← España

PS-00650-2016

1/23 Procedimiento Nº PS/00650/2016 RESOLUCIÓN: R/01965/2017 En el procedimiento sancionador PS/00650/2016, instruido por la Agencia Española de Protección de Datos a la entidad CROSSELING OPERADORES 3.9, S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 14 de abril de 2015 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia la recepción en su línea B.B.B. de 5 llamadas promocionales sobre productos y servicios de JAZZTEL TELECOM S.A.U, (en adelante JAZZTEL), a pesar de que su línea figura inscrita en el fichero Robinson de la Asociación Española de Economía Digital (ADIGITAL) desde fecha 2/11/2014. Por parte de la Inspección de datos de esta AEPD se llevaron a cabo actuaciones de investigación E/04769/2015 en las cuales se determinó que, entre las cinco llamadas recibidas por el denunciante objeto de denuncia, tres de ellas se realizaron desde líneas titularidad de CASTILIAN ENTERPRISE UNION S.A. (CASTILIAN), GLOBAL TELEMARKETING SOLUTIONS S.L. (GLOBAL TELEMARKETING) y ORTELEC COMUNICACIONES S.L. (ORTELEC), y dos de ellas se realizaron en fecha 07/04/2015 con origen en las líneas ***TEL.1 y ***TEL.2, identificando como titular de las mismas a GLOBAL TELEMARKETING. Las referidas actuaciones de investigación E/04769/2015 concluyeron el inicio del procedimiento sancionador PS/00122/2016, en cuya instrucción se determinó que la titular de las líneas ***TEL.1 y ***TEL.2 en la fecha (07/04/2015) en que se efectuaron las dos llamadas publicitarias era CROSSELING OPERADORES 3.9, S.L., (en adelante CROSSELING), y no GLOBAL TELEMARKETING. En fecha 05/10/2016 se resolvió el procedimiento sancionador PS/122/2016, por el cual se sancionó a las entidades JAZZTEL (ORANGE), CASTILIAN, ORTELEC y GLOBAL TELEMARKETING, acordando asimismo la apertura de actuaciones de investigación E/5326/2016 con el fin de determinar la responsabilidad de CROSSELING en los hechos denunciados (la realización de dos llamadas publicitando productos de JAZZTEL recibidas por el denunciante en fecha 07/04/2015). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de la esta AEPD se tuvo conocimiento de los siguientes extremos, conforme al informe de actuaciones de inspección E/5326/2016 que se trascribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Relación contractual entre CROSSELING, GLOBAL y JAZZTEL 1. CROSSELING y JAZZTEL firman el 01/01/2015 un anexo (folio 378 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 PS/00122/2016) a un contrato firmado el 01/03/2014. Dicho documento prevé en su punto 9 que CROSSELING implementará los medios necesarios para que “…en ningún momento, se contacte con los interesados que formen parte de la Lista Robinson facilitada por Jazztel en cada momento.” El documento describe posteriormente el procedimiento que deberá implementarse para cumplir con esa estipulación. El procedimiento establece claramente que en cuando CROSSELING vaya a utilizar bases de datos propias estas deberán cruzarse con la Lista Robinson de JAZZTEL eliminando cualquier posible coincidencia “de forma que resulte imposible contactar con un cliente potencial que resulte estar incorporado en la Lista Robinson aportada por Jazztel.” 2. En el punto 10 del anexo citado, se prohíbe expresamente la subcontratación de servicios o el acceso por parte de terceros a los datos facilitados por JAZZTEL a CROSSELING. A pesar de ello, CROSSELING firma un contrato (folio 380 del PS/00122/2016) con GLOBAL TELEMARKETING SOLUTIONS S.L., en adelante GLOBAL, de servicios de telemarketing para dar cobertura en calidad de sub-encargado del tratamiento al servicio contratado por el primero con JAZZTEL. El contrato firmado entre CROSSELING y GLOBAL prevé que ésta última trate datos personales facilitados por JAZZTEL. Tratamientos realizados 3. El 07/04/2015 la línea del denunciante recibe dos llamadas publicitarias con origen en las líneas ***TEL.1 y ***TEL.2, que en ese momento estaban asignadas a CROSSELING. CROSSELING manifiesta (folio 379 del PS/00122/2016) que las llamadas son realizadas por GLOBAL en cumplimiento del contrato firmado con ésta. 4. Tanto CROSSELING como GLOBAL reconocen que la línea del denunciante consta como excluido desde el 02/12/2014 en una base de datos facilitada por Jazztel (folios 293, 324 y 379 del PS/0122/2016). 5. GLOBAL, en su correo electrónico de 19/04/2016 (folio 324 del PS/0122/2016), manifiesta que: 5.1. Según consta en sus sistemas de información, la línea del denunciante figura recogida a través del sitio http://distribuidorjazztel............., en el que se solicitó información de los productos de Jazztel el 07/04/2015, motivo por el cual la línea no fue excluida de filtrado de números Robinson. Se aporta impresión parcial de una tabla en que, entre otros datos, consta la línea del denunciante y la fecha 07/04/2015 pero en la que no figura la dirección IP desde la que se realizó la solicitud. 5.2. No almacenan la dirección IP del solicitante porque no la necesitan. 6. El 18/11/2016 se constata que el sitio web http://distribuidorjazztel............. informa sobre los productos y servicios de JAZZTEL. La página principal de incluye un formulario a través del cual puede solicitarse información y que se compone de un campo en el que debe introducirse el número de teléfono y una casilla que puede marcarse para aceptar la política de privacidad del sitio web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 7. La política de privacidad informa de que el responsable del sitio web y del fichero en el que serán incluidos los datos recabados es GLOBAL. 8. El 18/11/2016 se comprueba mediante una llamada que la línea 999****** no está asignada a ningún usuario En esa misma fecha se realiza una prueba introduciendo la línea 999****** en el formulario del sitio web http://distribuidorjazztel............. como número que solicita información. Se comprueba que la página devuelve un mensaje informando de que se ha registrado la solicitud correctamente y que en unos minutos se recibirá una llamada de sus agentes. 9. El 21/11/2016 se realiza otra prueba en la página web introduciendo la línea C.C.C.. En esta ocasión se recibe el mismo mensaje, sin que previamente se solicite confirmación sobre el número a llamar. Un minuto más tarde se recibe una llamada promocional sobre productos y servicios de Jazztel. El Subinspector actuante explica a quién le llama que se trata únicamente de una llamada de prueba enmarcada en una investigación de esta Agencia. 10. De las pruebas realizadas se desprende que el sitio web no solicita confirmación del dato de la línea introducido, por lo que cualquier error involuntario al teclear el número dará lugar a una llamada no solicitada. Durante las pruebas no se ha podido constatar que el sistema empleado para recabar el dato de la línea disponga de algún medio por el cual se compruebe que quien proporciona el dato es el titular de la línea.” TERCERO: Con fecha 8 de marzo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CROSSELING, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en relación con lo previsto en el artículo 49 de su Reglamento de desarrollo (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica, pudiéndole corresponde una sanción de 30.000 euros, sin perjuicio de lo resultante de la instrucción. CUARTO: Notificado el acuerdo de inicio, CROSSELING alegó que las llamadas fueron realizadas por GLOBAL TELEMARKETING tras cribar el listado de usuarios de la Lista Robinson, según se recoge en el contrato suscrito entre ambas entidades. QUINTO: En fecha 12/06/2017 se emitió propuesta de resolución en el sentido de imponer a CROSSELING una multa de 30.000 € por la infracción del artículo 6.1 de la LOPD. SEXTO: Notificada la propuesta CROSSELING reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador añadiendo su disconformidad con los criterios de graduación que no se ajustan a los establecidos en el artículo 80 de la LGT. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 PRIMERO: Con fecha 14/04/2015 tiene entrada en esta Agencia un escrito del denunciante en el que manifiesta que fue cliente de JAZZTEL (ORANGE) y pesar de haberse dado de alta en el servicio de Lista Robinson y haber solicitado a JAZZTEL (ORANGE) que no le contacte con fines comerciales, continúan llamándole tanto a su línea de telefonía fija como a la móvil haciendo caso omiso a sus requerimientos. SEGUNDO: El denunciante es titular de la línea B.B.B. de la compañía VODAFONE ONO, S.A.U. (en lo sucesivo VODAFONE). TERCERO: En fecha 27/11/2014 la línea B.B.B. del denunciante figuraba inscrita en el servicio de Lista Robinson de la Asociación Española de Economía Digital (ADIGITAL). CUARTO: VODAFONE ONO informó que en la línea del denunciante recibieron las siguientes llamadas: Número origen Fecha Hora Duración ***TEL.1 07/04/2015 16:51:01 44 ***TEL.2 07/04/2015 17:22:07 57 B.B.B. se QUINTO: CROSSELING era titular de las líneas ***TEL.1 y ***TEL.2 que efectuaron las llamadas a la línea B.B.B. del denunciante referidas en el punto anterior. SEXTO: Los datos personales del denunciante (nombre y apellidos) figuran en los sistemas de JAZZTEL (ORANGE), catalogado como cliente no activo, asociados a las líneas B.B.B. y D.D.D., constando en los campos que a continuación se citan con las marcas correspondientes: “FECEMD SI – 15/12/2014 9:23:15”, “OMIC SI – 01/12/2014 10:17:50” y “LISTA_ROBINSON SI – 18/12/2014 10:46:56” SEPTIMO: CROSSELING era distribuidor de JAZZTEL en las fechas en las que se efectuaron las llamadas publicitarias referidas en el punto 5º. OCTAVO: En fecha 01/03/2014 JAZZTEL y CROSSELING (el AGENTE) suscribieron un contrato de Agencia para la distribución de productos particulares que incluye en sus estipulaciones y Anexos: “3. CONDICIONES DE COMERCIALIZACION 3.1 El AGENTE únicamente comercializará los productos en las zonas de comercialización que JAZZTEL le indique y/o respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL… 4. PROHIBICION DE SUBCONTRATACION 4.1 El AGENTE no podrá subcontratar su actividad, salvo autorización previa y expresa de JAZZTEL que deberá ser formalizada mediante la firma por las tres partes (Jazztel, Agente y Subcontratista) del correspondiente Anexo de Subcontratación. En dicho Anexo, se especificarán los servicios objeto de subcontratación, los datos del Subcontratista, así como el resto de premias recogidas en el art. 21 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal. 12. PROTECCION DE DATOS DE CARÁCTER PERSONAL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 12.1. Las Partes cumplirán en todo momento lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (la LOPD) y demás normativa de desarrollo en materia de protección de datos de carácter personal. 12.2 En particular, y, en la medida en que EL AGENTE tenga acceso a determinados datos de carácter personal de los clientes de JAZZTEL (los Datos), EL AGENTE, a los efectos de lo previsto en el artículo 12 de la LOPD, se compromete a: * Tratar los datos únicamente conforme a las instrucciones de JAZZTEL en cada momento. * ..El AGENTE será responsable del uso, en la prestación de los servicios relacionados en el presente contrato, de aquellos datos personales a los que haya tenido acceso a través de otras fuentes distintas a JAZZTEL. * El AGENTE se obliga a excluir del tratamiento los datos relativos a aquellas personas que hayan ejercido ante él o, en su caso, el Cliente Final, el derecho de cancelación, rectificación u oposición, o en su caso hayan revocado el consentimiento otorgado en su día.. * El AGENTE permitirá a JAZZTEL realizar auditorías para verificar que la parte auditada está cumpliendo sus obligaciones bajo el presente Contrato en relación con uso de los Datos de los que JAZZTEL sea responsable … * En caso de que EL AGENTE requiera la subcontratación de servicios que puedan incluir el acceso a datos personales de los que JAZZTEL sea responsable, deberá obtener autorización escrita de JAZZTEL en tal sentido. EL AGENTE queda obligado a especificar los servicios que puedan ser objeto de subcontratación y la empresa con la que se va a subcontratar, que el tratamiento de datos por parte del subcontratista se ajuste a las instrucciones de JAZZTEL. Que EL AGENTE y el subcontratista formalicen un contrato que recoja las exigencias comprendidas en el RD 1720/2007 de desarrollo de la Ley de Protección de Datos de Carácter Personal. ANEXO DE PROTOCOLOS EN MATEIA DE ACTUACION EN MATERIA DE PROTECCION DE DATOS Y LLAMADAS COMERCIALES EXPONEN I. Que JAZZTEL y EL AGENTE formalizaron con fecha 1 de Marzo de 2014 un Contrato de Agencia (en adelante el Contrato) II. Que, de conformidad con lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), las Partes regularon en dicho Contrato, el tratamiento de los datos personales facilitados por parte de Jazztel al Agente, para la prestación del servicio objeto de dicho Contrato. ESTIPULACIONES Tercera.- Obligaciones del Agente El Agente, durante, durante el tratamiento de los datos de carácter personal de los que JAZZTEL es responsable, deberá cumplir la siguientes obligaciones: 2. UTILIZACION DE BASES DE DATOS: Jazztel entregará al Agente bases de datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 que podrán utilizarse por el Agente durante el mes en el que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el Agente no podrá utilizar dichas bases de datos, salvo autorización expresa de Jazztel. 9. EXCLUSION DEL ENVIO DE COMUNICACIONES COMERCIALES Los “Ficheros de excusión del envío de comunicaciones comerciales” (en adelante “Lista Robinson”) están regulados en el artículo 48 del RLOPD que establece que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlos y adoptar las medidas necesarias que eviten el envío de publicidad”. El Agente establecerá los mecanismos necesarios para garantizar que, en ningún momento, se contacte con los interesados que formen parte de la Lista Robinson facilitada por Jazztel en cada momento. En concreto, la gestión y uso de la Lista Robinson de Jazztel se realizará del siguiente modo:
  2. a)Jazztel generará por cada campaña, si así lo considera oportuno, una versión actualizada de su Lista Robinson, en que incorporará únicamente los mínimos para identificar a los interesados y adoptar las medidas necesarias que eviten el envío de publicidad o el contacto con los mismos.
  3. b)Jazztel enviará al Agente la Lista Robinson acompañando a la base de datos de clientes potenciales o de modo independiente. En cualquier caso, el Agente no podrá contactar, de modo alguno. Con un cliente potencial que figure en la Lista Robinson previamente aportada por Jazztel.
  4. c)El Agente, una vez recibida la Lista Robinson, y en el caso de que vaya a utilizar bases de datos propias para la campaña, sólo en caso de existir previa autorización escrita de Jazztel, deberá necesaria e ineludiblemente cruzar su base de datos con la Lista Robinson aportada por Jazztel.
  5. d)En el caso de que se detectaran coincidencias entre la base de datos propia y la Lista Robinson, se deberán eliminar los registros afectados de la base de datos que el Agente vaya a utilizar en la campaña, de forma que resulte imposible contactar con un cliente potencial que resulte estar incorporado en la Lista Robinson aportada por Jazztel.
  6. e)Una vez finalizada la comparación (base de datos del PROVEEDOR – Lista Robinson de Jazztel) o en todo caso a la finalización de la campaña correspondiente, el PROVEEDOR vendrá obligado a destruir la Lista Robinson aportada por Jazztel… 10. TERCEROS: La información contenida en la base de datos será para uso exclusivo del Agente. Así pues, el Agente no está autorizado para delegar o subcontratar servicios, permitir accesos a la referida información de terceras personas o empresas o consentir cualquier otra actuación que implique el acceso a la base de datos por parte de terceros, sin la previa autorización previa y expresa de Jazztel. NOVENO: En fecha 01/01/2015 JAZZTEL y CROSSELING (el AGENTE) suscribieron un Anexo 2015 al Contrato de Agencia (Canal Telemarketing) firmado en fecha 01/03/2014 recogido en el punto anterior, que incluye en su contenido: “El Agente únicamente comercializará los productos respecto a la numeración contenida en las bases de datos que JAZZTEL le entregue, o bases de datos de numeración que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 hayan sido previamente filtradas y aprobadas por JAZZTEL. Dichas bases de datos podrán utilizarse por el AGENTE durante el mes en que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el AGENTE no podrá utilizar dichas bases de datos, salvo autorización expresa de JAZZTEL. De este modo, el Agente no podrá usar base de datos propias, salvo que, de forma previa y por escrito, JAZZTEL autorice dicho uso y realice los filtros necesarios sobre la numeración contenida en las mismas” DECIMO: Con fecha 15/01/2015, CROSSELING y GLOBAL TELEMARKETING (en dicho contrato GLOBAL o SUB-ENCARGADO DEL TRATAMIENTO), en el que, entre otro, se fijaba el siguiente contenido: “Por el presente documento CROSSELING encarga a GLOBAL la subcontratación de servicios de telemarketing/marketing telefónico para dar cobertura al servicio contratado por JAZZ TELECOM, S.A. (en adelante, el CLIENTE) con CROSSELING. Para la debida prestación de estos servicios, el SUB-ENCARGADO DEL TRATAMIENTO tiene que tener necesariamente acceso a datos de terceros facilitados por el CLIENTE. Por esto, y en cumplimiento de lo que establece el artículo 12 de la Ley Orgánica 15/199, de 13 de diciembre, de Protección de Datos de Carácter Personal, el Prestador de Servicios, en su condición de sub-encargado de tratamiento, garantiza a CROSSELING y al CLIENTE que únicamente tratará los datos a los que tenga acceso conforme a las instrucciones dadas por éstos, y que se especifican en el anexo a este contrato. En particular, el Prestador de servicios se compromete a lo siguiente: 1) Guardar la más estricta reserva y confidencialitas sobre los datos personales del sistema de información facilitado por el CLIENTE, y a los que acceda con motivo de los servicios prestados a CROSSELING. (…) 2) Utilizar los datos personales recabados para las finalidades estrictamente necesarias para la prestación del mencionado servicio, no comunicándolos, ni siquiera para su conservación, a otras personas sin la correspondiente autorización. El Prestador de Servicios no podrá subcontratar con un tercero la realización de ningún tratamiento de los datos de los ficheros facilitados por el CLIENTE sin la autorización expresa de CROSSELING para ello. “ UNDECIMO: JAZZTEL aportó copia de dos correos electrónicos de fechas 02/12/2014 y 01/12/2015 dirigidos a distribución.jazztel@............ que incluyen cada uno el fichero Robinson de JAZZTEL, comprobándose que en ambos casos la línea B.B.B. del denunciante se encuentra incluida en los ficheros. DUODECIMO: CROSSELING manifestó que en fecha 02/12/2014 JAZZTEL le comunicó que la línea B.B.B. estaba incluida en el fichero de exclusión de tratamientos publicitarios (fichero Robinson de JAZZTEL) DECIMOTERCERO: CROSSELING manifestó lo siguiente: ”Según comprobación en nuestro sistema, sólo consta contacto con dicho usuario por solicitud de información vía Internet. Dicha solicitud de información, al ser solicitada por el usuario, no es excluida por el sistema de filtro de números Robinson… En nuestros sistemas no se almacena la IP del usuario solicitante porque no la necesitamos. La página web desde la que se solicitó el registro es http://distribuidorjazztel.............” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 CROSSELING aportó impresión parcial de una tabla en la que en una de las filas figura la línea del denunciante B.B.B.. En dicha línea figuran tres valores numéricos en otras tantas columnas y una fecha y hora, el 7 de abril de 2015 a las 11:10. CROSSELING no aportó la dirección IP desde la que presuntamente el denunciante solicitó información, facilitó su número de línea B.B.B. y otorgó su consentimiento para el tratamiento de sus datos con fines de publicidad y prospección comercial (folios 293, 324, 379) DECIMOCUARTO: El sitio web http://distribuidorjazztel............. informa sobre los productos y servicios de JAZZTEL. La página principal de incluye un formulario a través del cual puede solicitarse información y que se compone de un campo en el que debe introducirse el número de teléfono y una casilla que puede marcarse para aceptar la política de privacidad del sitio web. La política de privacidad informa de que el responsable del sitio web y del fichero en el que serán incluidos los datos recabados es GLOBAL TELEMARKETING. DECIMOQUINTO: JAZZTEL (ORANGE) aportó dos bases de datos que manifiesta remitió a CROSSELING en los meses de marzo y abril de 2015 comprobándose que en ambos casos la línea B.B.B. se encuentra incluida en las mismas. DECIOSEXTO: JAZZTEL (ORANGE) aportó copia de un correo electrónico que manifiesta remitió en fecha 25/02/2015 a sus distribuidores proporcionándoles instrucciones sobre protección de datos personales entre las que se encuentran las siguientes: “BASES DE DATOS AUTORIZADAS El DISTRIBUIDOR únicamente utilizará las bases de datos que JAZZTEL le entregue. Dichas bases de datos podrán utilizarse por el DISTRIBUIDOR durante el mes en que se produzca la entrega y los 15 días posteriores a la finalización de dicho mes, salvo que Jazztel indique otro plazo distinto. Pasado dicho plazo el DISTRIBUIDOR no podrá utilizar estas bases de datos, salvo autorización expresa de JAZZTEL… FICHERO ROBINSON DE JAZZTEL JAZZTEL elaborará y remitirá periódicamente al Agente el Fichero Robinson de JAZZTEL, que incluirá los datos de los usuarios que hayan manifestado su negativa a recibir publicidad de JAZZTEL así como de aquellos que figuran en ficheros comunes de exclusión de comunicaciones comerciales y, en concreto, la lista Robinson de ADIGITAL El DISTRIBUIDOR establecerá los mecanismos necesarios para garantizar que, en ningún momento, se contacte con los usuarios en dicho fichero Robinson” DECIMOSEPTIMO: JAZZTEL aportó copia de dos correos electrónicos de fechas 6 y 7 de abril de 2015 enviados a sus distribuidores que incluyen cada uno el fichero Robinson de JAZZTEL, comprobándose que en ambos casos la línea B.B.B. del denunciante se encuentra incluida en los ficheros. En concreto el correo de fecha 07/04/2015 se envió a distribuidores de JAZZTEL entre los que figuran direcciones de correo electrónico de los dominios: teleconectingtelephone.com, sintel-sl.net, y grupotelestant.com. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento se circunscribe a determinar la existencia de consentimiento del denunciante para el tratamiento de sus datos personales con ocasión de las dos llamadas publicando productos de JAZZTEL (ORANGE) recibidas en su línea B.B.B., efectuadas en fecha 07/04/2015 (16:51:01 y 17:22:07) desde la líneas ***TEL.1 y ***TEL.1 titularidad de CROSSELING. La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  9. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
  10. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
  11. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  12. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  13. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 contratadas, dichas entidades serán las responsable del tratamiento.
  14. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso, conforme a las normas expuestas y las reseñadas en los Fundamentos de Derecho siguientes, la entidad JAZZTEL (ORANGE) interviene como responsable del tratamiento de los datos personales del denunciante realizado en el marco de las campañas encargadas por dicha entidad, pues el tratamiento acontecido se enmarca en actividades de prospección comercial cuya beneficiaria es la propia JAZZTEL (ORANGE), que además conocía el derecho de oposición ejercitado por el denunciante en relación con la utilización de sus datos con esta finalidad específica. Aunque no lo realice materialmente, con el encargo de campañas promocionales a CROSSELING, JAZZTEL (ORANGE) decide la finalidad, el contenido y uso del tratamiento, motivo por el cual dicha entidad fue sancionada por esta Agencia en el procedimiento sancionador PS/122/2016. En relación con las dos llamadas publicitarias de JAZZTEL (ORANGE) recibidas por el denunciante, en el contrato y sus anexos suscritos por JAZZTEL (ORANGE) y su distribuidor CROSSELING consta que aquella establece los parámetros de la campaña. En concreto, en los contratos se fija que se comercializarán los productos en las zonas que JAZZTEL (ORANGE) indique y/o respecto a la numeración contenida en las bases de datos que JAZZTEL (ORANGE) les entregue y/o bases de datos de numeración que hayan sido previamente filtradas y aprobadas por JAZZTEL (ORANGE). En general, el responsable del tratamiento es JAZZTEL (ORANGE), de conformidad con la definición del art. 3
  15. d)de la LOPD y 5.1.
  16. q)del RDLOPD, y su distribuidor o agente, en este caso CROSSELING, se instituye en encargado del tratamiento, de conformidad con las definiciones recogidas reseñadas. Sin embargo, en este caso, CROSSELING actúa, asimismo, como responsable del tratamiento, de conformidad con la definición del artículo 3.
  17. d)de la LOPD y 5.1.
  18. q)y 46.2.
  19. b)del RDLOPD, considerando que el contrato suscrito en fecha 01/03/2014 con JAZZTEL (ORANGE) prohíbe a dicha entidad la subcontratación de los servicios, salvo autorización previa y expresa de JAZZTEL, formalizada mediante la firma de las tres partes (JAZZTEL, CROSSELING y subcontratista) del correspondiente Anexo de Subcontratación. En este caso, no consta acreditado que JAZZTEL (ORANGE) hubiese autorizado de forma previa y expresa la subcontratación formalizada en fecha 15/01/2015 por CROSSELING con GLOBAL TELEMARKETING para que fuera ésta última la que llevara a cabo las acciones de telemarketing, ni tan siquiera que se hubiese informado a JAZZTEL (ORANGE) al respecto, por cuanto el contrato suscrito por CROSSELING con GLOBAL TELEMARKETING para la subcontratación del servicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 telemarketing de JAZZTEL (ORANGE), únicamente está firmado por CROSSELING y GLOBAL TELEMARKETING, sin que se hubiere aportado al procedimiento autorización de JAZZTEL (ORANGE) para la referida subcontratación de servicios efectuada por CROSSELING. Además, según ha quedado expuesto anteriormente, conforme a lo establecido en el citado artículo 5.1.
  20. q)del Reglamento, para que pueda considerarse a CROSSELING como responsable del tratamiento no es necesario que esta entidad haya realizado materialmente el tratamiento de que se trate. El artículo 21.1 del citado Reglamento recoge la prohibición de subcontratar los servicios: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento”. En este sentido, el artículo 20 Relaciones entre el responsable y el encargado del tratamiento del mismo Reglamento, en su apartado 3, párrafo primero, establece lo siguiente: “3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. Por otra parte, en el contrato suscrito en fecha 15/01/2015 por CROSSELING con GLOBAL TELEMARKETING se estipula que esta última llevará a cabo la prestación de servicios según las instrucciones de CROSSELING y JAZZTEL (ORANGE), según Anexo al contrato que no ha sido aportado al procedimiento. En consecuencia, CROSSELING es responsable del tratamiento de los datos personales del denunciante realizado en el marco de la campaña publicitaria de JAZZTEL (ORANGE), concretado en las dos llamadas efectuadas en fecha 07/04/2015 al denunciante por GLOBAL TELEMARKETING (entidad subcontratada por CROSSELING, titular de las líneas desde las que se efectuaron las citadas llamadas). En este sentido CROSSELING confirmó haber recibido de JAZZTEL (ORANGE) en fecha 02/12/2014 el fichero Robinson de exclusión de tratamiento con fines publicitarios en el cual se encontraba incluida la línea del denunciante B.B.B., manifestando que las llamadas efectuadas a la línea del denunciante se efectuaron porque en fecha 07/04/2015 éste, a través de la página web http://distribuidorjazztel.............”, solicitó información y facilitó su número de línea B.B.B., otorgando su consentimiento para el tratamiento de sus datos con fines de publicidad y prospección comercial. Tal manifestación de CROSSELING no viene avalada por prueba alguna que acredite tal extremo por cuanto CROSSELING no aportó la dirección IP desde la que presuntamente el denunciante facilitó su número de teléfono. Por tanto, de acuerdo con el artículo 43 de la LOPD, CROSSELING ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 III La hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (en lo sucesivo LORTAD), delimitaba su ámbito de aplicación en torno al concepto de fichero automatizado (artículo 2), que figuraba definido como “todo conjunto organizado de datos de carácter personal que sean objeto de tratamiento automatizado (...)”. Congruentemente con dicha configuración legal, la LORTAD se limitaba a definir la figura del responsable del fichero (artículo 3.
  21. b)y d)). Por el contrario, la vigente LOPD ha modificado el ámbito de aplicación objetivo de la norma circunscribiéndola a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)” (artículo 2). De acuerdo con esta delimitación, la LOPD modifica la definición del fichero y diferencia las figuras del responsable del fichero y del responsable del tratamiento (artículo 3.b y d). Asimismo delimita con precisión la figura del encargado del tratamiento (artículo 12). Efectivamente, el artículo 3 de la LOPD establece lo siguiente: “
  22. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. “
  23. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Esta modificación es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro derecho, conforme a la cual, en el caso de los datos personales susceptibles de tratamiento automatizado, la Ley se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Conforme se ha señalado, cabe que el sistema de protección de la LOPD se exija a los responsables del tratamiento, aunque carezcan de ficheros, e incluso, a los meros encargados de aquél, a los que la LOPD también puede convertir en responsables (art. 12.4). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. El Tribunal Supremo, en su Sentencia de 26/01/2005, dictada en casación para unificación de doctrina, confirma la doctrina anteriormente expuesta al señalar que “junto al responsable del fichero –que era en la Ley 5/1992- quien estaba sujeto al régimen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 sancionador establecido en dicha ley (art. 42) en la nueva Ley 15/1999 aparece un nuevo personaje, el responsable del tratamiento, como posible sujeto pasivo de la potestad sancionadora de la que hoy se llama –a partir de la Ley 62/2003, de 30 de diciembre- Agencia Española de Protección de Datos (artículo 43), Véase lo que dicen uno y otro precepto: Ley 5/1992 <<Art. 42. Responsables: 1. Los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley>>. Ley 15/1999 << Art. 43. Responsables: 1- Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley>>. Y esto es así porque la nueva Ley Orgánica –a diferencia de la vieja Ley Orgánica, que atribuía la potestad de decidir sobre la finalidad, contenido y uso del tratamiento únicamente al responsable del fichero- reconoce que esa decisión pueda tomarla –y así ocurre muchas veces- el responsable del tratamiento. He aquí el nuevo texto: Ley 15/1999. <<Artículo 3. A los efectos de la presente Ley se entenderá por: [...]
  24. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento>>. No se trata como se ve de un mero cambio de redacción, de un simple giro gramatical, o una innovación puramente estilística. Es algo más profundo: estamos ante un cambio esencial en el modo de afrontar la regulación de las relaciones que se entablan entre quienes manejan los datos y el titular de los mismos”. En este mismo sentido se pronuncia la Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, al señalar que <<El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a éstos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  25. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992, y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  26. d)y g), respectivamente, de la Ley Orgánica 15/1999>>. Dentro de la doctrina expuesta, en el presente caso, ha quedado acreditado que el tratamiento de los datos del denunciante para la realización de dos llamadas promocionales se realizó por GLOBAL TELEMARKETING, entidad subcontratada por CROSSELING, que a su vez recibió el encargo de JAZZTEL (ORANGE). CROSSELING GLOBAL TELEMARKETING y JAZZTEL (JAZZTEL) se consideran responsables de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 este específico tratamiento de datos personales del denunciante, no sin recordar que GLOBAL TELEMARKETING y JAZZTEL (JAZZTEL) ya fueron sancionadas por estos hechos en el procedimiento sancionador PS/122/2016, circunscribiéndose el presente procedimiento a determinar la responsabilidad de CROSSELING en los mismos. IV Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento del titular de los mismos, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Por otra parte, señala el artículo 6.3 de la LOPD dispone que: El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. Y el artículo 16.1 y 3 de la LOPD que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. (…) 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión…”. Por su parte, el artículo 17, en sus aparados 1, 2 y 3, del RDLOPD establece lo siguiente: “1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. 2. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre. 3. Cuando el interesado hubiera solicitado del responsable del tratamiento la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 confirmación del cese en el tratamiento de sus datos, éste deberá responder expresamente a la solicitud”. Asimismo, el art. 30 de la LOPD regula “Tratamientos con fines de publicidad y de prospección comercial”: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. A este respecto, hay que considerar igualmente lo establecido en el CAPÍTULO II “Tratamientos para actividades de publicidad y prospección comercial” (artículos 45 y siguientes) del citado Real Decreto 1720/2007, que aprueba el Reglamento de desarrollo de la LOPD: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  27. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  28. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado”. “Artículo 48. Ficheros de exclusión del envío de comunicaciones comerciales. Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad”. “Artículo 49. Ficheros comunes de exclusión del envío de comunicaciones comerciales”. “2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial”. “4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”. “Artículo 50. Derechos de acceso, rectificación y cancelación”. “2. Si el derecho se ejercitase ante una entidad que hubiera encargado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo otorgue al afectado su derecho en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado. Lo dispuesto en el párrafo anterior se entenderá sin perjuicio del deber impuesto a la entidad mencionada en el apartado anterior, en todo caso, por el párrafo segundo del artículo 5.5 de la Ley Orgánica 15/1999, de 13 de diciembre”. “Artículo 51. Derecho de oposición. 1. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. La oposición a la que se refiere el párrafo anterior deberá entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos. 2. A tal efecto, deberá concederse al interesado un medio sencillo y gratuito para oponerse al tratamiento. En particular, se considerará cumplido lo dispuesto en este precepto cuando los derechos puedan ejercitarse mediante la llamada a un número telefónico gratuito o la remisión de un correo electrónico”. El tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el artículo 30 de la LOPD, el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público. Además, las normas expuestas obligan a tomar en consideración las solicitudes de cancelación de datos personales o de ejercicio del derecho de oposición a la utilización de sus datos con fines promocionales que puedan formular los afectados. Las actuaciones de investigación llevadas a cabo por los servicios de inspección de este organismo y las verificadas en la instrucción del procedimiento han constatado la realización de dos llamadas a la línea del denunciante con fines comerciales para la promoción de los productos y servicios de JAZZTEL (ORANGE) llevadas a cabo por GLOBAL TELEMARKETING (por encargo de CROSSELING). Por tanto, en el supuesto examinado, los datos personales del denunciante fueron utilizados con fines publicitarios por CROSSELING sin contar con su consentimiento, considerando el derecho de oposición ejercitado por el mismo. Y tampoco concurre ninguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización del dato personal del denunciante relativo al número de línea de telefonía para la realización de llamadas promocionales con posterioridad a la oposición ejercitada. Según consta en los hechos probados, el denunciante solicitó ante la propia JAZZTEL la cancelación de sus datos personales y manifestó su oposición a recibir llamadas publicitarias, y que esta solicitud fue aceptada por dicha entidad en fecha 01/12/2014). Así las cosas, el titular de los datos observa cómo éstos son tratados en contra de su expreso deseo, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 consentimiento al tratamiento de datos personales, por cuanto sus datos personales continuaron tratándose en contra de su expresa voluntad. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas los datos personales del denunciante debieron ser excluidos de la acción publicitaria realizada por CROSSELING (dos llamadas efectuadas por GLOBAL TELEMARKETING). Resulta evidente la falta de diligencia en esta forma de actuar, que no conllevó la consecuente exclusión de los datos personales del denunciante para evitar que puedan ser utilizados en contra de la voluntad expresa del mismo, y que no motivó que en los encargos de las campañas promocionales se adopten todas las cautelas precisas para que queden excluidos de las mismas las personas que se han opuesto a ello ante la propia JAZZTEL (ORANGE) V En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. En este caso, JAZZTEL (ORANGE) es responsable del tratamiento en la campaña publicitaria en las que se trataron los datos del denunciante, ya que decidió realizar la campaña (finalidad) y delimitó el colectivo de personas a las que debían realizarse las llamadas, es decir decidió sobre el contenido y uso del tratamiento, motivo por el cual reiteramos ya fue sancionado en el PS/122/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 La inobservancia de los mandatos establecidos en el contrato por parte del encargado del tratamiento, en este caso CROSSELING, hace que ésta última será considerada responsable del tratamiento, por cuanto ha quedado acreditado que, contraviniendo lo estipulado en el contrato suscrito con JAZZTEL (ORANGE), subcontrató con GLOBAL TELEMARKETING, la realización de las llamadas publicitarias. En definitiva, en el presente caso, los datos personales del denunciante fueron tratados por cuenta de CROSSELING en las llamadas recibidas por aquél en fecha 07/04/2015, a pesar de haber ejercido el derecho de oposición al tratamiento de sus datos con fines promocionales y de figurar en el propio sistema de información de la operadora, en el registro correspondiente, con fecha de baja en el fichero el 01/12/2015. A mayor abundamiento debe recordarse que, desde fecha 27/11/2014, línea B.B.B. del denunciante figuraba inscrita en la Lista Robinson de ADIGITAL (fichero común de exclusión de comunicaciones comerciales) Consta acreditado que CROSSELING utilizó los datos personales del denunciante para la realización de dos llamadas publicitarias (efectuadas por GLOBAL TELEMARKETING), a pesar de que éste constaba en los ficheros de JAZZTEL (ORANGE) para que fuera excluido de las campañas promocionales, y también en el fichero común de exclusión de comunicaciones comerciales (Lista Robinson de ADIGITAL). VI El art. 44.3.
  29. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de CROSSELING y la exigibilidad del consentimiento viene dada en las normas citadas, no siendo aplicables las excepciones previstas. En este caso la infracción es imputable a CROSSELING en su condición de responsable del tratamiento, de conformidad con lo dispuesto en el art. 12.4, y 43 de la LOPD, habida cuenta que subcontrató el servicio encomendado por JAZZTEL (ORANGE) sin la preceptiva autorización de esta última conforme se exigía en el contrato suscrito entre ambas entidades. VII El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  30. a)El carácter continuado de la infracción.
  31. b)El volumen de los tratamientos efectuados.
  32. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  33. d)El volumen de negocio o actividad del infractor.
  34. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  35. f)El grado de intencionalidad.
  36. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  37. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  38. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  39. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  40. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  41. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  42. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  43. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  44. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  45. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
  46. d)y
  47. h)del artículo 45.4 de la LOPD, ello teniendo en cuenta la falta de constancia de que su comisión haya afectado al volumen de negocio de CROSSELING o generado perjuicios al denunciante o terceras personas. Motivo por el cual cabría propone la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave pero sancionarse conforme a las multas establecidas para las infracciones leves. Se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios del artículo 45.4 de la LOPD, entendiendo que operan como circunstancias agravantes: la estrecha vinculación de la actividad de la reseñada entidad con la realización de tratamientos de datos de carácter personal con fines de publicidad en razón de su actividad, lo que lleva a exigir a dicha empresa un escrupuloso conocimiento de la LOPD y su Reglamento de desarrollo a fin de dar cumplimiento a los principios y garantías de los titulares de los datos recogidas en dicha normativa, no habiendo, por tanto, mostrado la inculpada la diligencia que le resultaba exigible para garantizar la oposición mostrada por el denunciante a continuar recibiendo llamadas publicitarias en su línea de teléfono, y ello en tanto que con anterioridad a la realización C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 de las llamadas no cruzó la base de datos utilizada con el Servicio Lista Robinson de ADIGITAL a fin de comprobar si debía excluir de tal tratamiento el número de teléfono del denunciante, con quien no mantenía una relación contractual, (criterio c); no consta que la entidad tuviese implantados con anterioridad a los hechos constitutivos de posible infracción procedimientos adecuados en la recogida y tratamiento de datos de carácter personal (criterio j); y se considera, especialmente, la reiteración en su conducta por parte de CROSSELING ya que en fecha 06/10/20116 se resolvieron los procedimientos PS/00010/2016 y PS/00014/2016 en los que le sancionó por la comisión de infracciones de la misma naturaleza(criterio g). En consecuencia, conforme a los referidos criterios de graduación de las sanciones procede imponer a CROSSELING una sanción de 30.000 € por la infracción del artículo 6.1 de la LOPD, sin que se tome en consideración su alegación referida a la aplicación de los criterios de graduación del artículo 80 de la LGT por cuanto no se imputa infracción alguna a dicha norma. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CROSSELING OPERADORES 3.9, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  48. b)de la LOPD, una multa de 30.000 €, de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a CROSSELING OPERADORES 3.9, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.