del CLIENTE en la actividad de publicidad o prospección comercial, y se deben respetar las leyes en materia de publicidad a través de los diferentes medios: Carta, Fax, Teléfono, Email. En ningún caso podrá: a. Utilizar esta información para actividades diferentes a publicidad o prospección comercial. b. Divulgar en ningún tipo de soporte ni facilitar dicha información a persona o personas no expresamente empleados por el Cliente. c. Trasladar, transferir, ceder, subarrendar, sublicenciar, vender o realizar cualquier otro acto de disposición de los datos, ya sea de forma gratuita u onerosa. d. Comunicar, ya sea de forma gratuita u onerosa, a cualquier persona o entidad, el contenido total o parcial de los datos cedidos. e. Alterar, transformar o de cualquier forma modificar total o parcialmente, la información suministrada. f. Copiar y/o duplicar la información suministrada o la Base de Datos haciendo extensiva esta prohibición a la copia de la misma una vez modificada y/o fusionada, así como a la creación de ficheros que contengan total o parcialmente la información contenida en la Base de Datos. EL CLIENTE será el único responsable de las consecuencias que se pudieran derivar de tales acciones, así como de la salvaguardia de la Información suministrada, debiendo tomar las medidas de seguridad apropiadas para la protección contra el acceso o difusión no autorizados. EL CLIENTE está de acuerdo en que la información suministrada por IRIS DATA podrá ser un elemento más a tener en cuenta en la adopción de sus decisiones empresariales pero no podrá tomar las mismas exclusivamente en base a ella, y de hacerlo l ibera a IRIS DATA de toda la responsabilidad por la falta de adecuación. EL CLIENTE garantiza que el uso de las Bases de Datos de IRIS DATA, y de los demás productos y servicios objeto del presente contrato, es exclusivamente para garantizar el desarrollo, cumplimiento y control de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/29 relación jurídica libremente aceptada. Confidencialidad La información (productos y servicios) suministrados al CLIENTE son para su uso exclusivo y único, por lo que el mismo está obligado a mantener total confidencialidad en relación con los datos e información transmitidos. El CLIENTE no podrá ceder dicha información o parte de la misma a terceros sin el consentimiento previo y por escrito de IRIS DATA. Estas obligaciones de confidencialidad subsistirán aún después de finalizar sus relaciones con IRIS DATA, EL CLIENTE será por tanto responsable de cualquier mal uso o filtración que se produzca entre su personal o cualquier tercero al que haya comunicado la información. (…) Datos de Carácter Personal IRIS DATA garantiza tanto la legitimidad de las fuentes utilizadas en la elaboración de sus productos de información, como los procedimientos y acciones encaminado a su creación, y la legalidad de la cesión de los datos de carácter personal conforme a la Ley 15/1.999 de Protección de Datos de Carácter Personal. No obstante, el CLIENTE se obliga a la observancia de lo establecido en dicha Ley, y a utilizar estos datos a la actividad de publicidad o prospección comercial y a respetar las leyes en materia de publicidad a través de los diferentes medios: Carta, Fax, Teléfono, Email. (…)” Esta información coincide con la ofrecida en dicho sitio web con fecha con 25 de octubre de 2014, y que se comprobó al acceder a través de Internet en el Expediente E/07314/2012 (folios 31 al 36) SEXTO: A través del acceso efectuado con fecha 2 de marzo de 2015 en la pestaña “Quienes Somos” de la página web http://www.irisdata.org, se accedió a la siguiente información: (folio 80 ) “LISTADOSIRIS DATA GUÍA DE EMPRESAS ESPAÑOLAS Esta es la Explicación formal: (…) Esta es la que nosotros preferimos: IRIS DATA S.L. es una empresa con más de 10 años de antigüedad, desde nuestra nacimiento hemos ofrecido las herramientas necesarias para que nuestros clientes VENDAN. Bases de datos de Empresas para sus campañas de Publicidad, Actividad, empresa, dirección, teléfono, email, fax, empleados, ventas, persona de contacto, etc…Todo lo necesario para conectarle a sus futuros clientes… (…) ¿Cuáles son las señas de identidad de IRIS DATA S.L.? Producto: Ofrecemos bases de datos de Empresas para sus campañas de Marketing directo. (…)” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/29 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
4. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
5. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
6. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” Expuesto lo anterior, y en relación con los hechos que se imputan en el presente procedimiento, se hace necesario definir diversos conceptos que, junto con los ya expuestos, permitirán analizar, a lo largo del procedimiento, en primer lugar, si las direcciones de correo electrónico objeto de estudio constituyen, o no, datos de carácter personal conforme a la LOPD y, en segundo lugar, si el tratamiento efectuado por IRIS DATA al registrar dicha información de naturaleza personal en una base de datos empresarial comercializada para la realización de campañas publicitarias excedería del tratamiento excluido del régimen de aplicación de la protección de datos de carácter personal contemplado en los apartados 2 y 3 del artículo 2 del RDLOPD, requiriendo, por tanto, contar con el consentimiento inequívoco de los usuarios o titulares de dichas direcciones para la el tratamiento de sus datos personales con finalidades comerciales y publicitarias al margen de su condición de personas físicas que prestan servicios en empresas o de la condición de empresarios individuales, para lo cual se acude a las definiciones recogidas en los apartados b), c), y
7. e)del artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/29 3 de dicha norma en relación con los siguientes conceptos: ”
8. b)“Fichero:” Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” “.
9. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”, “
10. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
11. c)del presente artículo.” III A la vista de lo anterior, y en relación con la primera cuestión planteada, se deduce que la dirección de correo electrónico, considerando que contiene información de su titular, o en la medida en que permita proceder a la identificación del mismo sin realizar esfuerzos desproporcionados para ello, ha de ser considerada como dato de carácter personal, estando su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado afectado no ha dado su consentimiento para ello. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, atendiendo al grado de identificación del titular de la cuenta de correo que proporcione la dirección de que se trate. Así, existirán supuestos en los que no existe duda sobre que la dirección de correo electrónico es un dato de carácter personal al contener información identificativa de su titular, como en el presente caso en el que las direcciones de correo electrónico analizadas están compuestas por los nombres y apellidos de sus titulares. También habrá otros supuestos en los que aunque la dirección de correo electrónico no parezca mostrar datos relacionados con la persona titular de la cuenta, sin embargo, en la medida en que el titular de dicha dirección de correo electrónico sea una persona física nos encontraremos ante un dato de carácter personal. Debe añadirse, evidentemente, que si junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como su nombre y apellidos, su número de teléfono, su domicilio, puesto de trabajo, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante un supuesto de tratamiento de datos de carácter personal. Ahora bien, no podrán considerarse datos de carácter personal las direcciones cuyo titular no pueda asignarse a una persona física por referirse a un colectivo, como pueden ser las formadas con expresiones como “Información”, “Atencióncliente”, etc.. Al hilo de lo ya expuesto conviene traer a colación la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2015, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/29 dirección de correo profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN de 23 de marzo 2006 (Rec. 911/2003), 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen Jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002 )". Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. En el caso de autos, la dirección de correo electrónico que la Asociación recurrente tenía registrada en sus ficheros era YYYYYYYYY que, en contra de lo alegado por la recurrente, no es una dirección de correo electrónico de una persona jurídica, en concreto de los Laboratorios YYYYYYYYYY, sino de una persona física, el denunciante Don FL A mayor abundamiento, en el presente caso la dirección aparece conformada por el nombre de la persona física titular de la misma. Se trata de la dirección de correo de una persona física en los laboratorios donde presta sus servicios, viene referida a dicha persona física, tratándose de su dirección profesional. Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la citada Ley Orgánica 15/1999, SAN, Sec. 1ª de 3 de octubre de 2007 (Rec. 163/2006). Además, cabe señalar que el tratamiento que hizo la Asociación recurrente de la citada dirección de correo para remitir el video y comunicado en cuestión, no guarda relación con la actividad de los citados laboratorios, sino que hace referencia a una cuestión referente a un ámbito distinto, estrictamente privado o personal que trasciende el ámbito de la citada entidad y de la actividad profesional del denunciante”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/29 Así, en este supuesto, con arreglo al citado criterio no cabe duda de que al menos las cincuenta direcciones de correo electrónico localizadas en la base de datos empresarial propiedad de IRIS DATA formadas por la estructura nombre.apellido@dominioempresa contienen información que identifica o permite identificar sin esfuerzos desproporcionados a las personas físicas titulares o usuarios de las mismas en el marco de su actividad profesional por tratarse de su dirección de correo electrónico profesional, cuestión que, por otro lado, hay que diferenciar de las finalidades para las que se pueden utilizar dichos datos personales por IRIS DATA al incorporarlas en la base de datos empresarial de su propiedad, y que en este supuesto responden a un uso publicitario como se justificará más adelante. IV El artículo 43.1 de la vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos. El artículo 3.
12. d)de la LOPD define como “Responsable del fichero o tratamiento” a “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”, por lo que ambas figuras están sujetas al régimen sancionador de la LOPD. Por su parte, el artículo 5.1.
13. q)del RDLOPD considera como como “Responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” De acuerdo con los preceptos de la normativa de protección de datos transcritos, IRIS DATA, resulta responsable del tratamiento automatizado realizado en la base de datos de su propiedad con la información de naturaleza personal incorporada y mantenida en la misma, habida cuenta que ha decidido la recogida, inclusión, mantenimiento y uso publicitario de una serie de direcciones de correo electrónico que contenían el nombre y el primero o los dos apellidos de sus respectivos usuarios o titulares, por tanto, dicha entidad ha decidido sobre la finalidad, contenido y uso del tratamiento automatizado realizado con dichos datos de carácter personal que incorpora en un fichero de su titularidad. V En el presente procedimiento sancionador se imputa a IRIS DATA una infracción a lo previsto en el artículo 6.1 de la LOPD, ya que no ha acreditado contar con el consentimiento previo e inequívoco de los titulares o usuarios de, al menos, las cincuenta direcciones de correo electrónico incluidas en el Hecho Probado Cuarto, todas ellas asociadas a personas físicas identificadas o identificables, para su utilización con fines publicitarios en su condición de consumidores individuales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/29 Sentado lo cual, se reitera que la utilización como criterio de búsqueda en Internet de siete de estas cincuenta direcciones electrónicas únicamente perseguía, tal y como se indica en el apartado 5 del Antecedente Segundo de esta resolución y se ha señalado en el acuerdo de inicio y en la propuesta de resolución del procedimiento, “analizar si el tipo de direcciones de correo electrónico consideradas en el punto anterior identifican o pueden identificar a sus titulares”, demostrándose a través del resultado obtenido en estas operaciones de búsqueda que se estaba ante un tratamiento que afectaba a personas físicas identificadas o identificables sin esfuerzos desproporcionados. Téngase en cuenta que la acreditación de la naturaleza de las citadas direcciones electrónicas resultaba necesaria a los efectos jurídicos de determinar si concurrían circunstancias que justificaban la iniciación del procedimiento sancionador y la fijación de los hechos objeto de imputación. Además, ni se ha pretendido ni se ha utilizado por esta Agencia la información obtenida con estas búsquedas para imputar ningún tipo de responsabilidad a IRIS DATA por el tratamiento que terceros ajenos al fichero titularidad de esa empresa hubieran efectuado en Internet de dichos correos electrónicos. De hecho, el resultado de la búsqueda efectuada en Internet por IRIS DATA en relación con la cuenta de correo electrónico ....@consulta........ no se limita a mostrar una información profesional, sino que también revela la identidad del titular de dicha cuenta y la posición concreta del mismo en el Consulado de Finlandia en la ciudad de Sevilla, por lo que se trata de la dirección de correo profesional de una persona física concreta en dicho Consulado. No cabe duda que la conducta imputada resulta aplicable al resto de cuentas de correo contenidas en la base de datos con la misma estructura de las ahora analizadas que no se han recogido en la muestra para no hacer una lista exhaustiva, tales como las pertenecientes a los dominios xunta.es, sergas.es o cfnavarra.es, o que, en su caso, pudieran resultar de la realización de otros filtros o criterios de búsqueda distintos a los practicados que dieran como resultado direcciones de correo electrónico compuestas por datos personales que identifican o permiten la identificación sin esfuerzos desproporcionados de los usuarios y titulares de las mismas. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en genera. El artículo 6 de la LOPD, que consagra el principio del consentimiento del afectado o autodeterminación, dispone lo siguiente: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/29 proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado. “ Es decir, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, excepción hecha de la existencia de legitimación legal para ello o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6, definiéndose en el apartado
14. h)del artículo 3 de la LOPD como “ Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. VI IRIS DATA defiende que el supuesto analizado no se encuentra bajo la órbita de protección de la LOPD al resultar de aplicación al tratamiento efectuado las excepciones previstas en los apartados 2 y 3 del artículo 2 del RDLOPD, según sean cuentas de correo electrónico de personas físicas que prestan servicios a personas jurídicas o pertenezcan a personas físicas en su calidad de empresarios individuales (comerciantes y profesionales), por lo que considera que no se ha infringido la normativa de protección de datos al no ser necesario recabar el consentimiento de los interesados establecido en el artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/29 Los apartados 2 y 3 del artículo 2 del RDLOPD invocados por la entidad imputada establecen respecto del “Ámbito objetivo de aplicación” del mismo lo siguiente: “2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. “ Por lo cual, la cuestión a dilucidar se centra en determinar si IRIS DATA incluye en la citada base de datos los correos electrónicos objeto de estudio únicamente con fines de contacto referidos al ámbito empresarial y profesional de las personas jurídicas y empresarios individuales (profesionales y comerciantes) que, conjuntamente, integran el fichero, o, por el contrario, los incorpora con otras finalidades referidas al ámbito privado y personal de los afectados que trascienden de las actividades desarrolladas por estas personas físicas en las mencionadas organizaciones en función de la posición empresarial o profesional ocupada en las mismas. En el segundo caso, tal tratamiento de datos personales estaría sometido a la normativa de protección de datos por exceder del ámbito empresarial en el que se enmarcan los ficheros de contactos en las empresas, entendiéndose como tales a los efectos que nos ocupan tanto los referidos a personas físicas que prestan sus servicios a personas jurídicas como los constituidos por empresarios individuales en su exclusiva condición de comerciantes y profesionales, y a los que, respectivamente, se refiere la exclusión de los apartados 2 y 3 del artículo 2 del RDLOPD, puesto que el dato personal de contacto deja de utilizarse como un medio para acceder a la persona jurídica o al empresario individual en sus ámbitos propios de actuación para ser una forma de contactar directamente con el sujeto titular o usuario de dichas cuentas de correo en su calidad de consumidor individual. La cuestión relativa a la aplicación de los apartados 2 y 3 del artículo 2 del reglamento de desarrollo de la Ley Orgánica 15/1999 ha sido reiteradamente analizada por esta Agencia a partir del informe del Gabinete Jurídico de fecha 18 de febrero de 2008. En cuanto a la aplicación del artículo 2.2 del reglamento, el citado informe alcanza la conclusión de que su aplicación tendrá lugar siempre y cuando se cumplan dos requisitos, a los que se refiere en los siguientes términos: “ (…) En consecuencia, la Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/29 El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. Por ello, no se encontrarían excluidos de la Ley los ficheros en los que, por ejemplo, se incluyera el dato del documento nacional de identidad del sujeto, al no ser el mismo necesario para el mantenimiento del contacto empresarial. Igualmente, y por razones obvias, nunca podrá considerarse que se encuentran excluidos de la Ley Orgánica los ficheros del empresario respecto de su propio personal, en que la finalidad no será el mero contacto, sino el ejercicio de las potestades de organización y dirección que a aquél atribuyen las leyes. El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones "business to business", de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, si la relación fuera "business to consumer", siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de fa comunicación, el tratamiento se encontrarla plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto en el artículo 2.2 del Reglamento." Igualmente, en el citado informe se señala, en relación con la aplicación del artículo 2.3, que la misma será posible si se cumplen dos requisitos: “ (…) Así, el tratamiento de los datos del empresario individual, con las limitaciones que se han venido señalando, para mantener una relación comercial con el mismo, podría encontrarse amparado por el artículo 2.3 del Reglamento, en conexión con las normas de la Ley Orgánica 15/1999 que se han venido indicando. Sin embargo, no podrá considerarse amparado por el precepto, y en consecuencia excluido de la Ley Orgánica 15/1999, el tratamiento de los datos del comerciante llevado a cabo no con la finalidad de mantener una relación empresarial con el establecimiento y organización que el mismo hubiera creado, sino para conocer la información del propio sujeto organizado en forma de empresa, siendo el destinatario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/29 del tratamiento no la empresa sino el propio empresario en tanto, por ejemplo, que consumidor individual. En consecuencia, de lo que ha venido indicándose cabrá extraer dos conclusiones determinantes del alcance de lo dispuesto en el artículo 2.3 del Reglamento: - Cabrá considerar que la legislación de protección de datos no es aplicable en los supuestos en los que los datos del comerciante sometidos a tratamiento hacen referencia únicamente al mismo en su condición de comerciante, industrial o naviero; es decir, a su actividad empresarial. - Al propio tiempo, el uso de los datos deberá quedar limitado a las actividades empresariales; es decir, el sujeto respecto del que pretende llevarse a cabo el tratamiento es la empresa constituida por el comerciante industrial o naviero y no el empresario mismo que la hubiese constituido. Si la utilización de dichos datos se produjera en relación con un ámbito distinto quedaría plenamente sometida a las disposiciones de la Ley Orgánica.” VII En este caso, de las actuaciones practicadas durante la instrucción del procedimiento y de la documentación del mismo, se desprende que el tratamiento efectuado por la entidad imputada en relación con los referidos correos electrónicos de contacto no está restringido a las funciones empresariales o profesionales desempeñadas por sus titulares o usuarios en el marco de actividad de las organizaciones de las que forman parte, sino que la recogida y utilización de esa información personal de contacto por parte de IRIS DATA responde a la finalidad de marketing directo y prospección comercial con la que se crea, mantiene, promociona y comercializa la información contenida en el fichero empresarial de su propiedad. Así se evidencia de la información que aparece en las Condiciones Generales del Servicio contenidas en el Aviso legal de la página web de esa empresa, en cuyo epígrafe ““Uso de la Información” se indica que “La información se suministrará con carácter confidencial y para el uso exclusivo del CLIENTE en la actividad de publicidad o prospección comercial (…). En ningún caso podrá: a. Utilizar esta información para actividades diferentes a publicidad o prospección comercial. Asimismo en el epígrafe de dichas condiciones titulado “Datos de Carácter Personal” se reseña que el cliente se obliga a: ” utilizar estos datos a la actividad de publicidad o prospección comercial y a respetar las leyes en materia de publicidad a través de los diferentes medios: Carta, Fax, Teléfono, Email.” También confirma esa finalidad la información expuesta en la pestaña “Quienes Somos” de esa misma página web relativa a la actividad y productos comercializados por esa empresa indicando que: “IRIS DATA S.L. es una empresa con más de 10 años de antigüedad, desde nuestra nacimiento hemos ofrecido las herramientas necesarias para que nuestros clientes VENDAN. Bases de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/29 Empresas para sus campañas de Publicidad, Actividad, empresa, dirección, teléfono, email, fax, empleados, ventas, persona de contacto, etc…Todo lo necesario para conectarle a sus futuros clientes… (…) ¿Cuáles son las señas de identidad de IRIS DATA S.L.? Producto: Ofrecemos bases de datos de Empresas para sus campañas de Marketing directo. (…)” (el subrayado es de la AEPD) Por todo ello no puede desligarse la naturaleza del tratamiento publicitario y comercial que esa entidad realiza con los mencionados correos electrónicos de contacto de la condición de consumidores individuales de sus titulares, y como tales potenciales “futuros clientes” de los compradores de las bases de datos. Así, en la situación analizada, la inclusión de los citados correos electrónicos tiene como destinatario de la relación a la persona física titular del dato personal en lugar de a la persona jurídica o empresario individual en la que el empleado presta servicios, por lo que aunque las cuentas de correo electrónico profesionales analizadas formen parte del citado fichero de empresas no resulta de aplicación a las mismas la excepción prevista en los apartados segundo y tercero del artículo 2 del RDLOPD. Consecuentemente, y sin perjuicio de que las direcciones electrónicas objeto de estudio están contenidas en una base de datos empresarial, debe rechazarse la manifestación de que su comercialización “es para que los adquirentes de la misma la utilicen únicamente para contactar con las empresas que la conforman, pero en ningún momento se comercializa como una Base de Datos para ser utilizada con fines publicitarios para la realización de acciones hacia consumidores individuales.”. Al hilo de lo cual, hay que añadir que su venta se realiza por IRIS DATA sin estar limitada a la finalidad del mantenimiento de la relación con persona jurídica o empresario individual. La conducta descrita supone un tratamiento de datos concernientes a personas físicas (correos electrónicos profesionales objeto de análisis) del que únicamente resulta responsable IRIS DATA, en tanto que es la entidad que ha decidido sobre las finalidades y uso de los datos de carácter personal que incorpora al fichero maestro del que se nutren las bases de datos empresariales que comercializa con fines de marketing directo y prospección comercial . Este tratamiento, a pesar de lo pretendido por la entidad imputada, es completamente independiente de las acciones que puedan realizar los compradores de las bases de datos con la información contenida en las mismas, y que en caso de suponer posible incumplimiento a lo previsto en la LOPD o en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, (en adelante LSSI), darían lugar a la iniciación de las oportunas actuaciones de investigación previa por parte de esta Agencia en el marco de sus competencias. A la vista de lo cual, el tratamiento objeto de estudio se encontraría sometido a las garantías de la normativa de protección de datos al estar vinculado al ámbito privado y personal de los sujetos afectados, requiriendo, en consecuencia, del consentimiento inequívoco de los titulares o usuarios de dichos correos electrónicos exigido en el apartado primero del artículo 6 de la LOPD, excepción hecha de que medie legitimación legal como contempla dicho apartado o se produzca alguno de los supuestos recogidos en el apartado segundo del mismo artículo 6 de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/29 VIII Fijado lo anterior resulta preciso estudiar si a dicho tratamiento le resultaría de aplicación la excepción al consentimiento recogida en el artículo 6.2 de la LOPD, toda vez que IRIS DATA ha manifestado que los datos contenidos en la base de datos de correos electrónicos que comercializa proceden de fuentes accesibles al público y de las páginas web oficiales de las empresas contenidas en el citado fichero. El artículo 3
15. j)de la LOPD entiende como “Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. “. En el presente caso, y a pesar de que en el período de práctica de pruebas IRIS DATA fue requerida para acreditar el origen de las mencionadas direcciones de correo electrónico y la obtención del consentimiento inequívoco de los titulares de cada una de dichas cuentas para su inclusión en la reseñada base de datos con fines de comercialización publicitaria , dicha entidad no ha justificado mediante ningún medio de prueba que los correos electrónicos objeto de estudio procedieran de fuentes accesibles al público, limitándose a citar en forma genérica dicho origen y sin fijar ni demostrar el tipo concreto de fuente accesible al público al que se estaba refiriendo. Esta circunstancia resulta relevante teniendo en cuenta que en su calidad de responsable del tratamiento y del fichero en cuestión debe estar en condiciones de acreditar que cuenta con el consentimiento inequívoco de los afectados o que concurre alguna de las excepciones fijadas en el artículo 6.2 de la LOPD a dicho requisito. En este sentido los apartados 1 y 3 del artículo 12 del RDLOPD establecen respecto del principio general del consentimiento para el tratamiento de los datos que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a IRIS DATA demostrar que contaba con cobertura legal para realizar el repetido tratamiento. En este sentido, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/29 justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” En definitiva, en atención al juego de la prueba en el procedimiento sancionador, a la parte que acusa o imputa, le compete probar el hecho constitutivo de la infracción, esto es, el tratamiento de datos de carácter personal (ya probado por la Agencia), y a la parte imputada, el hecho extintivo o impeditivo, esto es, que IRIS DATA contaba con el consentimiento inequívoco de los usuarios y titulares de dichos datos para su inclusión en dicha base de datos con fines comerciales o que no lo precisaba con arreglo a alguno de los supuestos de excepción del artículo 6.2 de la LOPD. Junto a lo indicado, dado que el fichero creado y gestionado por IRIS DATA se utiliza para elaborar bases de datos destinadas a la realización de campañas de marketing publicitario, tal y como figura en su página web, también resulta de aplicación al tratamiento de los datos de carácter personal registrados en el mencionado fichero objeto de análisis lo previsto en los artículos 30.1 de la LOPD y 45 del RDLOPD . El artículo 30.1 de la LOPD, relativo a los “ Tratamientos con fines de publicidad y de prospección comercial” establece que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.” (el subrayado es de la AEPD) Por su parte, el artículo 45 del RDLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, completa el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
16. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
17. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
18. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “(el subrayado es de la AEPD) Así, en el caso de haberse justificado por esa entidad que parte de los correos electrónicos estudiados procedían de fuentes de acceso público, lo que se insiste no ha ocurrido, el tratamiento de los mismos estaría dispensado de la exigencia de contar con el consentimiento inequívoco de los afectados para su inclusión en la citada base datos, conforme a lo previsto en los reseñados artículos 6.2 y 30.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/29 Sin embargo, aún en el supuesto de haberse demostrado por esa sociedad que parte de los correos electrónicos tratados procedían de las páginas web de Internet de las empresas relacionadas en la base de datos, circunstancia que se recuerda tampoco se ha probado por la imputada, IRIS DATA hubiera precisado contar con el consentimiento inequívoco de los afectados al que se refiere el artículo 6.1 de la LOPD para registrar y utilizar las susodichas cuentas de correo electrónico en una base de datos que se comercializa con fines publicitarios, y ello previa información a los mismos de los sectores específicos y concretos de actividad respecto de los que podrían recibir información y publicidad. Sobre este particular se observa que las páginas web de Internet no tienen la consideración de fuentes accesibles al público conforme se desprende de la relación cerrada de las mismas que figura en el mencionado artículo 3.
19. j)de la LOPD. De la valoración conjunta de los elementos fácticos obrantes en el expediente, se evidencia que la entidad imputada no ha justificado contar con el consentimiento inequívoco de las personas físicas afectadas para que sus correos electrónicos profesiones puedan ser utilizados más allá de las relaciones “business to business” a las que se refiere la exclusión recogida en el artículo 2.2 del RDLOPD, uso que, indudablemente, no comprende la utilización de tales datos de carácter personal para finalidades publicitarias asociadas a la condición de consumidores individuales de sus titulares. En consecuencia, al no constar acreditado el consentimiento de los usuarios y/o titulares de las mencionadas direcciones de correo electrónico para su incorporación con finalidades ajenas al de contacto empresarial, y siendo dicho consentimiento un requisito necesario en los tratamientos con fines de publicidad y de prospección comercial, conforme se desprende de lo previsto en los artículos 6.1 y 30.1 de la LOPD, excepción hecha de que se acredite que los datos procedan de fuentes accesibles al público o que hubieran sido facilitados por los propios interesados, IRIS DATA no está legitimada para incluirlos en bases de datos empresariales cuyo destino es el uso publicitario de la información de contacto contenida en las mismas. Dicho tratamiento tiene un alcance que excede del necesario para el mantenimiento del contacto empresarial al que se refiere el artículo 2.2 del RDLOPD, estando sometido, por lo tanto, al principio del consentimiento de la LOPD. De lo que se concluye que IRIS DATA, como responsable del tratamiento efectuado, no ha acreditado contar con el consentimiento inequívoco de las personas físicas titulares de las direcciones electrónicas detalladas en el presente procedimiento para incorporar dicha información en la base de datos de su propiedad con fines de comercialización publicitaria, requisito exigible también al resto de cuentas de correo electrónico contenidas en el fichero analizado que contienen datos de carácter personal que identifican o hacen identificables a sus titulares y usuarios. IX El artículo 44.3.
20. b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso se cumple el supuesto de hecho que tipifica el citado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/29 precepto, toda vez que IRIS DATA no ha justificado haber obtenido el consentimiento de los usuarios de las reseñadas direcciones de correo electrónico de contacto empresarial para efectuar un tratamiento que, al referirse a la condición de personas físicas consumidoras de los afectados, excedía del asignado a los datos personales contenidos en ficheros de contacto empresarial. De este modo, el tratamiento publicitario efectuado por la entidad imputada con los reseñados correos electrónicos se encuentra sometido a las garantías de la LOPD al superar el uso asociado a los ficheros de datos personales de contacto empresarial al que se refiere el artículo 2.2 del RDLOPD, y, en consecuencia, afectar a la esfera particular de los usuarios o titulares de dichas cuentas de correo electrónico, causa por la que IRIS DATA precisa del consentimiento inequívoco de los afectados para tratar las reseñadas cuentas de correo electrónico con la finalidad publicitaria a la que se destina la base de datos empresarial comercializada. La falta de rigor que muestra dicha conducta, en especial si se valora que IRIS DATA es una entidad habituada al tratamiento de datos de carácter personal en razón de su actividad, y que, por lo tanto, no sólo debe ser conocedora de la normativa que resulta de aplicación a este tipo de tratamientos, sino que debe de tener implantados mecanismos y medidas de prevención y control que permitan asegurarse del origen de la información personal tratada y de la legitimidad del tratamiento efectuado con la misma, constituye una falta de diligencia que resulta imputable a IRIS DATA y determina el elemento culpabilístico de la infracción administrativa analizada. Sobre este particular, y sin perjuicio de que estuviese referido al principio de calidad de datos y no al del consentimiento, en la Sentencia de la Audiencia Nacional de fecha 31 de mayo de 2013, rec. 392/2011, se señalaba que: “Por otro lado, no se puede acoger la falta de culpabilidad alegada de conformidad con el art. 130.1 de la Ley 30/1992, de 26 de noviembre que dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, pero añadiendo que incluso "a título de simple inobservancia" . La existencia de culpabilidad resulta clara en el caso de autos por falta de diligencia de la entidad recurrente, pues si dicha parte actora hubiera actuado con la diligencia debida, habría cumplido con los requisitos exigibles para dar de alta a los denunciantes en el fichero de solvencia patrimonial, por lo que la conducta apreciada le es atribuible a título de culpa, por lo que no puede hablarse de vulneración del principio de culpabilidad. Ha de tomarse además en consideración que tal entidad demandante, por la actividad que realiza, debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, máxime si se tiene en cuenta que está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales del art. 18.4 de la Constitución. Por las razones expuestas, la parte actora le es imputable la infracción grave tipificada en el art. 44.3.
21. c)de la LOPD , como recoge la resolución recurrida.” De conformidad con lo indicado, IRIS DATA resulta responsable, a título de culpa, de la comisión de la infracción grave descrita al incumplir en la forma descrita el principio general del consentimiento previsto en el artículo 6.1 de la LOPD, conducta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/29 que encuentra su tipificación en el artículo 44.3.
22. b)de la citada Ley Orgánica. X El apartado 6 al artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
23. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
24. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. (el subrayado es de la AEPD) En el presente supuesto se cumplen los requisitos recogidos en los apartados
25. a)y
26. b)del citado apartado 6. No obstante, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente que el tratamiento efectuado pone de relieve una importante falta de diligencia en el cumplimiento de la normativa de protección de datos por parte de la entidad imputada, por cuanto el tratamiento no consentido de los mencionados correos electrónicos profesionales obedece a una finalidad publicitaria que afecta al ámbito privado de las de las personas físicas usuarias o titulares de los mismos, precisamente en su calidad de consumidores individuales, trascendiendo, por ello su posición de sujetos de contacto dentro de los ámbitos empresariales en los que desarrollan su actividad al servicio de personas jurídicas o en su calidad de empresarios individuales. El criterio anterior está en concordancia con la posición mantenida por la AEPD en los numerosos informes jurídicos evacuados a lo largo del tiempo en relación con las consultas planteadas sobre el ámbito de aplicación de la legislación de protección de datos, apareciendo los más destacados en la página web de la Agencia. A su vez, las afirmaciones efectuadas en los anteriores Fundamentos de Derecho relativas a que el tratamiento analizado recae bajo el ámbito objetivo de aplicación de la normativa de protección de datos, tampoco suponen ningún tipo de contradicción con la información proporcionada durante la 1ª Sesión Anual Abierta de la AEPD, celebrada el 22 de abril de 2008, sobre la aplicación del artículo 2.2 del entonces nuevo Reglamento de Desarrollo de la LOPD, y tras cuya consulta en la web de la Agencia IRIS DATA interpretó, según alega, que estaba habilitada para crear la mencionada base de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/29 empresarial por contener únicamente los datos enumerados en dicho precepto responder su creación y uso a finalidades empresariales. y por La pregunta y respuesta invocadas por IRIS DATA, accesibles en el enlace http://www.agpd.es/portalwebAGPD/jornadas/1_sesion_abierta/common/faqs_bloq ue_1.pdf , tenían el siguiente tenor literal: ”Si me dirijo a un cargo específico de una empresa para comunicarle productos o servicios dirigidos a la empresa para la que trabaja ¿necesito su consentimiento para dirigirme a él personalmente? • Desde el punto de vista de la LOPD, podría tratarse de un supuesto de aplicación del artículo 2.2, dado que se habla de productos o servicios dirigidos a la empresa, no operando las reglas generales de legitimación para el tratamiento. • No obstante, si la comunicación se efectúa por medios electrónicos (e-mail, SMS, MMS, fax) o llamadas sin intervención humana, será de aplicación la LSSI y habrá de estarse al caso concreto. • En consecuencia, sea o no aplicable la LOPD, si se utilizan estos medios hará falta el consentimiento expreso del destinatario.” Así, aunque la cuestión planteada afecta a la aplicación de los ficheros de contacto, de su lectura se evidencia que la consulta no se refiere al alcance del tratamiento efectuado por el responsable de la creación y mantenimiento del fichero empresarial de contactos, sino que afecta al alcance del tratamiento que pudiera realizar un tercero con los datos identificativos del cargo de contacto registrados en el fichero para “comunicarle productos o servicios dirigidos a la empresa para la que trabaja”, mientras que en este expediente se ha razonado que el destinatario de la publicidad sería la propia persona física titular del correo electrónico en su condición de consumidor particular en lugar de la persona jurídica en la que presta servicios o a la que representa. Por otra parte, la contestación no afirma categóricamente que se trate de un supuesto de aplicación del artículo 2.2, sino que utiliza la expresión “podría tratarse” en función de los términos genéricos de la pregunta. A mayor abundamiento, en el informe citado del Gabinete Jurídico de fecha 18 de febrero de 2008, anterior a la celebración de la jornada y repetido en posteriores informes de la Agencia, consta que la prestación de servicios a la persona jurídica no es el único elemento que se pondera a los efectos de discernir si el tratamiento de los datos profesionales de contacto de carácter personal cae bajo la órbita de la normativa de protección de datos. Téngase en cuenta que, al encontramos frente a una excepción del régimen general de aplicación de la normativa de protección de datos, su interpretación debe ser restrictiva, limitándose a los ficheros que contengan datos de las personas físicas que presten sus servicios en personas jurídicas, y siempre y cuando tales datos se circunscriban a los relacionados en el artículo 2.2 del RDLOPD y se utilicen exclusivamente con la finalidad de mantener la relación den la persona jurídica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/29 En base a lo cual, se desestima el planteamiento formulado por IRIS DATA respecto de la procedencia de acordar tal apercibimiento “atendiendo a la naturaleza de los hechos, la concurrencia significativa de los criterios establecidos en el artículo 45.6 de la LOPD y a que se ha habido un incumplimiento de la normativa por parte de IRIS DATA se ha debido a un error interpretativo del artículo 2.2 del RDLOP carente de toda intencionalidad.” XI El artículo 45 de la LOPD, en sus aparatados 1 a 5, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
27. a)El carácter continuado de la infracción.
28. b)El volumen de los tratamientos efectuados.
29. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
30. d)El volumen de negocio o actividad del infractor.
31. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
32. f)El grado de intencionalidad.
33. g)La reincidencia por comisión de infracciones de la misma naturaleza.
34. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
35. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
36. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
37. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
38. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
39. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
40. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
41. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Conviene recordar que desde el punto de vista material, la culpabilidad consiste C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/29 en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello, considerando las previstas expresamente en dicho apartado y la concurrencia significativa de varias de las circunstancias recogidas en el apartado 4 anterior, así como cualquier otra “que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Es decir, su aplicación deberá efectuarse ponderando de forma individualizada las circunstancias del caso analizado, sin que en el presente supuesto se considere que concurra alguno de los supuestos contemplados en el mencionado precepto, debiendo rechazarse, como pretende IRIS DATA, que se produzca una cualificada disminución de la culpabilidad de la entidad imputada derivada de su falta de intencionalidad por haber considerado que las direcciones de correo electrónico recogidas se encuadraban en los supuestos de excepción recogidos en los artículos 2.2 y 2.3 del RDLOPD. Teniendo en cuenta que el fichero de empresas aportado por IRIS DATA se comercializa con fines publicitarios, y no para el mantenimiento del contacto empresarial con las personas jurídicas o, en su caso, los empresarios individuales contenidos en el mismo, la totalidad de los correos incluidos en la base de datos comercializada que contienen datos de personas físicas identificadas o identificables en el campo del usuario están siendo utilizados por IRIS DATA, en consecuencia, en su condición de consumidores particulares, ámbito personal distinto del meramente empresarial que derivaría de su posición en las empresas o de su condición de empresarios individuales. Este tratamiento de datos de carácter personal supera el uso estrictamente profesional de los citados datos personales de contacto al que se limitan los preceptos invocados por dicha sociedad, sin que la presencia de varios de los criterios enunciados en el apartado 4 del artículo 45 de la LOPD sea de tal relevancia como para justificar, frente a la naturaleza de los hechos imputados y la falta de diligencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/29 mostrada en su conducta, que concurra el supuesto
42. a)del artículo 45.5 de la LOPD. A lo que hay que añadir que no se produce, tampoco, ninguno de los restantes supuestos contemplados en dicho precepto como motivo de minoración cualificada de la cuantía de la sanción a imponer. Por ello procede imponer una multa cuyo importe se encuentre entre 40.001 y 300.000 euros, conforme el rango de sanciones previstas en el apartado 2 del citado artículo 45 para las infracciones graves a la LOPD. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOP, se entiende que operan como agravantes de la conducta que ahora se analiza los siguientes criterios:
43. a)El carácter continuado de la infracción, ya que IRIS DATA viene tratando correos electrónicos conteniendo datos de carácter personal (nombre y apellidos de los usuarios) con los fines señalados en su página web desde hace diez años, según figura en su página web (hecho probado sexto), habiéndose comprobado el contenido de la base de datos por esta Agencia en abril de 2014;
44. b)El volumen de los tratamientos efectuados sin el consentimiento de los afectados que alcanzaría, al menos, a los usuarios de las cincuenta direcciones de correo electrónico relacionados en el Hecho Probado Cuarto, si bien afecta también a todas las cuentas de correo electrónico que contengan datos personales que identifiquen o hagan identificables sin grandes esfuerzos a sus titulares;
45. c)la vinculación de la imputada con actividades que comportan el tratamiento de datos personales de contacto profesional;
46. f)la falta de intencionalidad en su conducta, entendiendo la misma como como grado de culpabilidad, y no en su sentido literal que equivaldría a dolo, puesto que ya se ha justificado la grave falta de diligencia mostrada al no observar las cautelas requeridas para tratar los reseñados datos personales con una finalidad que requería el consentimiento de los afectados. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se tiene en cuenta, que operan como atenuantes los supuestos e),
47. h)y
48. g)del mismo, ante la falta de constancia de la existencia de beneficios a raíz de la comisión de la infracción imputada, la inexistencia de perjuicios probados a los afectados distintos del derivado de la utilización no consentida de sus correos electrónicos profesionales con fines distintos a los propios de las relaciones de contacto empresarial, es decir, a los que resultan de la propia infracción imputada, y, por último, la falta de reincidencia por la comisión de infracciones de la misma naturaleza. En definitiva, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, procede imponer a IRIS DATA una sanción por importe de 50.000 € como responsable de la infracción al principio del consentimiento. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IRIS DATA, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
49. b)de dicha norma, una multa de 50.000 € (Cincuenta mil euros) de conformidad con lo establecido en los artículos 45.2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/29 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a IRIS DATA, S.L.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es