PS-00635-2014 | Europaius

1/38 Procedimiento Nº PS/00635/2014 RESOLUCIÓN: R/00931/2015 En el procedimiento sancionador PS/00635/2014, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por DE OFICIO y en base a los siguientes, ANTECEDENTES PRIMERO: Como consecuencia de las numerosas denuncias recibidas en los últimos años en esta Agencia Española de Protección de Datos, (en adelante AEPD), por el envío de comunicaciones comerciales no solicitadas en las que los remitentes habían utilizado bases de datos con direcciones de correo electrónico adquiridas a terceros, con fecha 27 de noviembre de 2012 el Director de la AEPD ordenó la apertura de actuaciones previas de investigación en relación con la venta de bases de datos que contenían, entre otros datos, direcciones de correo electrónico, con el fin de “determinar qué información facilitan a los compradores sobre la legalidad de las bases de datos, la licitud de su utilización conforme a la LSSI y LOPD y la posible vulneración por parte de estas empresas de las citadas normas”. La venta de bases de datos realizada por Don A.A.A., en adelante MLG, fue una de las actividades investigadas en el expediente de actuaciones previas E/07314/2012, las cuales no incluyeron entre las gestiones de inspección practicadas el análisis de los datos contenidos en el fichero del que se obtenían las distintas bases de datos comercializadas por MLG. Con fecha 25 de noviembre de 2013 el Director de la AEPD expediente E/07314/2012 con el siguiente acuerdo: resolvió el “1. PROCEDER AL ARCHIVO por caducidad de las actuaciones previas de investigación del expediente número E/0734/2012. 2. INICIAR nuevas actuaciones previas de investigación que se seguirán bajo la referencia de los expedientes número E/07133/2013, E/07140/2013, E/07141/2013 y E/07142/2013.” Las actuaciones previas de investigación con nº E/07141/2013 afectaban a MLG. SEGUNDO: En cuanto a la investigación correspondiente a las actuaciones previas nº E/07314/2012 conviene realizar las siguientes puntualizaciones: MLG, en escrito registrado en esta Agencia con fecha de entrada 16/04/2013, indicó que “…mis bases de datos no se comercializan con finalidad publicitaria sino estadística, informativa, etc…”, manifestando también que el número total de registros de la base de datos era de 1.250.000. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/38 No obstante lo anterior en el sitio web web www.mibasededatos.es aparecían expresiones como las siguientes relativas a la base de datos comercializada: - “Aumenta tus VENTAS y contactos YA”, “Obtenga su Base de Datos de España y conozca a sus futuros clientes. Nuestro equipo de expertos ha seleccionado más de 1.250.000 contactos de empresas de 17 Comunidades Autónomas con actividad comercial en España para gestionar con éxito sus campañas de Marketing directo.” (el subrayado es propio) -“Estas Bases de Datos de Empresas de Construcción han nacido con el propósito de marcar una diferencia cualitativa y cuantitativa en el mundo del Marketing y de las bases de datos de empresas. Con Nuestras Bases de datos de Construcción España podrá […] Mejorar la eficacia de sus campañas al dirigirlas a los segmentos más rentables. Contactar con los principales ejecutivos que toman las decisiones en las empresas MLG remitió con fecha 22/04/2013 un correo electrónico a la Subdirección de Inspección en el que, entre otras cuestiones, manifestaba haber contratado servicios de asesoría jurídica con el fin de cumplir la normativa vigente en los ámbitos de la LOPD y LSSI. TERCERO: A la vista de la reseñada resolución de la AEPD de fecha 25 de noviembre de 2013, en fase de actuaciones previas del expediente E/07141/2013, los Servicios de Inspección de esta Agencia solicitaron información a MLG, quien en respuesta al requerimiento efectuado remitió un escrito en el que se incluía una caja que debería haber contenido un disco compacto con la base de datos. Al estar la caja vacía se reiteró el requerimiento con fecha posterior que fue contestado por MLG con el envío el 4 de noviembre de 2014 de una copia completa de la base de datos. A fecha 05/11/2014, el sitio web www.mibasededatos.es tiene al pie de la página principal un enlace con el texto “MiBaseDeDatos cumple los requisitos legales exigidos por la ley 15/1999 de Protección de Datos Personales de LOPD” que lleva a una página de “Requisitos legales” en la que en relación con el origen y finalidad de los datos comercializados se incluía la siguiente información: “Información importante antes de realizar el Pedido Todos los datos que contienen nuestras bases de datos son sacados siempre de fuentes públicas de internet (repertorios telefónicos o guías de servicios de comunicaciones electrónicas, el censo promocional, las listas de personas pertenecientes a grupos de profesionales, los diarios y boletines oficiales y los medios de comunicación social.), no conteniendo nunca salvo por error humano de algún tipo, ningún dato de carácter personal. No está permitido el uso de las bases de datos para cualquier acción que incumpla la normativa de protección de datos y/o con la LSSICC (Ley 34/2002, de 11 de julio). MiBasedeDatos no realiza ningún tipo de campaña telefónica, de emailing o postal que incumpla la LOPD o LSSICE, ni tampoco recomienda a sus clientes el incumplimiento de las mismas, por lo que en ningún caso se hará responsable del incumplimiento de la LOPD o LSSICE por parte de sus clientes…..” En cuanto a la finalidad de la base de datos, el contenido indicado en el hecho anterior sigue constando en la citada web1. 1 www.mibasededatos.es................1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/38 Durante las pruebas realizadas para determinar si los datos contenidos en la base de datos remitida por MLG pueden ser considerados como de carácter personal se constataron los siguientes hechos 1. La base de datos está compuesta por 31 ficheros en formato Microsoft Excel. Los ficheros están segmentados por comunidades autónomas, algunas de las cuales tienen sus datos divididos en varios ficheros. La base de datos facilitada contiene 1.586.701 registros, por lo que ha crecido casi un 27% desde el anterior expediente. 2. La base de datos, tal y como se constató en el anterior expediente, tiene los siguientes campos para cada registro: Razón social, dirección completa, CP, población, provincia, teléfono, fax, correo electrónico, web y sector. Del total de registros de la base de datos, únicamente 929.362 tienen en el campo de correo electrónico un valor que contenga el carácter “@”. 3. Algunas de las direcciones de correo electrónico que claramente no están vinculadas a una persona identificada o identificable son las asignadas a departamentos, áreas, oficinas o cometidos generales de las empresas o entidades como info@ejemplo.com, prensa@ejemplo.com o madrid@ejemplo.com. Las direcciones de ese tipo pueden ser filtradas en función del usuario Las direcciones de correo electrónico están compuestas por un usuario, un carácter arroba y un dominio. En el ejemplo anterior “info” sería el usuario, y ejemplo.com el dominio. Sobre la base de datos se ha aplicado un filtro que, en base a una lista de palabras clave excluye las cuentas de correo que las contengan en el usuario de la cuenta. La lista de palabras clave utilizada es la que sigue: info; contacto; admin; marketing; publi; compras; ventas; comunicación; prensa; news; dirección; secretaria; secretario; general; legal; jurídico; protección; datos; baja; contabilidad; departamento; cliente; publico; ciudadano; oficina; central; madrid; Barcelona; servicio. Además se han excluido las direcciones que comienzan por “cp.“, “ceip.” e “ies.” Correspondientes a colegios públicos e institutos de enseñanza secundaria. 4. Se ha realizado un estudio de las 539.711 direcciones restantes distintas con el fin de determinar si existen entre ellas direcciones que puedan ser vinculadas a una persona identificada o identificable. Como ejemplos de ello se han considerado las direcciones de correo que contienen en el usuario el nombre y el primer apellido o los dos apellidos. El ANEXO 1 presenta una muestra de 50 direcciones de correo con éstas características. Esta lista no pretende ser exhaustiva ya que en algunos dominios, como xunta.es, sergas.es o cfnavarra.es es frecuente el uso del nombre y los dos apellidos del usuario en la dirección de correo electrónico. 5. Con el fin de analizar si el tipo de direcciones consideradas en el punto anterior identifican o pueden identificar a sus titulares se han realizado búsquedas en Internet sobre algunas de ellas para ver si, utilizándolas como criterio de búsqueda, se pueden hallar otros datos asociados a su titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/38 5.1. ...1@... El titular de la dirección de correo electrónico es Dña. B.B.B., que según su perfil de la red social Linkedin2 trabajó hasta el año 2010 en Biolandes Andalucía SA pero que actualmente trabaja en otra empresa. 5.2. ...2@... La dirección pertenece a Dña. C.C.C., parte de cuyo perfil3 en la red social Facebook es accesible públicamente. 5.3. ...3@... La dirección pertenece a Dña. D.D.D., una agente de seguros de Allianz cuyos datos de contacto pueden encontrarse4 en Internet. 5.4. ...4@... El titular de la dirección de correo electrónico es D. E.E.E., cuyo perfil5 en Facebook es públicamente accesible. 5.5. ...5@... La dirección pertenece a D. F.F.F., funcionario de la Xunta de quien pueden hallarse en el Diario Oficial de Galicia datos 6. 5.6. ...6@... La dirección pertenece a Dña. G.G.G., directora de Expansión del grupo Corporación Inmobiliaria, a la que podemos ver en una entrevista en un video 7 disponible en YouTube. 5.7. ...7@... La dirección pertenece a D. H.H.H., profesor cuyo NIF podemos obtener de la publicación en boletín oficial de la comunidad canaria8. 5.8. ...8@... La dirección pertenece a D. I.I.I., Gerente de Transportes Intercanarios SA, cuyo perfil9 en la red social Linkedin es parcialmente accesible. CUARTO: Con fecha 18 de noviembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Don A.A.A. , ( en adelante el imputado), por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

b)de dicha norma, pudiendo 2 http://...............2 3 www................3 4 www................4 5 www................5 6 www................6 7 www................7 8 www................8 9 http://...............9 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/38 ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. En dicho acuerdo se señalaba que sin perjuicio de lo que resultase de la instrucción del procedimiento sancionador, de las actuaciones previas de inspección practicadas se desprendía que Don A.A.A. no había acreditado contar con el consentimiento previo e inequívoco de los titulares o usuarios de, al menos, las cincuenta direcciones de correo electrónico detalladas en dicho acuerdo, todas ellas asociadas a personas físicas identificadas o identificables, para su utilización con fines publicitarios en su condición de consumidores individuales . QUINTO: Notificado el citado Acuerdo de inicio, MLG presentó escrito de - alegaciones solicitando el archivo del procedimiento con motivo, en síntesis, en los siguientes argumentos: Primero: Los datos de las personas de contacto incorporados en la base de datos empresarial comercializada se encuentran fuera del ámbito de aplicación de la LOPD y el artículo 2.2 del Real Decreto 1720/2006, interpretación ajustada a la efectuada, entre otros, por la propia AEPD en el informe jurídico 2008/78, en el que se citan varias resoluciones de la propia Agencia en ese sentido, y a la SAN de 30/04/2009, Rec. 29/2009. Se afirma que “Los 50 registros extraídos de la base de datos que se relacionan en la Resolución, se corresponde con personas de contacto de cada una de las empresas o instituciones en la que prestan sus servicios, dicha circunstancia se constata con el simple hecho de que las direcciones de correo electrónico consta de un dominio perteneciente a la comercial o institucional, lo que implica su relación con la empresa o institución enla que prestan sus servicios, y no se refieren al ámbito privado o personal. Además su presencia en la base de datos es meramente incidental respecto a la finalidad perseguida con el tratamiento, que no es otra que la de ofrecer una base de datos de empresas.” Segundo: Inaplicación de la LOPD al no tratarse de un “fichero” conforme la definición del artículo 3.
b)de dicha norma y el artículo 2.
c)de la Directiva 95/46/CE. De hecho, sólo 929.362 registros de los 31 ficheros con datos de empresas tienen en el campo correo electrónico un valor que contenga @, y de éstos únicamente 50 direcciones pudieran vincularse a personas físicas. Tercero, En el presente caso resulta de aplicación el principio recogido en el párrafo segundo artículo 3.1 de la Ley 39/1992, de 26 de noviembre, de Régimen Jurídicos de las Administraciones públicas y del Procedimiento Administrativo Común, (en adelante LRJ-PAC), que proclama que las Administraciones Públicas “deberán respectar en su actuación los principios de buena fe y de confianza legítima”, toda vez que con anterioridad al inicio de la comercialización de la base de datos en su página web realizó dos consultas por correo electrónico al Canal ciudadano@agpd.es sobre la licitud de dicho uso, que fueron contestadas por la Agencia indicando que no resultaba de aplicación la LOPD al caso planteado. Por lo cual, entiende que su conducta ha respondido a la buena fe y a la confianza de actuar conforme a la legislación vigente, debiendo responder la Administración de sus propios actos o conducta anterior a los efectos de garantizar a más elemental seguridad jurídica. Cuarto: En forma subsidiaria, se solicita la aplicación del apercibimiento recogido en el artículo 45.6 de la LOPD al concurrir los requisitos necesarios para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/38 adoptar dicha medida, ya que se trata de una infracción tipificada como grave, no existe ninguna sanción previa y existe falta de intencionalidad en la conducta. SEXTO: Con fecha 17 de diciembre de 2014 se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en el que se acordó practicar las siguientes pruebas: 1. Dar por reproducidos a efectos probatorios los documentos obtenidos y generados por los Servicios de Inspección ante Don MLG y el Informe de actuaciones previas que forma parte del expediente E/07141/2013. 2. Dar por reproducido a efectos probatorios: Las alegaciones al acuerdo de inicio PS/00635/2014 presentadas por Don MLG y la documentación obtenida consistente en la impresión de la información que aparece en las distintas páginas y documentos del sitio web http://www.mibasededatos.es 3. Solicitar a Don MLG la remisión de la siguiente información y documentación: Origen de cada una de las cincuenta direcciones de correo electrónico incluidas en el Anexo 1 del Acuerdo de Inicio del PS/00635/2014, con presentación de la documentación acreditativa de los extremos informados; Acreditación de la obtención por parte de MLG del consentimiento inequívoco de los titulares de cada una de las reseñadas cuentas de correo para su inclusión en una base de datos cuya finalidad es la cesión de los mismos para su tratamiento por el cesionario con fines publicitarios; Remisión de copia íntegra de los correo electrónicos dirigidos con fechas 2 y 7 de diciembre de 2011 al canal ciudadano@agpd.es y de las contestaciones completas recibidas a los mismos que se citan en las alegaciones. Con fecha 18 de diciembre de 2014, en el marco del citado período de práctica de pruebas, se acordó solicitar al área de “Atención al Ciudadano” información de esta AEPD sobre las consultas que Don MLP alega haber efectuado con fechas 2 y 7 de diciembre de 2011 al canal ciudadano@agpd.es y las respuestas obtenidas. Dicha prueba se contestó con fecha 7 de enero de 2015 aportando la documentación recuperada al respecto. SÉPTIMO: Con fecha 9 de enero de 2015, se mantiene conversación telefónica con Don MLG a los efectos de contestar la solicitud de entrevista con la Instructora del procedimiento en ejercicio de su defensa. En el transcurso de la misma, y advertida dicha persona sobre que las manifestaciones efectuadas con relación a los hechos imputados debían realizarse por escrito a efectos de su constancia en el expediente, finalmente, ésta expresa su voluntad de anular la solicitud efectuada y de aportar documentación acreditativa de las recomendaciones efectuadas a los compradores de las bases de datos respecto del uso de la información contenida en las mismas. MLG Con fecha 12 de enero de 2015 se registra de entrada contestación de Don a las pruebas cuya práctica se le solicitó en el siguiente sentido: 1) La base de datos fue adquirida en noviembre de 2011 a la empresa INVOICE, empresa que comercializa su base de datos desde la página www.prymeddb.es. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/38 Adjunta documentación relativa a dicha compra. Indica que antes de realizar cualquier acción comercial con dicha información dirigió a la AEPD dos consultas por correo electrónico con fechas 2 y 7 de diciembre de 2011 para asegurarse de si se podía comercializar legalmente “una base de datos de 400.000 contactos de empresas, en la que se señalaba no había datos personales. La primera consulta se contestó indicando que no era de aplicación la LOPD en el caso planteado. 2) Se reitera en sus alegaciones anteriores, en cuanto a que no resulta necesario el consentimiento inequívoco de los titulares de cada una de las cuentas de correo porque la LOPD excluye de su ámbito de aplicación los datos referidos a personas jurídicas y a los ficheros de personas físicas que presten sus servicios en aquéllas. Puntualiza que el carácter de direcciones de correo profesionales se deduce del dominio de cada una de las direcciones. La base de datos responde a las finalidades para las que la usen los terceros que la adquieren. 3) Se aporta copia de los correos requeridos y se solicita confirmación de su veracidad mediante informe/certificación del Jefe de Área de Atención al Ciudadano de la AEPD. OCTAVO: Con fecha 19 de enero de 2015 se rechazó la solicitud de práctica de prueba propuesta por Don MLG en el escrito de contestación de pruebas anteriormente señalado, y registrado de entrada en esta Agencia el 12 de enero de 2015, consistente en “Requerir a los titulares de cada una de las direcciones de correo electrónico a fin de que manifiesten si en diciembre de 2011 la dirección de correo electrónico asociado a su persona era en ese momento usada para su actividad profesional o, por el contrario no estaban afectos a su trabajo, sino que eran para uso privado”, por los siguientes motivos: En primer lugar, se ha propuesto fuera del plazo de quince días hábiles siguientes a la notificación del acuerdo de inicio de procedimiento sancionador, el cual le fue notificado con fecha 20 de noviembre de 2014. En segundo lugar, su práctica se considera improcedente e innecesaria ya que su realización no afectaría a la determinación de los hechos ni a las posibles responsabilidades que se tengan en cuenta en la resolución del expediente, y ello habida cuenta que la cuestión a dilucidar no es el uso profesional o privado que los propios titulares de las cuentas de correo electrónico incluidas en el Anexo I del citado acuerdo de inicio dieran o den a dichos datos de tipo profesional, sino si la persona imputada contaba con el consentimiento previo y expreso de los mismos para incluirlos en una base de datos empresarial con fines publicitarios en su condición de consumidores individuales. En tercer lugar, justificado por esta Agencia el tratamiento de las citadas direcciones de correo electrónico en la mencionada base de datos, se indicaba que el imputado Debía estar en disposición de justificar que contaba con el consentimiento inequívoco del afectado para efectuar dicho uso. En cuarto lugar, se trata de una documentación que puede ser aportada por el propio solicitante en cualquier momento de la tramitación del procedimiento, recordándose a estos efectos lo dispuesto en el artículo 35.
e)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo, en adelante LRJ-PAC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/38 El rechazo de la solicitud de la práctica de prueba testifical se sustenta en lo dispuesto en los apartados 2 y 3 del artículo 17 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, en su relación con lo previsto en los artículos 80.3 y 137.4 de la LRJAP y el artículo 17.2 del Real Decreto 1398/1993, de 4 de agosto, que aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. NOVENO: Con fecha 27 de enero de 2015 tiene entrada en la Agencia Española de Protección de Datos un escrito de MLG indicando que había procedido a eliminar de la base de datos que comercializa las cincuenta direcciones de correo electrónico contenidas en del Acuerdo de Inicio del procedimiento sancionador, en apoyo de lo cual adjunta un disco compacto con la base de datos modificada. Con fecha 12 de marzo de 2015 se realizan por la Inspección de esta Agencia una serie de comprobaciones en la base de datos aportada , cuyo resultado se incorpora al procedimiento con fecha 23 de marzo de 2014 dando cuenta de que: 1. Se ha constatado que se han eliminado de la base de datos aportada 46 de las 50 direcciones de correo electrónico de las contenidas, a modo de muestra, en el Acuerdo de inicio del presente procedimiento sancionador. Las cuatro direcciones de correo electrónico que permanecen registradas en la base de datos son : ...9@...; ...10@... ...2@...; ...1@... 2. Se ha realizado una búsqueda no exhaustiva sobre un único fichero de los 31 que componen la base de datos, el denominado “ANDALUCIA 1.xls”, localizándose nuevas direcciones “…que contienen en el usuario el nombre y el primer apellido o los dos apellidos.” De las que, a modo de ejemplo, se presentan 30 cuentas, que son las detalladas en el Hecho Probado 7).. 3. Se ha comprobado que, en cuanto a las direcciones de correo electrónico contenidas, el fichero denominado “CASTILLA LA MANCHA.xls” remitido no ha sufrido ningún cambio con respecto al analizado durante las actuaciones previas de investigación con referencia E/07141/2013. Al realiza una búsqueda, que al igual que las anteriormente realizadas a lo largo del procedimiento no pretende ser exhaustiva, se localizan otros 20 correos electrónicos “…que contienen en el usuario el nombre y el primer apellido o los dos apellidos.”, los cuales se detallan en el Hecho Probado 7). Con fecha 23 de marzo de 2015 también se obtiene impresión de la información que figura al acceder a la muestra gratuita de dos de las bases de datos comercializadas en la página web http://www.mibasededatos.es, en concreto “Mi Base de Datos España Premium (1.250.000 Contactos) y “Mi Base de Datos Autonomías Premium (5 Autonomías Mi Base de Datos Premium Comunidades Autonómas” DÉCIMO: Con fecha 27 de marzo de 2015 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a Don A.A.A. con multa de 20.000 € (Veinte mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
b)de dicha norma. Dicha propuesta de resolución se notificó al imputado con fecha 6 de abril de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/38 UNDÉCIMO: Con fecha 27 de abril de 2015 se registra de entrada escrito en el que el imputado se reitera en los argumentos expuestos en los anteriores escritos que justificaban el archivo del procedimiento. Se defiende que la base de datos de empresas puede ser adquirida con distintas finalidades y no sólo para envíos publicitarios, como prueba que en la página de inicio no aparezca mencionada la realización de campañas de marketing directo. Se señala que la incorporación de direcciones de correo electrónico corporativo utilizados por personas físicas como contactos de las empresas no implica “per se” que dichas cuentas de correos electrónico sean una vía de comunicación con las personas físicas titulares de las mismas en su condición de consumidores finales. A los efectos de minorar la sanción se ponen de relieve las siguientes circunstancias:
a)Prueban su ausencia de intencionalidad y su intención de cumplir estrictamente la legalidad vigente tanto las consultas efectuadas a la AEPD, que crearon la confianza de que la comercialización de la base de datos no vulneraba la normativa vigente, como la decisión de cerrar definitivamente la página web y cesar en la comercialización de las bases de datos adoptada después del inicio del procedimiento administrativo sancionador que ahora comunica;
b)el beneficio económico generado por la venta de bases de datos han sido mínimo y residual respecto de su actividad económica principal de “alquiler de locales industriales”, tal y como prueban la declaración de renta del ejercicio 2013 y el Libro de IVA correspondiente a las dos actividades citadas. Una sanción tan elevada afectaría irreparablemente a la continuidad de la empresa y a los dos empleados de la misma;
c)defiende que la AEPD no ha acreditado que durante el desarrollo de la actividad de la página web se haya producido perjuicio alguno a los titulares de las cuentas de correo electrónico que figuran en la base de datos, no constando el procedimiento prueba alguna de que éstos hayan recibido algún tipo de envío publicitario Se resalta la diferencia existente entre la multa que se razona en los Fundamentos de Derecho y la que finalmente se propone en la Propuesta de Resolución, y, subsidiariamente se solicita la aplicación del apercibimiento regulado en el artículo 45.6 de la LOPD o bien una rebaja sustancial de la sanción. HECHOS PROBADOS PRIMERO: Con fecha 25 de noviembre de 2013 el Director de la Agencia Española de Protección de Datos resolvió el expediente de actuaciones previas de investigación E/07314/2012 seguido a cuatro sociedades que comercializaban bases de datos que incluían, entre otros datos, direcciones de correo electrónico, a fin de “determinar qué Información facilitan a los compradores sobre la legalidad de las bases de datos, la licitud de su utilización conforme a la LSSI y LOPD y la posible vulneración por parte de estas empresas de las citadas normas” , con el siguiente acuerdo: (folios 67 al 76) “1. PROCEDER AL ARCHIVO por caducidad de las actuaciones previas de investigación del expediente número E/07314/2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/38 2. INICIAR nuevas actuaciones previas de investigación que se seguirán bajo la referencia de los expedientes número E/07133/2013, E/07140/2013, E/07141/2013 y E/07142/2013.”, correspondiéndose el expediente de investigación de referencia E/07141 /2013 a Don A.A.A. , en adelante MLG. SEGUNDO: En el sitio web www.mibasededatos.es se comercializan diferentes bases de datos de contactos de empresas agrupadas, básicamente, por sectores de actividad empresarial o por Comunidades Autónomas. Estos productos se detallan, entre otras, bajo las denominaciones “Mi Base de Datos España Premium “ o “Mi Base de Datos Autonomías Premium” (folios 99 al 114) En el citado sitio se indica que las bases de datos comercializadas contienen: Razón Social, Dirección, Código Postal, Población, Provincia, Comunidad Autónoma, Teléfono, Fax, E-mail, Web, Actividad. TERCERO: Con fecha 12 de septiembre de 2013, durante las actuaciones previas de inspección nº E/07314/2012, se constató que al pie de la página principal del sitio web www.mibasededatos.es aparecía un enlace con el texto “MiBaseDeDatos cumple los requisitos legales exigidos por la ley 15/1999 de Protección de Datos Personales de LOPD” que llevaba a una página de “Requisitos legales, ” en uno de cuyos apartados figuraba sobre : “Información importante antes de realizar el Pedido”: Todos los datos que contienen nuestras bases de datos son sacados siempre de fuentes públicas de internet (repertorios telefónicos o guías de servicios de comunicaciones electrónicas, el censo promocional, las listas de personas pertenecientes a grupos de profesionales, los diarios y boletines oficiales y los medios de comunicación social.), no conteniendo nunca salvo por error humano de algún tipo, ningún dato de carácter personal. No está permitido el uso de las bases de datos para cualquier acción que incumpla la normativa de protección de datos y/o con la LSSICC (Ley 34/2002, de 11 de julio). MiBasedeDatos no realiza ningún tipo de campaña telefónica, de emailing o postal que incumpla la LOPD o LSSICE, ni tampoco recomienda a sus clientes el incumplimiento de las mismas, por lo que en ningún caso se hará responsable del incumplimiento de la LOPD o LSSICE por parte de sus clientes…..” CUARTO: Con fecha 4 de noviembre de 2014 Don A.A.A. aportó un disco compacto conteniendo copia completa de los correos electrónicos contenidos en la bases de datos comercializadas a través del sitio web www.mibasededatos.es. La base de datos aportada contiene un total de 1.586.701 registros, estando compuesta por 31 ficheros en formato Microsoft Excel que se segmentan por comunidades autónomas. (folios 58, 59, 60 al 66) ) Se comprueba que cada registro contiene los siguientes campos: Razón social, dirección completa, Código Postal, Población, Provincia, Teléfono, Fax, Correo electrónico, Web y Sector actividad, aunque sólo 929.362 registros disponen del dato de correo electrónico. QUINTO: Como consecuencia de los diversos filtros efectuados en la base de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/38 aportada por MLG, con fecha 5 de noviembre de 2014 se constata que la misma incluye numerosas direcciones de correo electrónico que contienen el nombre y el primer apellido o ambos apellidos de los usuarios de las mismas, extrayéndose, a modo de ejemplo de las mismas, una muestra de 50 direcciones de correo electrónico con estas características, y cuyo detalle es el siguiente: (folios 72 al 74 79 y 80) [***Correos electrónicos.1] SEXTO: Con fecha 17 de diciembre de 2014 se constata que en la página web www.mibasededatos.es aparece la siguiente información: (folios 99 al 123) - En las diferentes páginas del mencionado sitio web aparecen expresiones como las siguientes en relación con las bases de datos comercializadas: “Aumenta tus VENTAS y contactos YA”, “Compra ya tu BASE DE DATOS envíos inmediatos”. (folios 100, 101,104, 107) - Al pie de las diferentes páginas del citado sitio web aparece un enlace con el texto “MiBaseDeDatos cumple los requisitos legales exigidos por la ley 15/1999 de Protección de Datos Personales de LOPD”, que dirige a una página de “Requisitos legales” del sitio web www.mibasededatos.es, en la que se incluye la siguiente información : (folios 100, 103,106, 109110,115, 116) “Las empresas que figuran en nuestras bases de datos no son de carácter confidencial puesto que han sido captadas de fuentes accesibles al público y por lo tanto no atentan contra el honor e intimidad personal. De acuerdo con el artículo 5.5 de la LOPD en cada comunicación que se dirija al interesado se le informará de la identidad del responsable del tratamiento así como de los derechos que le asisten. Si recibe alguna comunicación por parte de alguna de las empresas de nuestras bases de datos, en la que se indique que no quieren que utilicen sus datos o quieren modificarlos, existe la obligación de que esos datos sean borrados o modificados. Tanto “Tu Base De Datos Premium España” como “Tu Base de Datos Premiumn Por Autonomías” cumplen los requisitos legales exigidos por la Ley Orgánica 15/1999 de 133 de diciembre, de Protección de Datos de Carácter Personal, así como con los requisitos técnicos dispuestos por el real decreto 1720/2007 de 21 de diciembre de desarrollo de la ley Orgánica de protección de datos” . A continuación se transcriben los artículo 1 y 2 de la LOPD y el artículo 2.2 del RDLOPD (folio 117 ) - En el epígrafe “Información importante antes de realizar el Pedido” del documento de “Aviso Legal” y “Política de Privacidad” se indica que : (folio 122) “Todos los datos que contienen nuestras bases de datos son sacados siempre de fuentes públicas de internet (Páginas Amarillas), no conteniendo nunca salvo por error humano de algún tipo, ningún dato de carácter personal. No está permitido el uso de las bases de datos para cualquier acción que incumpla la normativa de protección de datos y/o con la LSSICC (Ley 34/2002, de 11 de julio). MiBasedeDatos no realiza ningún tipo de campaña telefónica, de emailing o postal que incumpla la LOPD o LSSICE, ni tampoco recomienda a sus clientes el incumplimiento de las mismas, por lo que en ningún caso se hará responsable del incumplimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/38 LOPD o LSSICE por parte de sus clientes.” En dicho documento el NIF reseñado a los efectos de contacto, rectificación, alta o cancelación de datos coincide con el proporcionado por Don A.A.A. en diferentes escritos efectuados durante la tramitación del procedimiento. (folios 89, 118, 138) SÉPTIMO: Revisado el disco compacto aportado por MLG con fecha 27 de enero de 2015, el cual contiene copia completa de la base de datos modificada con los correos electrónicos contenidos en las bases de datos comercializadas a través del sitio web www.mibasededatos.es, se comprueba que (folios 164 al 173) ) - De las 50 direcciones de correo que se relacionan en el Hecho Probado 5) no se han eliminado las siguientes cuentas de correo electrónico: (folios 168 al 171) ...9@...; ...10@...; ...2@...; ...1@... - Realizada una nueva búsqueda en el fichero denominado “ANDALUCIA 1.xls”, se localizan, más direcciones “…que contienen en el usuario el nombre y el primer apellido o los dos apellidos.” De las que, a modo de ejemplo, se relacionan las siguientes 30 cuentas de correo electrónico: (folios 168 y 172) [***Correos electrónicos.2] -Realizada una nueva búsqueda, no exhaustiva, en el fichero denominado “CASTILLA LA MANCHA.xls”, el cual no ha sufrido ninguna modificación respecto del acceso anterior efectuado el 5 de noviembre de 2014, se localizan nuevas direcciones de correos electrónicos “…que contienen en el usuario el nombre y el primer apellido o los dos apellidos.”, las cuales se corresponden con las 20 cuentas de correo electrónico que a continuación se indican: (folios 168 y 173) [***Correos electrónicos.3] OCTAVO: Con fecha 23 de marzo de 2015 se constata que al descargar la muestra relativa a “Mi Base de Datos España Premium (1.250.0000 Contactos) de la página web www.mibasededatos.es aparece la siguiente información: (folios 176 y 177) “Mi Base de Datos de Empresas España Premium (1.250.000 contactos de empresas de 17 Comunidades Autónomas). Obtenga su Base de Datos de España y conozca a sus futuros clientes. Nuestro equipo de expertos ha seleccionado más de 1.250.000 contactos de empresas de 17 Comunidades Autónomas con actividad comercial en España para gestionar con éxito sus campañas de Marketing directo. Estas Bases de Datos de Empresas han nacido con el propósito de marcar una diferencia cualitativa y cuantitativa en el mundo del Marketing y de las bases de datos de empresas. Con Nuestras Bases de datos de España podrá Editar y clasificar en sus ficheros a las más C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/38 de 1.250.000 empresas de España que se encuentran en nuestros Archivos. Identificar nuevos clientes potenciales, clasificarlos y segmentarlos. Mejorar la eficacia de sus campañas al dirigirlas a los segmentos más rentables. Contactar con los principales ejecutivos que toman las decisiones en las empresas. Normalizar, actualizar, depurar y enriquecer la base de datos de su empresa. Todo ello con la Garantía de Calidad de Nuestra Empresa.” (El subrayado es de la AEPD) NOVENO: Con fecha 23 de marzo de 2015 se constata que al descargar la muestra relativa a “Mi Base de Datos Autonomías Premium (5 Autonomnías Mi Base de Datos Premium Comunidades Autónomas) de la página web www.mibasededatos.es aparece la siguiente información: (folios 174 y 175) “Mi Base de Datos de Empresas de España Premium (5 Comunidades Autónomas). Obtenga sus 3 Bases de Datos de Autonomías y conozca a sus futuros clientes. Nuestro equipo de expertos ha seleccionado más de 1.250.000 empresas con actividad comercial en España para gestionar con éxito sus campañas de Marketing directo. Estas Bases de Datos de Empresas han nacido con el propósito de marcar una diferencia cualitativa y cuantitativa en el mundo del Marketing y de las bases de datos de empresas. Con Nuestras Bases de datos de Autonomías podrá Editar y clasificar en sus ficheros a las más de 1.250.000 empresas con actividad comercial en España que se encuentran en nuestros Archivos. Identificar nuevos clientes potenciales, clasificarlos y segmentarlos. Mejorar la eficacia de sus campañas al dirigirlas a los segmentos más rentables. Contactar con los principales ejecutivos que toman las decisiones en las empresas. Normalizar, actualizar, depurar y enriquecer la base de datos de su empresa. Todo ello con la Garantía de Calidad de Nuestra Empresa.” (El subrayado es de la AEPD) DÉCIMO: Consta que con fecha 12 de noviembre de 2011 Don A.A.A. envió desde la cuenta ...11@... una consulta a buzón ciuddano@agpd.es del área de Atención al Ciudadano de la AEPD indicando que: (folio 21 ) “Tengo una base de datos de empresas sacada de lugares públicos de internet, ya sea páginas amarillas, qdq,… me gustaría saber si es legal comercializar este directorio, en todo caso y desde mi humilde ignorancia he sacado estas conclusiones que a continuación le comento, (…)”, para después de citar los artículos 1 y 2 de la LOPD y el artículo 2.2 del Real Decreto 1720/2007 señalar que: “Las empresas que figuran en nuestros listados no son de carácter confidencial puesto que han sido captadas de fuentes accesibles al público y por lo tanto no atentan contra el honor e intimidad personal. De acuerdo con el artículo 5.5 de la LOPD en cada comunicación que se dirija al interesado se le informará de la identidad del responsable del tratamiento así como de los derechos que le asisten. Si recibe alguna comunicación por parte de alguna de las empresas de nuestras bases de datos, en la que se indique que no quieren que utilicen sus datos o quieren modificarlos, existe la obligación de que esos datos sean borrados o modificados.” Consta que con fecha 15 de noviembre de 2011 se remitió desde la cuenta info@brigantiacentrodenegocios.com una consulta al buzón ciuddano@agpd.es del área de Atención al Ciudadano de la AEPD firmada por “***NOMBRE.1” en la que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/38 indicaba que: (folio 20) “Estimados Sres, Dispongo de una base de datos de 400.000 contactos de empresas (en ningún caso hay datos personales), sacadas principalmente de sitios públicos en internet, mayormente páginas amarillas, mi duda es si se puede comercializar Legalmente este directorio, he estado revisando la LOPD, y no he encontrado ningún punto en el que se incumpla la ley, no obstante prefiero cerciorarme directamente con ustedes. Agradecería si pudiesen resolver esta duda. Saludos cordiales y gracias, ***NOMBRE.1” Estas dos consultas constan como contestadas por dicha Área con fechas 2 y 7 de diciembre de 2011 en los siguientes términos: (folios 21, 22 y 134 ) “En relación con su escrito, se le indica que, con carácter general que, tal como usted indica, el objeto de la Protección de Datos de Carácter Personal está regulado en los artículos 1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre (LOPD) que expresamente establecen: (…) Se transcriben dichos preceptos junto con lo dispuesto en los artículos 2.2 y 2.3 del Real Decreto 1720/2007, para concluir que: “Por ello, no es de aplicación la Ley Orgánica 15/1999 al caso planteado por Vd. relativo al tratamiento de datos de una empresa o persona jurídica o autónomo o a personal de contacto de la misma, entendiendo por tal, las personas que ostentan un cargo directivo que representa a la empresa (Director General, Administrador, Gerente, etc) y siempre que el dato se utilice en su condición de tal.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/38 En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” Expuesto lo anterior, y en relación con los hechos que se imputan en el presente procedimiento, se hace necesario definir diversos conceptos que, junto con los ya transcritos, permitirán analizar si las direcciones de correo electrónico objeto de estudio constituyen, o no, datos de carácter personal conforme a la LOPD y, más adelante, si el tratamiento efectuado por MLG al registrar dicha información de naturaleza personal en una base de datos empresarial comercializada para la realización de campañas publicitarias excedería del tratamiento excluido del régimen de aplicación de la protección de datos de carácter personal contemplado en el artículo 2.2 del RDLOPD, requiriendo, por tanto, contar con el consentimiento inequívoco de los usuarios/titulares de dichas direcciones para el tratamiento de sus datos personales con finalidades comerciales y publicitarias al margen de su condición de personas físicas de contacto que prestan servicios en las empresas relacionadas en la base de datos, para lo cual se acude a las definiciones recogidas en los apartados c), y
e)del artículo 3 de dicha norma en relación con los siguientes conceptos: “
c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”, “
e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
c)del presente artículo.” III A la vista de las definiciones anteriores, y en relación con la primera cuestión planteada, se deduce que la dirección de correo electrónico, considerando que contiene información de su titular, o en la medida en que permita proceder a la identificación del mismo sin realizar esfuerzos desproporcionados para ello, ha de ser considerada como dato de carácter personal, estando su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado afectado no ha dado su consentimiento para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/38 La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, atendiendo al grado de identificación del titular de la cuenta de correo que proporcione la dirección de que se trate. Así, existirán supuestos en los que no existe duda sobre que la dirección de correo electrónico es un dato de carácter personal al contener información identificativa de su titular, como en el presente caso en el que las direcciones de correo electrónico analizadas están compuestas por los nombres y apellidos de sus titulares. También habrá otros supuestos en los que aunque la dirección de correo electrónico no parezca mostrar datos relacionados con la persona titular de la cuenta, sin embargo, en la medida en que el titular de dicha dirección de correo electrónico sea una persona física nos encontraremos ante un dato de carácter personal. Debe añadirse, evidentemente, que si junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como su nombre y apellidos, su número de teléfono, su domicilio, puesto de trabajo, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante un supuesto de tratamiento de datos de carácter personal. Ahora bien, no podrán considerarse datos de carácter personal las direcciones cuyo titular no pueda asignarse a una persona física por referirse a un colectivo, como pueden ser las formadas con expresiones como “Información”, “Atencióncliente”, etc.. Sentado lo anterior, las búsquedas realizadas en Internet durante las actuaciones previas de inspección del expediente E/07141/2013, y en las que se utilizaron como criterio de búsqueda ocho de las cincuenta direcciones de correo electrónico de las que integraban la muestra resultante de los diferentes filtros realizados en la base de datos de empresas aportada por MLG con fecha 5 de noviembre de 2014, evidencian que estamos ante datos personales concernientes a personas físicas identificadas o identificables sin esfuerzos desproporcionados, cuestión que, por otra parte, no ha sido cuestionada por el imputado en sus alegaciones. Al hilo de lo ya expuesto, conviene traer a colación la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2015, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la dirección de correo profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN de 23 de marzo 2006 (Rec. 911/2003), 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen Jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/38 SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002 )". Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. En el caso de autos, la dirección de correo electrónico que la Asociación recurrente tenía registrada en sus ficheros era YYYYYYYYY que, en contra de lo alegado por la recurrente, no es una dirección de correo electrónico de una persona jurídica, en concreto de los Laboratorios YYYYYYYYYY, sino de una persona física, el denunciante Don FL A mayor abundamiento, en el presente caso la dirección aparece conformada por el nombre de la persona física titular de la misma. Se trata de la dirección de correo de una persona física en los laboratorios donde presta sus servicios, viene referida a dicha persona física, tratándose de su dirección profesional. Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la citada Ley Orgánica 15/1999, SAN, Sec. 1ª de 3 de octubre de 2007 (Rec. 163/2006). Además, cabe señalar que el tratamiento que hizo la Asociación recurrente de la citada dirección de correo para remitir el video y comunicado en cuestión, no guarda relación con la actividad de los citados laboratorios, sino que hace referencia a una cuestión referente a un ámbito distinto, estrictamente privado o personal que trasciende el ámbito de la citada entidad y de la actividad profesional del denunciante.” Con arreglo al citado criterio de la Audiencia Nacional, no cabe duda de que, al menos, las cien direcciones de correo electrónico cuyo usuario contiene el nombre y el primer apellido o ambos apellidos del mismo, y que han sido localizadas en la base de datos de empresas comercializada por MLG a raíz de las búsquedas efectuadas con fechas 5 de noviembre de 2014 y 12 de marzo de 2015 en las copias de la misma aportadas por el responsable del sitio web www.mibasededatos.es, contienen información que identifica o permite identificar a las personas físicas titulares de las direcciones de correo electrónico profesionales de las que éstas son usuarias y titulares en el marco de su actividad profesional. Cuestión distinta, y de especial relevancia a la hora de analizar si el tratamiento efectuado por MLG con esos datos personales de contacto cae, o no, bajo la esfera de la normativa de protección de datos es la finalidad a la que responde la creación y mantenimiento del citado fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/38 Así, en el supuesto analizado, la información obtenida a través de los diferentes accesos realizados al citado sitio web con anterioridad al cierre del mismo prueba que su responsable, en este caso el imputado, promocionaba y comercializaba la información contenida en las diferentes bases de datos empresariales ofertadas indicando que posibilitaban “conocer a sus futuros clientes” y permitían “gestionar con éxito sus campañas de Marketing directo” entre los potenciales clientes constituidos por los titulares de los datos de contacto contenidos en las mismas, tal y como aparecía, por ejemplo, en el directorio de 1.250.000 contactos de Empresas de España correspondiente a “Mi Base de Datos España Premium o “5 Autonomías Mi Base de Datos Premium Comunidades Autonómas” (folios 174 al 177) . Por lo que resulta irrelevante a los efectos que nos ocupan que en la página de inicio del reseñado sitio web no se mencionase la realización de campañas de marketing directo, máxime cuando aparecían expresiones que remitían directamente a las finalidades publicitarias a las que se destinaba el fichero propiedad del imputado, tales como “Compra ya tu BASE DE DATOS envíos inmediatos” o “Aumenta tus VENTAS y contactos YA” (folio 100). En atención a la finalidad eminentemente publicitaria a la que respondía la información incorporada y mantenida por MLG en el fichero comercializado con fines de marketing directo desde su página web, cabe afirmar que cuando los correos electrónicos de contacto se referían a personas físicas identificadas o identificables, se estaba produciendo por parte del imputado un tratamiento de dicha información en su condición de consumidores individuales que estaba al margen de su posición de sujetos de contacto empresarial con las personas jurídicas a las que pudieran prestar sus servicios. Por todo lo cual, el tipo de tratamiento efectuado por MLG no precisaba para su materialización prueba alguna de que los titulares de dichas cuentas de correo electrónico profesionales hayan recibido en sus señas electrónicas envíos publicitarios remitidos por los compradores de las bases de datos en cuestión. IV En este caso, se ha alegado al acuerdo de inicio que la citada base de datos no se encuadra dentro de la definición de fichero recogida en el artículo 2.
c)de la Directiva 95/46/CE ni responde a la ofrecida en el artículo 3.
b)de la LOPD, ya que aunque puedan realizarse filtros por cada uno de los campos no hay que olvidar que se trata de una base de datos de empresas que en ningún pueden considerarse como “un conjunto de datos personales accesibles con arreglo a criterios determinados”, pues para ello debería contar con algún criterio de ordenación que permitiera el acceso a los datos. Sentado lo anterior, las búsquedas realizadas en Internet durante las actuaciones previas de inspección del expediente E/07141/2013, y en las que se utilizaron como criterio de búsqueda ocho de las cincuenta direcciones de correo electrónico de las que integraban la muestra resultante de los diferentes filtros realizados en la base de datos de empresas aportada por MLG con fecha 5 de noviembre de 2014, evidencian que estamos ante datos personales concernientes a personas físicas identificadas o identificables sin esfuerzos desproporcionados, cuestión que, por otra parte, no ha sido cuestionada por el imputado en sus alegaciones. En relación con esta cuestión resulta ilustrativa la Sentencia de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/38 Nacional de fecha 17 de marzo de 2006, Rec. nº 621/2004, que al abordar esta cuestión referida a un tratamiento de datos de carácter personal efectuado en una página de Internet señalaba lo siguiente: “CUARTO.- Resta por analizar respecto de estos primeros motivos de impugnación la consideración de fichero del sitio Web donde se publicaron los datos a los efectos del art. 3, apartado
b)de la LO 15/1999 , y si es preciso para que podamos hablar también de fichero el tratamiento automatizado de datos de dos o más personas. La Directiva 95/46/CE define el fichero en su artículo 2 como todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica. Nuestra Ley lo define en su artículo 3 como "
b)Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso." Así, todo fichero de datos exige para tener esta consideración una estructura u organización con arreglo a criterios determinados. El mero cúmulo de datos sin criterio alguno no podrá tener la consideración de fichero a los efectos de la ley. Íntimamente vinculado al concepto de fichero está el de tratamiento de datos. La Directiva nos dice sobre esta cuestión que el concepto de "tratamiento" no puede depender de la técnica utilizada para el manejo de los datos, de ahí que incluya tanto el tratamiento automatizado como el manual (considerando 27 de su Preámbulo). Así, lo relevante para que estemos ante un "tratamiento de datos personales" es la realización de determinadas actuaciones en relación con los mismos, actuaciones que en su descripción son muy amplias y variadas. Desarrollando este principio el artículo 2 de la Directiva describe las actuaciones que aplicadas a los datos personales constituyen "tratamiento": "cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción". Nuestra ley lo define de forma muy similar en el art. 3.
c)de la Ley Orgánica 15/1999: "
c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias." No basta, sin embargo, la realización de una de estas actuaciones en relación con datos personales para que la ley despliegue sus efectos protectores y sus garantías y derechos del afectado. Es preciso algo más: que las actuaciones de recogida, grabación, conservación, etc... se realicen de forma automatizada o bien, si se realizan de forma manual, que los datos personales estén contenidos o destinados a un fichero. La Directiva fija en su artículo 3 que sus disposiciones se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. La ley Orgánica 15/1999, por su parte, describe en su artículo 2 su ámbito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/38 aplicación mediante una descripción general positiva más genérica que la de la Directiva: será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Pues bien, un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web www.europeantelecomco.net contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento en el sentido antes expresado. Si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero. Finalmente, y para agotar esta materia, el propio Tribunal de Justicia de la Unión Europea, en la sentencia de 6 de noviembre de 2003 (caso Lindqvist. Asunto C-101/01) abordó la cuestión que estamos tratando, señalando lo siguiente: "El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que 6 figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/38 Directiva 95/46 . " De conformidad con dicho criterio, el supuesto ahora analizado se sujeta a las previsiones de la LOPD, puesto que existe un soporte electrónico (fichero) que exige de una organización o estructura que, con arreglo a determinados criterios, permita, en lo que aquí nos atañe, realizar distintas operaciones de tratamiento con los correos electrónicos que contienen datos de carácter personal que identifican o hacen identificable a sus usuarios o titulares de los mismos, y cuya presencia en el citado fichero o soporte físico ya se ha razonado en el Fundamento de Derecho anterior. De hecho, la reproducción automatizada del contenido de la base de datos de empresas, la modificación del contenido de la base de datos suprimiendo de la misma 46 de las cuentas de correo electrónico detalladas en el acuerdo de inicio del procedimiento y las propias búsquedas efectuadas por esta Agencia en las dos copias de la base de datos proporcionadas por el imputado constituyen, sin ningún tipo de duda, operaciones técnicas que suponen un tratamiento de los datos personales objeto de análisis con arreglo a criterios determinados. En el caso de la Agencia, el criterio de búsqueda se ha centrado en los campos de las cuentas de correo electrónico, y dentro de éstos, en aquéllos que el campo del usuario contuviese el nombre y el primero apellido o los dos apellidos. Téngase en cuenta que, con arreglo a las definiciones de fichero y de tratamiento de datos anteriormente señaladas, es preciso destacar que el registro de información en un sistema informático lleva implícita una organización, de tal forma que pueden realizarse consultas relativas a los datos incorporados en dicha base de datos con arreglo a unos criterios de búsqueda, lo que convierte a la propia base de datos en el fichero o soporte físico a través del cual se accede a la información. En este sentido observa la Sentencia de la Audiencia Nacional de 18 de diciembre de 2006 que “es claro para este Tribunal que registro en soporte físico equivale a fichero en los términos de la Ley. Basta la lectura completa de este artículo 2 y su comparación con el artículo 3 de la Directiva del que trae causa, y que sirve para interpretarlo, para llegar a esa conclusión.” Por todo lo cual, debe rechazarse que no resulte de aplicación la LOPD al no tratarse de un “Fichero” según la definición del artículo 3.
b)de dicha norma. V El artículo 43.1 de la vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, concepto que debe integrarse con la definición que de los mismos realiza el artículo 3.
d)de la LOPD al entender como “Responsable del fichero o tratamiento” a “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”, por lo que ambas figuras están sujetas al régimen sancionador de la LOPD. Por su parte, el artículo 5.1.
q)del RDLOPD considera como tal a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/38 Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” De acuerdo con los preceptos de la normativa de protección de datos transcritos, el imputado, resulta responsable del tratamiento automatizado efectuado con los datos de carácter personal incorporados y mantenidos en la base de datos que comercializa desde la página web de su propiedad, habida cuenta que ha decidido la recogida, inclusión y uso publicitario de una serie de direcciones de correo electrónico que contenían el nombre y el primero o los dos apellidos de sus respectivos usuarios o titulares, por lo que, la persona imputada ha decidido sobre la finalidad, contenido y uso del tratamiento automatizado realizado con los datos de carácter personal incluidos en el fichero maestro del que se nutren las bases de datos que comercializa. VI En el presente procedimiento sancionador se imputa a MLG una infracción a lo previsto en el artículo 6.1 de la LOPD, ya que éste no ha acreditado contar con el consentimiento previo e inequívoco de las personas físicas titulares y/o usuarios de, al menos, las cien direcciones de correo electrónico detalladas en los Hechos Probados Quinto y Séptimo de esta resolución, para la inclusión y utilización de sus datos personales con fines publicitarios en un fichero empresarial en su condición de consumidores individuales. Recuérdese que el fichero empresarial se promociona a través de la página web del imputado, hasta el cierre de la misma, para la realización de campañas de marketing. Conviene reseñar que esta conducta no se limita a las cien cuentas de correo electrónico citadas en los Hechos Probados, puesto que las búsquedas realizadas en los distintos ficheros que componen la base de datos nunca han tenido un carácter exhaustivo, tal y como demuestra que al realizar nuevas búsquedas en la copia de la base de datos aportada el 27 de enero de 2015 por el imputado para justificar la retirada de las direcciones que señaladas en el acuerdo de inicio se localizaron, en dos ficheros, uno de los cuales no había sufrido ningún cambio con respecto al analizado con fecha 5 de noviembre de 2014 nuevas direcciones de correo electrónico que contenían en el usuario el nombre y el primer apellido o los dos apellidos, de las que a modo de ejemplo sólo se transcriben las cincuenta cuentas de correo electrónico en el Hecho Probado Séptimo). De lo que se infiere que dicha conducta resulta aplicable al resto de cuentas de correo contenidas en la base de datos que tiene la misma estructura de las ahora analizadas y que no se han recogido en las diferentes búsquedas efectuadas para no hacer una lista excesivamente prolija, tales como las pertenecientes a los dominios xunta.es, sergas.es o cfnavarra.es, o las que, en su caso, pudieran haber resultado de la realización de otros filtros o criterios de búsqueda distintos a los practicados, máxime cuando las cuentas de correo detalladas, -todas ellas con datos personales que identifican o permiten la identificación sin esfuerzos desproporcionados de los usuarios y titulares de las mismas-, evidencian la existencia de un tratamiento automatizado de datos personales en los ficheros aportados por el imputado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/38 Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en genera. El artículo 6 de la LOPD, que consagra el principio del consentimiento del afectado o autodeterminación, dispone lo siguiente: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado. “ Es decir, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, excepción hecha de la existencia de legitimación legal para ello o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6, definiéndose en el apartado
h)del artículo 3 de la LOPD como “ Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/38 concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. VII El imputado defiende que el supuesto analizado no se encuentra bajo la órbita de protección de la LOPD al resultar de aplicación al tratamiento efectuado la excepción prevista en el artículo 2.2 del RDLOPD, por lo que considera que no se ha infringido la normativa de protección de datos al no ser necesario recabar para su tratamiento el consentimiento de los interesados establecido en el artículo 6.1 de la LOPD. Respecto del “Ámbito objetivo de aplicación” del RDLOPD los apartados 2 y 3 del artículo 2 de dicho Reglamente establecen lo siguiente: “2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. “ Por lo cual, la cuestión a dilucidar se centra en determinar si el tratamiento realizado por MLG con los correos electrónicos objeto de análisis ha respondido únicamente a fines de contacto empresarial, y por ello a un uso meramente accidental en relación con la verdadera finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios profesionales o, por el contrario, si el tratamiento estudiado ha obedecido a otras finalidades referidas al ámbito privado y personal de los afectados que trascendían de las actividades desarrolladas por estas personas físicas en función de la posición ocupada en las organizaciones empresariales de las que formaban parte. En el segundo caso, el tratamiento de datos personales estaría sometido a la normativa de protección de datos por exceder del ámbito empresarial en el que se enmarcan los ficheros de contactos a los que se refiere la exclusión del artículo 2.2 del RDLOPD, puesto que el dato personal de contacto deja de utilizarse como un medio para acceder a la persona jurídica en sus ámbito propio de actuación para ser una forma de contactar directamente con el sujeto titular o usuario de dichas cuentas de correo en su calidad de consumidor individual. La cuestión relativa a la aplicación de los apartados 2 y 3 del artículo 2 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/38 reglamento de desarrollo de la Ley Orgánica 15/1999 ha sido reiteradamente analizada por esta Agencia a partir del informe del Gabinete Jurídico de fecha 18 de febrero de 2008. En cuanto a la aplicación del artículo 2.2 del reglamento, el citado informe alcanza la conclusión de que su aplicación tendrá lugar siempre y cuando se cumplan dos requisitos, a los que se refiere en los siguientes términos: “ (…) En consecuencia, la Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. Por ello, no se encontrarían excluidos de la Ley los ficheros en los que, por ejemplo, se incluyera el dato del documento nacional de identidad del sujeto, al no ser el mismo necesario para el mantenimiento del contacto empresarial. Igualmente, y por razones obvias, nunca podrá considerarse que se encuentran excluidos de la Ley Orgánica los ficheros del empresario respecto de su propio personal, en que la finalidad no será el mero contacto, sino el ejercicio de las potestades de organización y dirección que a aquél atribuyen las leyes. El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones "business to business", de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, si la relación fuera "business to consumer", siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de fa comunicación, el tratamiento se encontrarla plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/38 en el artículo 2.2 del Reglamento." Igualmente, en el citado informe se señala, en relación con la aplicación del artículo 2.3, que la misma será posible si se cumplen dos requisitos: “ (…) Así, el tratamiento de los datos del empresario individual, con las limitaciones que se han venido señalando, para mantener una relación comercial con el mismo, podría encontrarse amparado por el artículo 2.3 del Reglamento, en conexión con las normas de la Ley Orgánica 15/1999 que se han venido indicando. Sin embargo, no podrá considerarse amparado por el precepto, y en consecuencia excluido de la Ley Orgánica 15/1999, el tratamiento de los datos del comerciante llevado a cabo no con la finalidad de mantener una relación empresarial con el establecimiento y organización que el mismo hubiera creado, sin para conocer la información del propio sujeto organizado en forma de empresa, siendo el destinatario del tratamiento no la empresa sino el propio empresario en tanto, por ejemplo, que consumidor individual. En consecuencia, de lo que ha venido indicándose cabrá extraer dos conclusiones determinantes del alcance de lo dispuesto en el artículo 2.3 del Reglamento: - Cabrá considerar que la legislación de protección de datos no es aplicable en los supuestos en los que los datos del comerciante sometidos a tratamiento hacen referencia únicamente al mismo en su condición de comerciante, industrial o naviero; es decir, a su actividad empresarial. - Al propio tiempo, el uso de los datos deberá quedar limitado a las actividades empresariales; es decir, el sujeto respecto del que pretende llevarse a cabo el tratamiento es la empresa constituida por el comerciante industrial o naviero y no el empresario mismo que la hubiese constituido. Si la utilización de dichos datos se produjera en relación con un ámbito distinto quedaría plenamente sometida a las disposiciones de la Ley Orgánica.” En este caso, de las actuaciones practicadas durante la instrucción del procedimiento y de la documentación obrante en el mismo, se desprende que la información de contacto obrante en la base de datos se comercializa con fines de marketing directo. De lo que se colige que la naturaleza del tratamiento publicitario y comercial realizado por MLG con los mencionados correos electrónicos de contacto no puede desligarse de la condición de consumidores individuales de sus titulares, y como tales potenciales “futuros clientes” de los compradores de las bases de datos promocionadas en su página web. Así, en la situación analizada, la inclusión de los citados correos electrónicos ha tenido como destinatario de la relación a la persona física titular del dato personal en lugar de a la persona jurídica en la que el empleado presta servicios, por lo que aunque las cuentas de correo electrónico profesionales analizadas formen parte del citado fichero de empresas no resulta de aplicación a las mismas la excepción prevista en el artículo 2.2 del RDLOPD. Dicha interpretación no se modifica por el hecho de que en las direcciones de correo electrónico figure un dominio perteneciente a la empresa o institución en la que el titular de la cuenta presta sus servicios, ya que se da la circunstancia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/38 que, en este supuesto, el responsable del tratamiento está usando datos de contacto profesionales de personas físicas con finalidades que exceden de las propias de los ficheros de contactos de empresas por los motivos señalados. Además, aunque la persona imputada considere que el tratamiento afecta a un número reducido del total de los campos que conforman la información relativa a los correos electrónicos de las empresas, dicha apreciación no altera, en forma alguna, su responsabilidad respecto del tratamiento de datos de carácter personal efectuado con los correos electrónicos profesionales de contacto objeto de análisis. Apoya dicha afirmación el hecho de que la totalidad de las bases de datos promocionadas en la página web www.mibasededatos.es se anuncian como un medio de aumentar las ventas y contactos utilizando la información para realizar envíos inmediatos, lo que incluiría tanto los datos de contacto de las propias personas jurídicas (razón social, dirección, código postal, población, provincia, comunidad autónoma, teléfono, fax, actividad), como los correos electrónicos de contacto de las personas físicas que trabajan en esas empresas. Al menos, dicha interpretación es la que se ha razonado resulta de expresiones como las citadas en el Fundamento de Derecho Tercero en relación con “1.250.000 contactos de empresas de España.” Atendida la finalidad de la base de datos comercializada, el tratamiento de los correos comerciales estudiados se residencia en los propios sujetos y no en las entidades en que éstos desarrollan su actividad o a las que representan en sus relaciones con quienes tratan los datos. Probado que la base de datos se usa para fines publicitarios, hay que precisar que la finalidad que MLG ha señalado como propia de la base de datos, y que, según indica, consiste en la comercialización de dicha información a terceros que pueden utilizarla para distintos fines, no desvirtúa el razonamiento anterior a la vista de la información aparecida en la página web de su propiedad, y, que ha supuesto un tratamiento por su parte de los datos de carácter personal de contacto analizados ajeno al descrito en el artículo 2.2 del RDLOPD. Al hilo de lo cual conviene recalcar que, a pesar de lo pretendido por la persona imputada, dicho tratamiento es completamente independiente de las acciones que puedan realizar los compradores de las bases de datos con la información contenida en las mismas, y que en caso de suponer posible incumplimiento a lo previsto en la LOPD o en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, (en adelante LSSI), darían lugar a la iniciación de las oportunas actuaciones de investigación previa por parte de esta Agencia en el marco de sus competencias. A la vista de lo cual, y con independencia de que con fecha 4 de mayo de 2015 se haya podido constatar el cierre del sitio web www.mibasededatos.es alegado por el imputado, el tratamiento efectuado hasta ese momento estaba sometido a las garantías de la normativa de protección de datos al estar vinculado al ámbito privado y personal de los sujetos afectados, requiriendo, en consecuencia, del consentimiento inequívoco de los titulares o usuarios de dichos correos electrónicos exigido en el apartado primero del artículo 6 de la LOPD, excepción hecha de que medie legitimación legal como contempla dicho apartado o se produzca alguno de los supuestos recogidos en el apartado segundo del mismo artículo 6 de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/38 VIII Fijado lo anterior resulta preciso estudiar si a dicho tratamiento le resultaría de aplicación la excepción al consentimiento recogida en el artículo 6.2 de la LOPD por proceder de fuentes accesibles al público. Téngase en cuenta que en el documento de “Requisitos Legales” del sitio web www.mibasededatos.es se señala que “Las empresas que figuran en nuestras bases de datos no son de carácter confidencial puesto que han sido captadas de fuentes accesibles al público y por lo tanto no atentan contra el honor e intimidad personal” (folio 117), indicándose en el documento “Aviso Legal-Política de Privacidad” del mismo sitio web que “Todos los datos que contienen nuestras bases de datos son sacados siempre de fuentes públicas de internet (Páginas Amarillas), no conteniendo nunca salvo por error humano de algún tipo, ningún dato de carácter personal” (folio 122) El artículo 3
j)de la LOPD entiende como “Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. “. Esta definición debe completarse con lo previsto en el artículo 7 del Reglamento, por el que se desarrolla la LOPD, según el cual: “1. A efectos del artículo 3, párrafo
j)de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
a)El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
d)Los diarios y boletines oficiales.
e)Los medios de comunicación social. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. “ En el presente caso, durante el período de práctica de pruebas se requirió al imputado tanto para que acreditase el origen de las cincuenta direcciones de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/38 electrónico reseñadas en el acuerdo de inicio del procedimiento, como para que justificase la obtención del consentimiento inequívoco de los titulares de cada una de dichas cuentas para su inclusión en la reseñada base de datos con fines de comercialización publicitaria. No obstante lo cual, éste no ha justificado mediante ningún medio de prueba que los correos electrónicos objeto de estudio procedieran, como se desprende de la información facilitada en la reseñada página web, de alguna de las fuentes que la normativa de protección de datos considera, en forma exclusiva, como accesibles al público, limitándose a poner de manifiesto que la base de datos fue adquirida en el mes de noviembre de 2011 a la empresa INVOICE y a reiterar que el tratamiento efectuado está excluido de la aplicación de la LOPD, por lo que no es necesario el consentimiento inequívoco de los titulares de dichas cuentas de correo. Esta última afirmación resulta relevante teniendo en cuenta que en su calidad de responsable del tratamiento en cuestión debe estar en condiciones de acreditar que cuenta con el consentimiento inequívoco de los afectados o que concurre alguna de las excepciones fijadas en el artículo 6.2 de la LOPD a dicho requisito. En este sentido se recuerda lo establecido en los apartados 1 y 3 del artículo 12 del RDLOPD respecto del principio general del consentimiento para el tratamiento de los datos, en los que se señala que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde al imputado demostrar que contaba con cobertura legal para realizar el repetido tratamiento. En este sentido, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” En definitiva, en atención al juego de la prueba en el procedimiento sancionador, a la parte que acusa o imputa, le compete probar el hecho constitutivo de la infracción, esto es, el tratamiento de datos de carácter personal (ya probado por la Agencia), y a la parte imputada, el hecho extintivo o impeditivo, esto es, que MLG contaba con el consentimiento inequívoco de los usuarios y titulares de dichos datos para su inclusión en dicha base de datos con fines de comercialización publicitaria o que no lo precisaba con arreglo a alguno de los supuestos de excepción del artículo 6.2 de la LOPD. Junto a lo indicado, dado que el fichero gestionado y comercializado por MLG se utiliza para elaborar bases de datos destinadas a la realización de campañas de marketing directo por sus clientes, tal y como figura en su página web, también resulta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/38 de aplicación al tratamiento de los datos de carácter personal registrados en el mencionado fichero objeto de análisis lo previsto en los artículos 30.1 de la LOPD y 45 del RDLOPD . El artículo 30.1 de la LOPD, relativo a los “ Tratamientos con fines de publicidad y de prospección comercial” establece que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.” (el subrayado es de la AEPD) Por su parte, el artículo 45 del RDLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, completa el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “(el subrayado es de la AEPD) Así, en el caso de haberse justificado por MLG que los correos electrónicos estudiados procedían de fuentes de acceso público, lo que se insiste no ha ocurrido, el tratamiento de los mismos estaría dispensado de la exigencia de contar con el consentimiento inequívoco de los afectados para su inclusión en la citada base datos empresarial con fines comerciales, conforme a lo previsto en los reseñados artículos 6.2 y 30.1 de la LOPD. Igualmente, en relación con la cuestión analizada, se observa que las páginas web de Internet no tienen la consideración de medios de comunicación social que se desprende de la relación tasada de fuentes accesibles al público que figura en el mencionado artículo 3.
j)de la LOPD. Lo que supone que tanto la recogida de los correos electrónicos que figuran en las páginas web de Internet susceptibles de ser considerados datos de carácter personal, como su posterior grabación y mantenimiento en una base de datos que se comercializa con fines de marketing directo, son tratamientos que están sometidos al principio general del consentimiento inequívoco de los afectados recogido en el artículo 6.1 de la LOPD y a la obligación de informar previamente a los afectados de los sectores específicos y concretos de actividad respecto de los que podrían recibir información y publicidad. Exigencias que afectarían a los datos de esta naturaleza que hubieran podido recabarse de las páginas web de Internet cuyos enlaces aparecen junto a la información de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/38 empresas que se publican en las “Páginas Amarillas” . En consecuencia, al no constar acreditado el consentimiento de los usuarios o titulares de las mencionadas direcciones de correo electrónico para finalidades publicitarias ajenas a las de contacto empresarial, y siendo dicho consentimiento un requisito necesario en los tratamientos con fines de publicidad y de prospección comercial, conforme se desprende de lo previsto en los artículos 6.1 y 30.1 de la LOPD, excepción hecha de que se hubiese probado que los datos procedían de fuentes accesibles al público o que hubieran sido facilitados por los propios interesados, MLG no estaba legitimado para incluirlos sin limitación alguna en bases de datos empresariales cuyo destino es el uso publicitario de la información de contacto contenida en las mismas. Dicho tratamiento tiene un alcance que excede del necesario para el mantenimiento del contacto empresarial al que se refiere el artículo 2.2 del RDLOPD, estando sometido, por lo tanto, al principio del consentimiento de la LOPD . De lo que se concluye que MLG, como responsable del tratamiento efectuado, no ha acreditado contar con el consentimiento inequívoco de las personas físicas titulares de las direcciones electrónicas detalladas en el presente procedimiento para incorporar dicha información en la base de datos empresarial de su propiedad dicha información con fines de comercialización publicitaria, requisito exigible también al resto de cuentas de correo electrónico contenidas en el fichero analizado que contengan datos de carácter personal que identifican o hacen identificables a sus titulares y usuarios. IX El artículo 44.3.
b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso se cumple el supuesto de hecho que tipifica el citado precepto, toda vez que de la valoración conjunta de los elementos fácticos obrantes en el expediente, se evidencia que el imputado no ha justificado contar con el consentimiento inequívoco de las personas físicas afectadas para que sus correos electrónicos profesiones puedan ser utilizados más allá de las relaciones “business to business” a las que se refiere la exclusión recogida en el artículo 2.2 del RDLOPD, uso que, indudablemente, no comprende la utilización de tales datos de carácter personal para finalidades de marketing publicitario asociadas a la condición de consumidores individuales de sus titulares, y, en consecuencia, afecta a la esfera particular de estas personas físicas, causa por la que MLG precisa del consentimiento inequívoco de los afectados para tratar las reseñadas cuentas de correo electrónico con la finalidad publicitaria a la que se destina la base de datos empresarial comercializada. El imputado ha alegado que resulta de aplicación lo previsto en el artículo 3.1 de la LRJ-PAC, ya que comenzó a comercializar la base de datos en su página web con posterioridad a las respuestas recibidas de la AEPD a las consultas efectuadas al Canal ciudadano@agpd.es sobre la licitud de dicho uso y en la confianza de actuar conforme a la legislación vigente. El citado artículo 3.1 de la LRJ-PAC C/ Jorge Juan, 6 28001 – Madrid establece como uno de los principios www.agpd.es sedeagpd.gob.es 32/38 generales de dicha norma que “ 1. Las Administraciones Públicas sirven con objetividad los intereses generales y actúan de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la Constitución, a la Ley y al Derecho. Igualmente, deberán respetar en su actuación los principios de buena fe y de confianza legítima.” Se trata del principio de la confianza de los ciudadanos en que la actuación de la Administración no puede ser alterada arbitrariamente y que tiene importantes consecuencias, sobre todo, en el plano de la responsabilidad: quien suscita la legítima confianza de otro en la persistencia de una determinada situación debe dejar indemne a quien actuó con arreglo a la confianza suscitada y adoptó decisiones que finalmente se han mostrado perjudiciales y son imputables a quien generó tal confianza e indirectamente incitó a la adopción de tales decisiones dañosas. En este caso, el imputado omite las siguientes cuestiones al realizar dicha manifestación, y que son: - En la consulta de 12 de noviembre de 2011 manifestaba que “Las empresas que figuran en nuestros listados no son de carácter confidencial puesto que han sido captadas de fuentes accesibles al público y por lo tanto no atentan contra el honor e intimidad personal” - En la consulta de fecha 15 de noviembre de 2011 el imputado manifestaba que en los 400.000 contactos de empresas no había datos personales. Con arreglo a dicha información el Área de Atención al Ciudadano de esta Agencia contestó con fechas 2 y 7 de diciembre de 2011 las referidas consultas indicando que “ no es de aplicación la Ley Orgánica 15/1999 al caso planteado por Vd. relativo al tratamiento de datos de una empresa o persona jurídica o autónomo o a personal de contacto de la misma, entendiendo por tal, las personas que ostentan un cargo directivo que representa a la empresa (Director General, Administrador, Gerente, etc) y siempre que el dato se utilice en su condición de tal.” (El subrayado es de la AEPD) Estas respuestas no deben desmarcarse de la información proporcionada por el imputado, quien afirmaba que se trataba de datos de empresas procedentes de fuentes accesibles al público y que los contactos no incluían datos de carácter personal, ni de que las contestaciones, en las que se citaban los artículos 2.1 de la LOPD y los apartados 2 y 3 del artículo 2 del RDLOPD , se advertía que el tratamiento de datos de personas de contacto de las mismas sólo podía efectuarse en su condición de tales. Según STS de 26 de febrero de 2001 “el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Ahora bien, ese principio no puede invocarse para crear, mantener o extender, en el ámbito del Derecho Público, situaciones contrarias al Ordenamiento jurídico o cuando el acto precedente resulta una contradicción con el fin o el interés tutelado por una norma jurídica.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/38 Atendido que ha quedado probado que el imputado fue informado del ámbito de aplicación de la normativa de protección de datos y del alcance de las excepciones al mismo a través de las respuestas recibidas, debe rechazarse que el tratamiento efectuado pueda ampararse en el principio de confianza legítima para justificar la antijuridicidad de su conducta. No ha existido ninguna actuación de la Agencia que haya podido generar expectativas al imputado sobre la licitud del uso comercial de los datos personales de contacto profesional, toda vez que dicho tratamiento no está directamente ligado a la posición profesional ocupada por los titulares de los mismos sino a su condición de potenciales consumidores individuales titulares de esas direcciones de correo electrónico. La falta de diligencia que muestra la conducta analizada resulta imputable a MLG y determina el elemento culpabilístico de la infracción administrativa imputada, en especial si se valora el prolongado plazo de tiempo desde el que viene desarrollando la actividad en cuestión. Teniendo en cuenta que el imputado ha estado comercializando bases de datos empresariales desde 2012 hasta marzo de 2015, puede afirmarse que en razón de esta actividad está habituado al tratamiento de datos de contacto de carácter personal, y que, por lo tanto, no sólo debía ser conocedor de la normativa que resultaba de aplicación a este tipo de tratamientos, sino que debía de haber tenido implantados mecanismos y medidas de prevención y control para asegurarse del origen de la información personal tratada y de la legitimidad del tratamiento efectuado con la misma Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. De conformidad con lo indicado, MLG resulta responsable, a título de culpa, de la comisión de la infracción grave descrita al incumplir en la forma descrita el principio general del consentimiento previsto en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
b)de la citada Ley Orgánica. X El apartado 6 al artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/38 Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. (el subrayado es de la AEPD) En el presente supuesto se cumplen los requisitos recogidos en los apartados
a)y
b)del citado apartado 6. No obstante, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente que el tratamiento efectuado pone de relieve una importante falta de diligencia en el cumplimiento de la normativa de protección de datos por parte de la persona imputada, por cuanto el tratamiento no consentido de los mencionados correos electrónicos profesionales obedece a una finalidad publicitaria que afecta al ámbito privado de las de las personas físicas usuarias o titulares de los mismos, precisamente en su calidad de consumidores individuales, trascendiendo por ello de su posición de sujetos de contacto dentro de los ámbitos empresariales en los que desarrollan su actividad al servicio de personas jurídicas o en su calidad de empresarios individuales. En base a lo cual, se desestima el planteamiento formulado por el imputado respecto de la procedencia de acordar tal apercibimiento, sin perjuicio de lo cual l a concurrencia significativa de los criterios establecidos en el artículo 45.5 de la LOPD que ha sido subsidiariamente invocada por MLG para fundamentar la aplicación de tal medida, en especial la falta de intencionalidad en su conducta, se valorará y considerará en el Fundamento de Derecho siguiente para el establecimiento de la sanción correspondiente en aplicación del principio de proporcionalidad. XI El artículo 45 de la LOPD, en sus aparatados 1 a 5, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
a)El carácter continuado de la infracción.
b)El volumen de los tratamientos efectuados.
c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
d)El volumen de negocio o actividad del infractor.
e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
f)El grado de intencionalidad.
g)La reincidencia por comisión de infracciones de la misma naturaleza.
h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/38 recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Antes de determinar la cuantía de la sanción a imponer, en lo que respecta a la diferencia de multas propuestas que constaba en la propuesta de resolución, del contenido del citado acto se evidencia que la cantidad de 15.000 € que se indicaba al final del Fundamento de Derecho X se debió a un error material que puede ser objeto de rectificación en cualquier momento, conforme a lo previsto en el artículo 105.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, siendo la cantidad correcta propuesta la correspondiente a la multa de 20.000 € que constaba señalada tanto en letra como en número, y en negrita, en la parte dispositiva final de la propuesta de resolución emitida, circunstancia que evidenciaba la existencia del error material anteriormente reseñado de forma clara, patente, manifiesta y ostensible. Aclarada dicha cuestión, en cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello, considerando las previstas expresamente en dicho apartado 5 y la concurrencia significativa de varias de las circunstancias recogidas en el apartado 4 anterior, así como cualquier otra “que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/38 sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. En el presente caso, se aprecia que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, al simultanearse los supuestos
a)y
b)contemplados en el citado artículo 45.5. Así, en cuanto al supuesto a), se entiende que se ha producido una cualificada disminución de la culpabilidad del imputado al confluir varios de los criterios enunciados en el artículo 45.4 de la LOPD. En forma particular, se aprecia una manifiesta ausencia de intencionalidad en la conducta del infractor, que se sustenta en dos hechos que muestran su voluntad de cumplir las exigencias contenidas en la normativa de protección de datos. Así, con anterioridad al inicio de su actividad, tuvo la cautela de dirigirse a la AEPD para interesarse sobre la adecuación del tratamiento comercial de bases de datos de contactos empresariales a la LOPD. Además, ya durante la tramitación del procedimiento, procedió a retirar de la base de datos de empresas comercializada 46 de los 50 correos electrónicos profesionales citados en el acuerdo de inicio, a modo de ejemplo, como tratados sin contar con el consentimiento inequívoco de los afectados. Aunque esta buena fe mostrada no le exime de responsabilidad en la comisión de la infracción imputada al principio del consentimiento, pues debió ser más diligente, sin embargo si la atenúa junto con estas otras circunstancias: inexistencia de perjuicios probados a los afectados diferentes del derivado de la utilización no consentida de sus correos electrónicos profesionales con fines distintos a los propios de las relaciones de contacto empresarial, es decir, a los que resultan de la propia infracción imputada, y falta de reincidencia por la comisión de infracciones de la misma naturaleza. Asimismo, en lo que respecta al supuesto b), durante la instrucción del procedimiento se ha constatado que el infractor ha subsanado la situación creada cerrando el sitio web de su titularidad, finalizando de esta forma el tratamiento inconsentido de tipo publicitario que realizaba con los correos electrónicos profesionales de los afectados en su condición de consumidores individuales y no como un medio para relacionarse con las empresas en las que éstos prestaban sus servicios . Por ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 2 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. Por otra parte, tomando en consideración tanto los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD anteriormente citados, los cuales operan como atenuantes de la culpabilidad de la imputada, como las siguientes circunstancias también recogidas en dicho precepto que, en este caso, operan como agravantes, y que se justifican en el carácter continuado de la infracción al constar en esta Agencia que comercializaba la base de datos desde el año 2012; volumen e tratamientos realizados, que, según se ha constatado, como mínimo, alcanzan a los titulares de las cien direcciones de correo electrónico que aparecen en los hechos probados; en la vinculación del imputado con actividades que comportan el tratamiento de datos personales de contacto profesional, y que le obligan en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/38 desarrollo de las mismas a un especial conocimiento y riguroso cumplimiento de la normativa de protección de datos, máxime al tener entre sus actividades habituales la comercialización de bases de datos empresariales a través de Internet para realizar campañas de publicidad, procede imponer al imputado una multa por importe de 10.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don A.A.A. , por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
b)de dicha norma, una multa de 10.000 € (Diez mil euros) de conformidad con lo establecido en los apartados 2, 4 y 5 del artículos 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del o

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.