← España

PS-00621-2015

1/23 Procedimiento Nº PS/00621/2015 RESOLUCIÓN: R/01182/2016 En el procedimiento sancionador PS/00621/2015, instruido por la Agencia Española de Protección de Datos a la entidad JAZZ TELECOM S.A.U. (en la actualidad ORANGE ESPAGNE, S.A.U.) , vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 30 de junio de 2015 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta lo siguiente: Con fecha 17 de abril de 2015, solicitó a JAZZ TELECOM S.A.U. (en lo sucesivo JAZZTEL) la exclusión de sus datos con fines publicitarios. Con fecha 28 de abril de 2015, JAZZTEL le confirma la exclusión solicitada. Aporta copia del escrito de solicitud, en el que hace referencia a sus datos en general, sin especificar la dirección de correo electrónico, y de la contestación en la que le informan que han procedido a excluir sus datos con fines publicitarios. No obstante, sigue recibiendo publicidad de JAZZTEL. Aporta copia de un correo electrónico recibido en su dirección A.A.A.@hotmail.com, con fecha 19 de junio de 2015, remitido desde la dirección Jazztel (promociones@.......), que contiene publicidad de JAZZTEL (no aporta las cabeceras del correo). El correo tiene la opción de darse de BAJA. Con fecha 6 de agosto de 2015, a solicitud de esta Agencia, el denunciante aporta copia de otro correo electrónico recibido en su dirección A.A.A.@hotmail.com., con fecha 27 de julio de 2015, remitido desde la dirección Jazztel (...@....servicioempleo.com), que contiene publicidad de JAZZTEL. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades ANTEVENIO S.A. (en lo sucesivo ANTEVENIO), IMPACTING EMAIL MARKETING SOLUTIONS S.L. (en lo sucesivo IMPACTING), y JAZZTEL, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección que se transcribe: <<ACTUACIONES PREVIAS Respecto al dominio correodirec.com: se verifica que la página web www.correodirect.com dispone de una opción en la que se puede facilitar una dirección de correo electrónico para recibir ofertas, promociones, sorteos etc. Así mismo, se ha verificado que la página dispone de una leyenda informativa en el apartado “Política de Privacidad”, en la que se identifica a la empresa ANTEVENIO S.A. como responsable de los datos que se recaban a través del sitio web. Respecto C/ Jorge Juan, 6 28001 – Madrid al domicilio servicioempleo.com: se verifica que la página web www.agpd.es sedeagpd.gob.es 2/23 www.servicioempleo.com dispone de un formulario para darse de alta, que incluye el dato de la dirección de correo electrónico. Así mismo, se ha verificado que la página dispone de una leyenda informativa en el apartado “Política de Privacidad”, en la que se identifica a la empresa IMPACTING EMAIL MARKETING SOLUTIONS, S.L. como responsable de los datos que se recaban a través del sitio web y se informa de que se realizaran comunicaciones electrónicas mediante e-mail con información y publicidad sobre los productos o servicios propios y de terceros. Con fecha 16 de octubre de 2015, ANTEVENIO S.A. (titular de www.correodirect.com), ha remitido a esta Agencia la siguiente información: 1. La dirección de correo electrónico A.A.A.@hotmail.com, fue facilitada por su titular al portal www.correodirect.com, del que es titular ANTEVENIO S.A., que permite marcar una casilla habilitada al efecto en el formulario de registro, autorizando a recibir en su buzón de e-mail ofertas, promociones, sorteos, regalos y encuestas, de los sectores que se especifican, entre los que se encuentra el de Telecomunicaciones. Aportan copia de la Política de Privacidad de la citada página. 1. Aportan copia del registro del denunciante, en el portal www.forokeys.com donde consta que se realizó con fecha 20 de mayo de 2015, desde la dirección IP: ***IP.1. y que facilito la dirección de correo electrónico A.A.A.@hotmail.com, En este portal se informa de que la suscripción se realiza en correo direct si se marca la casilla existente. En la actualidad la citada dirección de correo se encuentra dada de BAJA, ya que filtro la comunicación recibida al buzón de Correo no deseado, en estos casos la compañía lo gestiona como solicitud de baja. 2. A las personas que facilitan su correo electrónico y marcan la citada casilla, la compañía procede a remitirse comunicaciones comerciales, como la que recibió el denunciante con información de Jazztel. 3. El fichero utilizado por ANTEVENIO S.A. para el envío del correo electrónico recibido por el denunciante es el denominado CORREODIRECT MEMEBERS, inscrito en el Registro General de Protección de Datos con el código ***CÓD.1. La dirección de correo electrónico A.A.A.@hotmail.com, figuraba en dicho fichero y no les fue facilitada por JAZZTEL. 4. Los usuarios, en todo momento pueden ejercitar su oposición a la recepción de comunicaciones, mediante la opción existente en los propios correos. 5. No existe ninguna relación entre la compañía y JAZZ TELECOM SA. Sin embargo, JAZZTEL es cliente de la Agencia TELESTAN DIGITAL (Inversiones 2012 Inteligencia de Negocio S.L.), con la que ANTEVENIO S.A. tiene suscrito el correspondiente acuerdo para la prestación del servicio. Aportan copia de la factura emitida a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., con fecha 29 de septiembre de 2015 por la campaña publicitaria de JAZZTEL, así como de las condiciones generales del acuerdo suscrito con dicha compañía de fecha 25 de septiembre de 2015. Respecto al titular de la página web www.servicioempleo.com: IMPACTING EMAIL MARLETING SOLUTIONS S.L., con fecha 23 de septiembre de 2015, ha remitido a esta Agencia la siguiente información: 1. El usuario de la dirección de correo A.A.A.@hotmail.com, se registró en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 página web www.servicioempleo.com con fecha 28 de enero de 2012, desde la dirección IP ***IP.2, facilitando entre otros datos la citada dirección de correo. 2. “Servicioempleo” es un servicio gratuito de búsqueda de empleo y recepción de ofertas laborales, que tiene como contraprestación de los usuarios el recibir comunicaciones comerciales propias y de terceros, según se indica en la “política de privacidad” del sitio web que debe ser aceptada por el usuario marcando una casilla disponible en el formulario, del que aportan copia. 3. La empresa INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., contrato con IMPACTING EMAIL MARKETING SOLUTIONS S.L, con fecha 12 de marzo de 2015, la realización de una campaña de captación de clientes para JAZZTEL. Aportan copia del acuerdo. 4. La Base de Datos que se utilizó para realizar la campaña es la de servicioempleo, sin que hayan recibido ningún dato de JAZZTEL ni de INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. Con fecha 22 de octubre de 2015, JAZZ TELECOM S.A.U., ha remitido a esta Agencia por correo electrónico, la siguiente información, que ha remitido también por correo postal. 1. Aportan copia impresa de los datos que figuran en su fichero de clientes relativos al denunciante, entre los que figura la dirección de correo electrónico A.A.A.@hotmail.com, los datos constan marcados para no recibir comunicaciones comerciales (llamadas, comunicaciones electrónicas y postales) con fecha 28 de abril de 2015. 2. La empresa ha suscrito un contrato con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., con fecha 10 de julio de 2014, para la realización de campañas publicitarias, del que aportan copia y en el que se especifica, en el ANEXO I, apartado

  1. b)“Utilización de ficheros de exclusión de Jazztel”, lo siguiente: “JAZZTEL generará periódicamente una versión actualizada de sus ficheros de exclusión de envío de comunicaciones comerciales, que recogerá únicamente los datos de correo electrónico, para que el PROVEEDOR adopte, de forma inmediata tras la recepción de los mismos, las medidas necesarias que eviten el envío de publicidad de JAZZTEL a aquellos de sus destinatarios que coincidas con los incluidos en el fichero de exclusión de JAZZTEL”>> TERCERO: Con fecha 01/12/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a JAZZTEL, por presunta infracción del artículo 30.4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como como grave en lo dispuesto en el artículo 44.3.
  2. e)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, JAZZTEL formuló las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 1ª.En fecha 28/04/2015 JAZZTEL excluyó los datos del denunciante del tratamiento con fines de publicidad y prospección comercial tras la solicitud de derecho de oposición efectuada por éste en fecha 17/04/2015. Aporta impresión de sus sistemas en las que constan los datos personales del denunciante marcados para no recibir comunicaciones comerciales. 2ª.Los hechos denunciados se produjeron como consecuencia de una anomalía puntual en el procedimiento de exclusión de los datos de carácter personal de los usuarios (Robinson) que habían ejercido el derecho de oposición. En este caso concreto fue debido a que la dirección de correo electrónico del denunciante A.A.A.@hotmail.com, figuraba en las bases de datos de dos proveedores de JAZZTEL para la realización de campañas comerciales y no se realizó correctamente el filtrado de los usuarios que habían ejercido su derecho de oposición con fines comerciales. 3ª.JAZZTEL no ha impedido el derecho de oposición del denunciante tipificado en el artículo 44.3.
  3. e)de la LOPD, sino que ha infringido el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), tipificada como leve en el artículo 38.4.
  4. d)de dicha norma. Alega la existencia de numerosos procedimientos sancionadores por los mismos hechos que el presente. 4ª.Graduación de la sanción en atención a la ausencia de intencionalidad y beneficios obtenidos, así como a la naturaleza de los perjuicios causados. QUINTO: En fecha 22/02/2016 ORANGE ESPAGNE, S.A.U. comunicó a esta Agencia que en fecha 08/02/2016 se otorgó ante notario escritura de fusión por absorción entre JAZZ TELECOM, S.A.U. (entidad absorbida) y ORANGE ESPAGNE, S.A.U. (entidad absorbente) SEXTO: En fecha 26/04/2016 se emitió propuesta de resolución en el sentido de imponer a JAZZTEL una multa de 40.001 € por la infracción del artículo 30.4 en relación con el 17.1 de la LOPD, y artículos 34.b), 48 y 51.1 y 4 del RLOPD. SEXTO: Notificada la propuesta ORANGE ESPAGNE, S.A.U. reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento, añadiendo las siguientes: 1ª.JAZZTEL remite diariamente a todos los proveedores que realizan campañas comerciales mediste envíos de correo electrónico, el fichero Robinson con todas las direcciones de email que no desean recibir publicidad. Este hecho se encuentra recogido en el contrato suscrito con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. tanto en su cláusula tercera
  5. ii)como en el Anexo I b). Se aporta copia de los envíos del fichero Robinson remitidos a todos los proveedores que realizaban campañas comerciales mediante envíos de correo electrónico en fechas 29/04/2015 (un día después de atender el derecho de oposición) y 18/06/2015 (un día antes del primer envío comercial denunciado) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 Entre los incluidos en la lista de distribución de dichos correos electrónicos con el fichero Robinson se encontraba la dirección de INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. (.....@....). Por tanto se acredita que JAZZTEL remitió a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. un fichero de exclusión creado con arreglo a lo previsto en el artículo 48 RLOPD con los correo electrónicos que no podían ser tratados con fines publicitarios. 2ª.En el contrato suscrito por JAZZTEL con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. se exigía que todas las obligaciones impuestas a ésta en relación con el fichero de exclusión facilitado por JAZZTEL se derivasen a las terceras empresas subcontratistas (clausula decimoprimera
  6. ii)3ª.Aplicación subsidiaria del artículo 45.5 de la LOPD al haberse producido un proceso de fusión por absorción no siendo imputable la infracción a ORANGE. HECHOS PROBADOS PRIMERO: Con fecha 17/04/2015 el denunciante solicitó a JAZZTEL la exclusión de la utilización de sus datos con fines de publicidad y prospección comercial. En fecha 28/04/2015 JAZZTEL le confirmó que hizo efectiva su solicitud. SEGUNDO: En el fichero de clientes de JAZZTEL figuran los datos del denunciante entre los que se encuentra su dirección de correo A.A.A.@hotmail.com, marcados para no recibir comunicaciones comerciales (llamadas, comunicaciones electrónicas y postales) con fecha 28/04/2015. TERCERO: En fecha 19/06/2015 el denunciante recibió en su dirección A.A.A.@hotmail.com un correo electrónico remitido desde la dirección “Jazztel (promociones@.......)” conteniendo publicidad de JAZZTEL. CUARTO: En fecha 27/07/2015 el denunciante recibió en su dirección A.A.A.@hotmail.com un correo electrónico remitido desde la dirección “Jazztel (...@....servicioempleo.com)”, conteniendo publicidad de JAZZTEL. QUINTO: En fecha 10/07/2014 JAZZTEL suscribió un contrato con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. (PROVEEDOR), para la realización de campañas publicitarias, en el que se especifica lo siguiente: “PRIMERA.- OBJETO El objeto del presente Contrato es regular las condiciones en que se producirá la prestación por parte de EL PROVEEDOR a JAZZTEL de un servicio de difusión de campañas publicitarias de determinados productos y servicios JAZZTEL, así como de un servicio de gestión de leads… SEGUNDA.- PRESTACION DE LOS SERVICIOS … El PROVEEDOR prestará a JAZZTEL dos tipos de servicios:
  7. i)C/ Jorge Juan, 6 28001 – Madrid De un lado, EL PROVEEDOR llevará a cabo una campaña publicitaria en nombre de JAZZTEL a través de diferentes medios, entre los que se encuentra el envío de correos electrónicos a determinadas direcciones contenidas en un fichero de datos del que es responsable EL PROVEEDOR, con la finalidad de generar el mayor número de leads posible. www.agpd.es sedeagpd.gob.es 6/23 …. No se considerarán leads válidos las solicitudes de usuarios incluidos en la lista Robinson de FECEM, los que ya fueran clientes de JAZZTEL, ni los incluidos en los ficheros de exclusión que Jazztel hubiera facilitado a EL PROVEEDOR en cada momento. TERCERA.- OBLIGACIONES DEL PROVEEDOR … Asimismo JAZZTEL elaborará un fichero de exclusión de envío de comunicaciones comerciales que pondrá a disposición de EL PROVEEDOR, con la única finalidad de que éste excluya de sus bases de datos, y con carácter inmediato a su recepción, las direcciones de correo electrónico proporcionadas por JAZZTEL, sin que pueda destinarlas a fin distinto. EL PROVEEDOR establecerá los mecanismos necesarios para garantizar que no enviará por correo electrónico publicidad de JAZZTEL: …
  8. ii)a los destinatarios de su base de datos que coincidan con la direcciones de correo electrónico incluidas en el fichero de exclusión de envío de comunicaciones comerciales facilitado por JAZZTEL en cada momento y que EL PROVEEDOR deberá consultar con carácter inmediato a su recepción y siempre de forma previa al envío de cualquier comunicación comercial que incluya publicidad de JAZZTEL.. … ANEXO I SERVICIO DE ELECTRÓNICO DIFUSION DE CAMPAÑAS PUBLICITARIAS POR CORREO …
  9. b)Utilización de ficheros de exclusión de Jazztel. JAZZTEL generará periódicamente una versión actualizada de sus ficheros de exclusión de envío de comunicaciones comerciales, que recogerá únicamente los datos de correo electrónico, para que el PROVEEDOR adopte, de forma inmediata tras la recepción de los mismos, las medidas necesarias que eviten el envío de publicidad de JAZZTEL a aquellos de sus destinatarios que coincidan con los incluidos en el fichero de exclusión de JAZZTEL” … DECIMOPRIMERA ..
  10. ii)En caso de que el PROVEEDOR requiera la subcontratación de servicios que puedan incluir el acceso a datos personales de los que JAZZTEL sea responsable, deberá obtener autorización previa y por escrito de JAZZTEL en tal sentido. Asimismo, el PROVEEDOR queda obligada a especificar los servicios que puedan ser objeto de subcontratación y a exigir a la empresa con la que se va a subcontratar que el tratamiento de datos por parte del subcontratista se ajuste a las instrucciones de JAZZTEL. A este respecto, EL PROVEEDOR y el subcontratista formalizarán un contrato que recoja las exigencias comprendidas en el RLOPD y demás normativa de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 Lo dispuesto en el presente su apartado resultará igualmente de aplicación, en los mismos términos, a los ficheros de exclusión que JAZZTEL ponga a disposición del proveedor con la finalidad prevista en el presente contrato. SEXTO: ANTEVENIO manifestó haber suscrito con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., un acuerdo para el envío de comunicaciones comerciales de JAZZTEL, aportando copia de la factura emitida con fecha 29 de septiembre de 2015 por la campaña publicitaria de JAZZTEL. ANTEVENIO acredita que la dirección de correo electrónico A.A.A.@hotmail.com, fue facilitada por el denunciante al portal www.correodirect.com, del que es titular ANTEVENIO S.A., que permite marcar una casilla habilitada al efecto en el formulario de registro, autorizando a recibir en su buzón de e-mail ofertas, promociones, sorteos, regalos y encuestas, de los sectores que se especifican, entre los que se encuentra el de Telecomunicaciones. SEPTIMO: INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., contrató con IMPACTING, con fecha 12/03/2015 la realización de una campaña de captación de clientes para JAZZTEL, utilizando para ello la base de datos de IMPACTING en la cual se dio de alta el denunciante al registrase en la página web www.servicioempleo.com (de la cual es titular la citada entidad), con fecha 28 de enero de 2012, desde la dirección IP ***IP.2, facilitando entre otros datos (nombre y apellidos, fecha nacimiento, estudios, domicilio), la dirección de correo, A.A.A.@hotmail.com La página web www.servicioempleo.com constituye un servicio gratuito de búsqueda de empleo y recepción de ofertas laborales, y se ha acreditado que dispone de un formulario para darse de alta, que incluye el dato de la dirección de correo electrónico. Así mismo, se ha verificado que la página dispone de una leyenda informativa en el apartado “Política de Privacidad”, en la que se identifica a la empresa IMPACTING como responsable de los datos que se recaban a través del sitio web y se informa de que se realizaran comunicaciones electrónicas mediante e-mail con información y publicidad sobre los productos o servicios propios y de terceros. OCTAVO: JAZZTEL ha aportado dos ficheros de exclusión de comunicaciones comerciales que manifiesta remitió a sus distribuidores en fecha 25/04/2016 y 18/06/2015 en los cuales no se encuentra incluida la dirección de correo del denunciante A.A.A.@hotmail.com. NOVENO: JAZZTEL no acredita el envío y recepción por INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., del fichero de exclusión de envío de comunicaciones comerciales en el que debería encontrase incluido el dato personal del correo electrónico del denunciante A.A.A.@hotmail.com, tras marcar en su fichero de clientes los datos de éste como excluidos del envío de comunicaciones comerciales en fecha 28/04/2015. DECIMO: En fecha 08/02/2016 se otorgó ante notario escritura de fusión por absorción entre JAZZ TELECOM, S.A.U. (entidad absorbida) y ORANGE ESPAGNE, S.A.U. (entidad absorbente) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36 de la LOPD. II La LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  12. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  13. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. A su vez el artículo 3.
  14. c)de la LOPD define como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. El artículo 3.
  15. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
  16. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  17. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  18. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23
  19. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso, conforme a las definiciones expuestas y las normas reseñadas en los Fundamentos de Derecho siguientes, JAZZTEL interviene como responsable del fichero y del tratamiento. Así, dicha entidad es responsable del fichero de clientes en el que se encuentra registrado el dato personal del denunciante (su correo A.A.A.@hotmail.com). Igualmente, JAZZTEL resulta responsable del tratamiento dado a dicho dato personal en el marco del servicio de realización de campañas publicitarias contratado con fecha 10/07/2014 a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., entidad que subcontrató con IMPACTING y ANTEVENIO una campaña de captación de clientes para JAZZTEL, utilizando para ello las bases de datos de estos dos últimos proveedores, bases en las cuales se había dado de alta previamente el denunciante en fechas 28/01/2012 (en www.servicioempleo.com titularidad de IMPACTING), y 21/05/2015 (en la web www.correodirect.com titularidad de ANTEVENIO) facilitando la dirección de correo, A.A.A.@hotmail.com. El denunciante al aceptar la política de privacidad autorizó a ANTEVENIO para el envío a su dirección de correo electrónico de ofertas, promociones, sorteos, regalos y encuestas, de los sectores que se especifican, entre los que se encuentra el de Telecomunicaciones, y a IMPACTING para el envío a su dirección de correo electrónico de información y publicidad sobre los productos o servicios propios y de terceros. En consecuencia, aunque JAZZTEL no efectuase materialmente el tratamiento de esos datos, al encomendar a otra entidad (INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. como agente mediador) la realización de campaña de email marketing para remitir publicidad de sus productos y en la que, por cláusula contractual, los envíos debían efectuarse empleándose correos electrónicos registrados en la base de datos de ésta, resultando por el contrario que INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. subcontrató la campaña de emailing con IMPACTING y ANTEVENIO utilizando sus bases de datos propias en las cuales se encontraba el dato personal del correo electrónico del denunciante A.A.A.@hotmail.com , resulta que JAZZTEL decidió la finalidad, el contenido y uso del tratamiento de los datos de carácter personal de los contactos útiles (correos electrónicos) empleados para los envíos de las comunicaciones comerciales. Estos correos electrónicos, en tanto que constituyen información concerniente a personas físicas identificadas o identificables sin esfuerzos desproporcionados, responden a la definición de dato personal contenida en el artículo 3.
  20. a)de la LOPD, que en este supuesto está asociado a la persona del denunciante como titular de la cuenta de correo electrónico A.A.A.@hotmail.com, y quien se había opuesto ante JAZZTEL, con anterioridad a los hechos denunciados, al específico tratamiento publicitario de la mencionada cuenta de correo con fines de publicidad y prospección comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 JAZZTEL estaba obligado a hacer efectiva la negativa manifestada por su cliente al tratamiento publicitario de su cuenta de correo electrónico, lo que supone que no sólo debió de implementar las medidas necesarias para registrar y marcar todos los datos afectos a tal derecho en sus ficheros (hecho que ha quedado acreditado) sino que debió introducir las previsiones contractuales oportunas para impedir cualquier tratamiento contrario al derecho de oposición manifestado por el denunciante sobre determinados datos de su titularidad, lo cual efectuó en el contrato suscrito con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. al estipular la remisión periódica e ésta de un fichero de exclusión de comunicaciones comerciales, no obstante lo cual no se estipuló previsión alguna respecto a la subcontratación del citado servicio y la manera de hacer efectivo el citado derecho de oposición, significando que JAZZTEL atribuye el envío de los dos correos publicitarios a una anomalía en el procedimiento de exclusión de los datos personales de los usuarios “Robinson” que se encontraban en las bases de datos de IMPACTING y ANTEVENIO, ambos proveedores de JAZZTEL para la realización de campañas comerciales, y que no se realizó correctamente el filtrado de los usuarios (caso del denunciante) que habían ejercido su derecho de oposición al tratamiento con fines comerciales. En este punto debe señalarse que JAZZTEL tampoco ha acreditado la remisión a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. del fichero de exclusión de datos de usuarios que hubieran manifestado su oposición a recibir comunicaciones comerciales (usuarios “Robinson”) como estipulaba el contrato suscrito entre ambas entidades. Todo ello dota del estatus de responsable del fichero y del tratamiento a JAZZTEL, y por tanto susceptible de generar responsabilidad por infracción de la LOPD de conformidad con el artículo 43 de esa norma. III La hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (en lo sucesivo LORTAD), delimitaba su ámbito de aplicación en torno al concepto de fichero automatizado (artículo 2), que figuraba definido como “todo conjunto organizado de datos de carácter personal que sean objeto de tratamiento automatizado (...)”. Congruentemente con dicha configuración legal, la LORTAD se limitaba a definir la figura del responsable del fichero (artículo 3.
  21. b)y d)). Por el contrario, la vigente LOPD ha modificado el ámbito de aplicación objetivo de la norma circunscribiéndola a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero y diferencia las figuras del responsable del fichero y del responsable del tratamiento (artículo 3.b y d). Asimismo delimita con precisión la figura del encargado del tratamiento (artículo 12). Efectivamente, el artículo 3 de la LOPD establece lo siguiente: “
  22. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
  23. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 del tratamiento”. Esta modificación es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro derecho, conforme a la cual, en el caso de los datos personales susceptibles de tratamiento automatizado, la Ley se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros o no sean titulares de los ficheros que se usan en el tratamiento, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables (art. 12.4). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su Sentencia de 26/01/2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
  24. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  25. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  26. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Dentro de la doctrina expuesta, en el Fundamento de Derecho anterior ha quedado acreditado que el tratamiento de la cuenta de correo electrónico del denunciante tiene su origen en el contrato suscrito por JAZZTEL con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. en la que la primer encargaba a la segunda la realización de una campaña publicitaria, que fue subcontratada por esta a dos proveedores (IMPACING y ANTEVENIO) utilizando los datos existentes en las bases de datos de estos últimos, siendo por tanto JAZZTEL beneficiaria de la publicidad.. La documentación obrante en el expediente acredita la relación directa existente entre JAZZTEL y la recepción de publicidad con productos y servicios de la misma por el denunciante, de modo que este específico tratamiento de datos personales del afectado con fines publicitarios ha supuesto la conculcación del derecho de oposición ejercido por el denunciante ante JAZZTEL, y que trae razón en la falta de adopción de medidas por parte de JAZZTEL para evitar el envío de publicidad a la mencionada cuenta de correo electrónico del denunciante en el marco de la campaña publicitaria desarrollada a instancia de JAZZTEL con bases de datos de terceros, en la medida en que dicha entidad no ha acreditado la remisión a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. del fichero de exclusión de envío de comunicaciones comerciales, ni la previsión su remisión en caso de subcontratación de las campañas publicitarias con terceros proveedores. Esta cautela hubiera respondido a la obligación que recae en JAZZTEL de arbitrar medidas tendentes a hacer efectivo el derecho de oposición ejercitado por sus clientes respecto de aquellos datos personales concretos en relación con los cuales sus titulares han comunicado, como ocurrió en el caso del denunciante, su expreso deseo de que únicamente sean tratados en el marco propio del mantenimiento de la relación contractual, motivo por el que el responsable del fichero y/o tratamiento debió arbitrar los mecanismos necesarios para excluir cualquier tipo de tratamiento publicitario asociado a esos datos personales sobre los que se concreta el derecho de oposición ejercido, y que obliga, entre otras medidas, a efectuar en sus ficheros todos los registros necesarios para tener identificados la totalidad de los datos a los que afecta el derecho de oposición ejercitado a fin de cesar todos los tratamientos publicitarios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 asociados a los mismos, así como, parta el caso de efectuar tratamientos con fines publicitarios mediante la contratación de terceros utilizando sus bases de datos, o las de otras entidades subcontratadas (como en el presente caso), introducir en las cláusulas contractuales necesarias para que el derecho de oposición de los usuarios sea efectivo. En relación con este asunto conviene traer a colación artículo 48 del RDLOPD, que en lo referente a los “Ficheros de exclusión del envío de comunicaciones comerciales” dispone que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad. “ Este precepto reconoce la legitimación del tratamiento de datos personales de aquellas personas que hayan manifestado su negativa a recibir publicidad y habilita para el tratamiento de los datos de aquellas personas que no desean recibir publicidad, por ejemplo creando un fichero de exclusión o adoptando otras medidas que posibiliten identificar a dichas personas, como por ejemplo el sistema de marcas empleado por JAZZTEL y el fichero de exclusión contemplado en el contrato suscrito con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. Dicha habilitación, se justifica como medida necesaria para hacer efectiva la negativa a recibir publicidad, y ello en atención a que deben prevalecer los derechos ejercidos por los afectados. Es decir, si JAZZTEL no acredita haber remitido a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. el fichero de exclusión estos son hechos que recaen bajo la órbita de su exclusiva responsabilidad como beneficiario de la publicidad contenida en los correos electrónicos objeto de denuncia. En esta misma línea, en la Sentencia de la Audiencia Nacional, Sala de lo Contencioso, de fecha 14 de mayo de 2014, Rec- 164/2013, se señalaba que “Pues bien, parece claro que si el denunciante ejerció su derecho de oposición ante la entidad recurrente para que sus datos no fueran tratados- por lo que aquí nos interesa- con fines comerciales, solicitud que la recurrente se comprometió a atender, debió adoptar las medidas necesarias para garantizar que sus datos no van a ser tratados con fines comerciales. A tal fin dispone el artículo 48 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica de Protección que datos (RLOPD) que “ (…)”. Por tanto, no puede aceptarse lo alegado por la actora respecto a que no podría guardar información de los clientes transmitidos, pues el citado precepto la habilitaba para conservar los mínimos datos imprescindibles al objeto de evitar el envío de publicidad o, lo que es igual, el tratamiento de sus datos con fines comerciales.” De acuerdo con lo expuesto en el presente Fundamento de Derecho y el que precede, no pueden estimarse las alegaciones planteadas por JAZZTEL, que pretenden ser eximida de responsabilidad por el solo hecho de haber existido una anomalía en el proceso de filtrado de los usuarios que habían manifestado su oposición al envío de publicidad debido a que el dato del denunciante se encontraba en los ficheros de sus proveedores IMPACTING y ANTEVENIO. Por otra parte no cabe tipificar los hechos como infracción del artículo 21.1 de la LSSI como alega JAZZTEL ya que el denunciante solicitó expresamente su oposición al tratamiento de sus datos con fines publicitarios y JAZZTEL (beneficiaria de la publicidad objeto de denuncia) no adoptó todas las medidas y cautelas necesarias para hacer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 efectivo dicho derecho en la medida que encomendó campañas publicitarias a una entidad que utilizó para las mismas ficheros de terceros sobre los cuales no se adoptó medida alguna en atención a hacer efectivo el derecho de oposición, por cuanto no fue puesto a su disposición el fichero de exclusión de usuarios “Robinson” de JAZZTEL a efectos de excluir al denunciante de los envíos publicitarios objeto de denuncia. En este sentido JAZZTEL aportó impresión de correos electrónicos de fechas 29/04/2015 y 18/06/2015 que manifiesta remitió a sus distribuidores que incluían el fichero Robinson previsto en el contrato suscrito con INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. Sin embargo ha de tomarse en consideración que para acreditar su envío y recepción, tratándose de un mensaje electrónico, deberá incluir copia de documentación acreditativa de su recepción por el destinatario (acuse de recibo o lectura), las cabeceras asociadas a ese mensaje, y en su caso, copia de la respuesta facilitada por el destinatario. Ninguna de estas pruebas ha sido aportada por JAZZTEL, significándose además que en los ficheros Robinson de exclusión aportados no se encuentra incluida la dirección de correo electrónico del denunciante A.A.A.@hotmail.com lo que confirma que no se atendió su derecho de oposición al tratamiento de datos con fines comerciales. IV Dicho lo anterior, conviene señalar que el procedimiento sancionador se centra en determinar si la conducta mostrada por JAZZTEL ha supuesto una obstaculización o impedimento al ejercicio del derecho de oposición mostrado por el afectado, que se tipifica como infracción grave en el artículo 44.3.
  27. e)de la LOPD. De esta forma se entiende que teniendo JAZZTEL conocimiento de la oposición del denunciante al tratamiento publicitario de su cuenta de correo electrónico A.A.A.@hotmail.com, sin embargo, no adoptó las medidas que le resultaban exigibles para evitar que este dato del denunciante fuera tratado como contacto útiles en la campaña de email marketing contratada a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. con fecha 10/07/2014, en caso de figurar registrados en las bases de datos de terceros (IMPACTING y ANTEVENIO) usadas para los envíos con publicidad de JAZZTEL. Es decir, JAZZTEL no contempló que en esas bases de datos de terceros pudiera estar registrado el correo electrónico del denunciante ni adoptó prevención alguna para contrarrestar que, en el supuesto de que se produjera tal circunstancia, no se usaran dichos datos por el titular de la base de datos empleada en la campaña encargada, lo que dio lugar a la utilización del dato del correo electrónico del denunciante con origen en las bases de datos de IMPACTING y ANTEVENIO. El derecho fundamental a la protección de datos en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 Para estudiar el presente supuesto, y en lo que respecta al derecho de oposición, resulta de aplicación la siguiente normativa de protección de datos: El artículo 17.1 de la LOPD dispone que ”1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente. “ El artículo 30.4 de la LOPD establece en relación a los tratamientos con fines de publicidad y de prospección comercial, que: “4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” El artículo 34.
  28. b)del RDLOPD dispone que: El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
  29. b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación. El artículo 35.3 del Real Decreto 1720/2007, determina sobre el ejercicio de dicho derecho que: “3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” El artículo 48 del RDLOPD, establece en relación con los “Ficheros de exclusión del envío de comunicaciones comerciales” que : “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad. “ El artículo 51.1 del mismo Reglamento establece respecto de derecho de oposición en tratamientos para actividades de publicidad y prospección comercial que: “1. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. La oposición a la que se refiere el párrafo anterior deberá entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos.” Y finalmente el artículo 51.4 del referido Reglamento establece que: “ Si el derecho de oposición se ejercitase ante una entidad que hubiera encomendado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho del afectado en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado.” Así pues, en desarrollo del artículo 18.4 de la Constitución Española y dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 privacidad en general, la mencionada normativa establece como una garantía del derecho fundamental a la protección de datos personales el poder ostentado por el titular para negarse al uso publicitario de sus datos personales, teniendo, en consecuencia, el responsable del fichero o tratamiento la obligación de adoptar las cautelas y medidas oportunas para dar de baja de ese tipo de tratamiento los datos del afectado mientras se mantenga su negativa. Esta exclusión publicitaria afecta tanto a las campañas que desarrolla directamente como a las contratadas o encargadas a terceros, y tanto si los envíos se efectúen con datos personales obrantes en sus ficheros como si se realizan con datos anotados en bases de datos de terceros. De esta manera, no podrán utilizarse con finalidades publicitarias los datos de las personas que hayan manifestado su oposición a dicho tratamiento, siendo obligación del responsable del fichero o tratamiento que las medidas adoptadas alcancen también a los tratamientos publicitarios que contrate o encomiende a terceros y/o se realicen con bases de datos distintas de las propias. Lo contrario, de conformidad con las normas expuestas, supondría no tomar en consideración las obligaciones derivadas del ejercicio del derecho de oposición a la utilización de los datos con fines promocionales que pesan sobre el responsable del fichero o tratamiento en los supuestos en los que el tratamiento se lleve a cabo en el marco de una campaña publicitaria externalizada. V En el presente caso se constata el tratamiento publicitario de la dirección de correo electrónico del denunciante en una campaña desarrollada por encargo de JAZZTEL como entidad beneficiaria de la publicidad, a pesar de que esa empresa conocía la negativa del denunciante a ese específico tratamiento referido al uso publicitario su cuenta de correo electrónico. De la valoración conjunta de los elementos fácticos obrantes en el procedimiento, ha quedado probado, por una parte, que JAZZTEL anotó en sus sistemas el dato del correo electrónico del denunciante a los efectos de excluir del tratamiento publicitario dicha información personal, figurando en sus ficheros con marca de exclusión. Por otra parte, aunque estaba obligada a tratar dicha información personal en la forma autorizada por su titular, no se ha acreditado que JAZZTEL proporcionara a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. , entidad a la que encomendó la realización de la campaña publicitaria a través de correo electrónico ningún fichero de exclusión creado con arreglo a lo previsto en el artículo 48 del RDLOPD, y en el propio contrato suscrito con dicha entidad, con los correos electrónicos que no podían ser tratados con la finalidad señalada, entre los que hubiera debido figura el correo electrónico del denunciante. No se acredita el envío del fichero de exclusión por cuanto JAZZTEL ha aportado impresión de correo electrónicos dirigidos a distribuidores incluyendo el fichero de exclusión de comunicaciones comerciales, pero sin acreditar su envío y posterior recepción, en este caso, por INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L., al margen que en los citados ficheros de exclusión no se encuentra incluida la dirección de correo electrónico del denunciante A.A.A.@hotmail.com. En este caso, esa falta de acreditación de comunicación a la empresa a la que contrató la campaña publicitaria estudiada de los datos que debían ser excluidos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 tratamiento publicitario obstaculizó, en la práctica la negativa manifestada por el afectado a este tipo de tratamiento, puesto que impidió que, con anterioridad a la realización de los envíos publicitarios, pudiera comprobarse si los datos correspondientes a la cuenta de correo electrónico del denunciante figuraba en las bases de datos de terceros utilizadas para el desarrollo de la campaña publicitaria, dando lugar a que IMPACTING y ANTEVENIO remitiesen sendas comunicaciones comerciales a la cuenta de correo electrónico del denunciante A.A.A.@hotmail.com. Así las cosas, la inactividad mostrada por JAZZTEL para evitar el tratamiento de las cuentas de correo del afectado en la campaña de email marketing contratada a un tercero, y de la que resulta beneficiaria de la publicidad, supone obstaculizar el “poder de disposición y control” que éste ostenta sobre dichos datos. Situación producida, no obstante que JAZZTEL tenía la obligación, como entidad responsable del tratamiento, de establecer los mecanismos de exclusión que impidiesen el mencionado tratamiento en orden a garantizar el ejercicio efectivo del derecho de oposición manifestado por su cliente. Todo ello, sin perjuicio del cumplimiento del resto de obligaciones que conforme a la LOPD y LSSI deban cumplir JAZZTEL y las entidades a las que ésta encargó la realización material de la campaña, en particular las asociadas a la obtención de un consentimiento válidamente prestado por los contactos obrantes en las reseñadas bases de datos. Por ello, de conformidad con lo previsto en las normas transcritas, el correo electrónico del denunciante debió ser excluido de la acción publicitaria analizada. Téngase en cuenta que IMPACTING y ANTEVENIO usaron el dato personal de la cuenta de correo electrónico del denunciante que obraba en sus ficheros para remitir al afectado unas comunicaciones comerciales de una campaña de JAZZTEL en su condición de supuesto contacto útil interesado en la recepción de publicidad de servicios de telecomunicaciones. Este uso indebido se produjo porque ninguna de las empresas que participaron en la cadena de contratos mencionados estaba advertida de que no podía usarse la cuenta de correo del denunciante para finalidades de publicidad y prospección comercial, por cuanto JAZZTEL no acredita que hubiera enviado el fichero de exclusión, fichero que ha sido aportado y en el que por otra parte no se encuentra incluida la dirección de correo electrónico del denunciante A.A.A.@hotmail.com. VI El tratamiento objeto de imputación fue contrario a la voluntad expresamente manifestada por el afectado, bastando la simple negligencia o incumplimiento de los deberes que la Ley impone para considerar cometida la infracción imputada a título de culpa, situación que se produce en este caso en el que JAZZTEL no extremó la diligencia que le resultaba exigible para evitar que, en el marco de la campaña publicitaria de tanta cita, se tratase el correo electrónico del denunciante, tal y como éste había expresamente solicitado. Esta conducta responde a una interpretación restrictiva del poder de disposición de uso de los datos del afectado, a pesar de que en materia de derechos fundamentales debe realizarse una interpretación que redunde en beneficio de los derechos del titular del dato. No cabe duda que la desatención por JAZZTEL del derecho de oposición ejercido por el denunciante en la forma descrita en anteriores Fundamentos constituye un impedimento al ejercicio del mismo, ya que lo hace inútil o ineficaz, siendo precisamente el hecho de no adoptar las medidas precisas para que no se usara el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 correo electrónico del denunciante con fines publicitarios en la mencionada campaña de JAZZTEL, lo que configura en este supuesto la obstaculización del ejercicio del derecho de oposición que reconoce el artículo 17 de la LOPD y se completa con el resto de normativa citada en el procedimiento. En definitiva, no pude concluirse que JAZZTEL, en lo que respecta a la conducta analizada, pusiera todos los medios y cautelas a su alcance para asegurarse de que la reseñada campaña se realizase atendiendo una de las más elementales reglas de la normativa de protección de datos, que conlleva la exclusión de la acción publicitaria de aquellas personas que, como el denunciante, hubiesen manifestado su oposición al tratamiento de su email con dicha finalidad. VII El artículo 44.3.
  30. e)de la LOPD, califica como infracción grave: “El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición.” En el presente caso, se considera que JAZZTEL ha obstaculizado el ejercicio del derecho de oposición que le fue manifestado por el denunciante respecto del uso publicitario de su cuenta de correo electrónico al no haber acreditado por un lado la remisión a INVERSIONES 2012 INTELIGENCIA DE NEGOCIO S.L. del fichero de exclusión con el correo electrónico del denunciante como así se establecía en el contrasto suscrito con dicha entidad para la realización de la campaña de emailing de JAZZTEL, lo cual hizo posible que al utilizarse en su ejecución bases de datos de terceros, éstos comprobasen con anterioridad a la remisión de los envíos publicitarios si los ficheros a utilizar contenían registros de personas que se habían opuesto al uso publicitario de su correo electrónico, conforme ocurrió con la dirección de denunciante que obrante en los ficheros de IMPACTING y ANTEVENIO, éstas trataron para enviarle las comunicaciones denunciadas. Esta conducta de JAZZTEL supone la vulneración por su parte de lo previsto en el artículo 30.4 de la LOPD en relación con lo dispuesto con el artículo 17.1 de la LOPD y artículos 34.b), 48 y 51.1 y 4 del RDLOPD, que encuentra su tipificación en el mencionado artículo 44.3.
  31. e)de la LOPD. VIII El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  32. a)El carácter continuado de la infracción.
  33. b)El volumen de los tratamientos efectuados.
  34. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  35. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23
  36. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  37. f)El grado de intencionalidad.
  38. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  39. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  40. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  41. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  42. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  43. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  44. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  45. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  46. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 IX Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. En consecuencia, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  47. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” A la vista de la conducta mantenida por la aseguradora imputada, no consta que haya adoptado medida alguna para evitar el tratamiento publicitario de las dos direcciones de correo electrónico del denunciante por los motivos ya expresados en anteriores fundamentos de derecho, se entiende que los hechos objeto de estudio derivan de la falta de diligencia y de rigor mostradas en el deber de cuidado que le es exigible en su actuación en relación con el cumplimiento de la LOPD cuando, como ocurre con MM, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). En esta línea se razonaba en la Sentencia de la Audiencia Nacional de fecha 11 de enero de 2002, Rec. 432/2000, en la que se afirmaba “existe una lesión grave en la medida en que la entidad sancionada ignoró la voluntad la voluntad del afectado que manifestó su voluntad de que no se utilizasen sus datos con fines publicitarios, lo que supone una lesión del aspecto positivo del derecho reconocido en el artículo 18.4 de la Constitución. En efecto, como sostiene la STC 254/1993, el art. 18.4 CE, del que son desarrollo la LO 5/1992 y 15/1999, incorpora un instituto de garantía de otros derechos, fundamentalmente el honor y la intimidad, pero también de un instituto que es ”en si mismo, un derecho o libertad fundamental el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama “la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 informática”. Añadiendo que dicho derecho tiene un contenido negativo, de modo que el uso de la informática” encuentra un límite en el respeto al honor y la intimidad delas personas y en el pleno ejercicio de sus derechos”; pero también un contenido positivo, “en forma de derecho de control sobre los datos relativos a la propia persona. La llamada “libertad informática” es, así, también, derecho a controlar el uso de los mismo datos insertos en un programa informático (“habeas data”); doctrina reiterada en la STC 202/1999. De este modo, puede existir lesión al derecho o libertad informática cuando existe conducta que lesiona el derecho de la persona al control de los datos relativos a la personal. Por lo demás, la AEPD ha impuesto la sanción mínima. No existe por lo tanto, lesión del principio de proporcionalidad.” En el presente caso cabe aplicar lo dispuesto en el artículo 45.5 de la LOPD por cuanto la infracción cometida por JAZZTEL es anterior a su absorción por ORANGE ESPAGNE, S.A.U. (08/02/2016). Por ello, procede imponer una multa cuyo importe se encuentre entre 900 € y 40.001 € en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de grave pero sancionarse conforme al importe previsto para las infracciones leves. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, se considera que operan como agravantes de la conducta que ahora se enjuicia los siguientes criterios:
  48. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” , pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros;
  49. d)“volumen de negocio” , toda vez que se trata de una de las mayores empresas del telecomunicaciones del país;
  50. f)“el grado de intencionalidad”, entendido como grado de “culpabilidad” , y no en su sentido literal que equivaldría a dolo. Se ha razonado que la imputada ha mostrado una falta de diligencia al no adoptar las medidas necesarias a las que le obliga la LOPD para hacer efectivo el mandato según el cual los datos personales del afectado o cliente que ha manifestado su oposición a la utilización de sus datos con fines promocionales se excluyan efectivamente de todo tipo de campañas contratadas o encomendadas a terceros, tanto si se utilizan los ficheros de JAZZTEL como si se usan bases de datos de terceros;
  51. i)en cuanto a la acreditación de los procedimientos implantados para garantizar el cumplimiento de la normativa sobre protección de datos ha quedado probado que JAZZTEL no tiene implantado un procedimiento de gestión adecuado para hacer efectivo y controlar materialmente el cese del tratamiento de todos aquellos datos de los afectados respecto de los cuales éstos hayan ejercido su derecho de oposición, en el caso de campañas publicitarias encargadas a terceros, en las cuales se utilicen su bases de datos o se subcontraten con otros proveedores, lo que ha supuesto una obstaculización al denunciante del ejercicio de dicho derecho al continuar tratándose la cuenta de correo electrónico de su titularidad en una campaña publicitaria en la que JAZZTEL es beneficiaria de la publicidad y ha encomendado su realización. En consecuencia, de acuerdo con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD antes citados, y considerando que también operan como atenuantes los criterios
  52. b)y
  53. h)del artículo 45.4 al no estar acreditado que la infracción imputada haya afectado a otros destinatarios distintos del denunciante o su comisión haya causado perjuicios al afectado distintos de los propios de la comisión de la infracción imputada, se considera adecuado a la gravedad de los hechos cuya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 comisión se imputa a JAZZTEL imponer una sanción en la cuantía mínima de 20.000 € establecida en la LOPD para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ORANGE ESPAGNE, S.A.U., por una infracción del artículo 30.4 en relación con el 17.1 de la LOPD, y artículos 34.b), 48 y 51.1 y 4 del RLOPD, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.