1/6 Procedimiento Nº PS/00652/2014 RESOLUCIÓN: R/01048/2015 Mediante Acuerdo de fecha 27 de noviembre de 2014 se inició procedimiento sancionador nº PS/00652/2014 instruido por la Agencia Española de Protección de Datos a MEDIFORUM, S.L., por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes ANTECEDENTES PRIMERO: En fecha de 8/04/2014 tiene entrada en esta Agencia un escrito de D. A.A.A. (el denunciante, en adelante) en el que manifiesta haber recibido correos electrónicos de CONSALUD y que no tienen su autorización. Aporta copia de correos electrónicos remitidos desde newsletter@....... en fechas 3/6/2014; 4/6/2014; 5/6/2014; 8/6/2014; 9/6/2014; 10/6/2014 y 11/06/2014 a la dirección de correo B.B.B. Aporta copia de correos electrónicos de fechas 27/3/2014; 1/4/2014 y 2/4/2014 en los que reitera una petición de baja enviada a la dirección baja@..... con el asunto unsuscribe. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias teniendo conocimiento de lo siguiente: Los correos electrónicos tienen contenido de la actividad institucional y científica del sector de sanidad. Solicitado al denunciante copia de las cabeceras completas de los mensajes, el denunciante aporta copia de cabeceras de dos correos electrónicos, los recibidos en fechas 8 de junio y 9 de junio de 2014, desde la cuenta newsletter@....... En el pie del correo electrónico, de fecha 3/6/2014, consta que la publicación contenida es editada por MEDIFORUM S.L. Se accedió a nic.es comprobando que la titularidad del dominio consalud.es corresponde a MEDIFORUM S.L. En la página web de consalud.es consta como dirección (C/............1) Madrid (España). Y muestra un enlace BAJA NEWSLEETER que redirige el gestor de correo electrónico a la creación de un mensaje con destinatario baja@..... y con el asunto unsuscribe, que coincide con los correos aportados por el demandante de fechas 27/3/2014; 1/4/2014 y 2/4/2014. TERCERO: Con fecha 27 de noviembre de 2014, el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Protección de Datos acordó iniciar procedimiento sancionador a MEDIFORUM, S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave del artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001€ a 300.000 €, según lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado Acuerdo de inicio, MEDIFORUM, S.L., alegó, en síntesis, que para solicitar la baja en el servicio de Newsletter se ha optado por enviar varios correos a la dirección baja@....., desde otra dirección de correo electrónico diferente a la de la suscripción y que no figura en la base de datos de ConSalud, como es C.C.C., por lo que era imposible identificar la suscripción. Este ha sido el motivo por el cual no se procedía al borrado de la dirección de correo electrónico. QUINTO: Con fecha 18 de diciembre de 2014 se inició el período de práctica de pruebas en el que: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MEDIFORUM, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03177/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00652/2014 presentadas por MEDIFORUM, S.L., y la documentación que a ellas acompaña. SEXTO: Con fecha 6 de febrero de 2015, el Instructor del procedimiento emitió propuesta de resolución en la que se insta el archivo del procedimiento al no apreciar que se haya producido una infracción de lo establecido en el artículo 6.1 de la LOPD. Trasladada la propuesta a MEDIFORUM, S.L., no se han recibido alegaciones. HECHOS PROBADOS PRIMERO: El denunciante manifiesta que tras haberse dado de baja viene recibiendo correos electrónicos remitidos por la entidad Consalud. (folio 1) SEGUNDO: Con fecha 14 de octubre de 2013 se registró en la Base de Datos de Consalud una nueva dirección de correo electrónico para recibir la Newsletter de ConSalud. La dirección era B.B.B. (folios 37 y 47) TERCERO: El denunciante aporta copias de correos de fechas 27/3/2014; 1/4/2014 y 2/4/2014 en los que el denunciante solicita la baja a la dirección baja@..... con el asunto unsuscribe, desde su correo B.B.B... (folios 2, 3 y 4) CUARTO: En la página web de consalud.es consta como dirección C/Batalla de Belchite 5 – 2º B; 28045 Madrid (España). Y muestra un enlace BAJA NEWSLEETER que redirige el gestor de correo electrónico a la creación de un mensaje con destinatario baja@..... y con el asunto unsuscribe, que coincide con los correos aportados por el demandante de fechas 27/3/2014; 1/4/2014 y 2/4/2014. (folios 27 y 28) QUINTO: Constan copia de correos electrónicos remitidos desde newsletter@....... en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 fechas 3/6/2014; 4/6/2014; 5/6/2014; 8/6/2014; 9/6/2014; 10/6/2014 y 11/06/2014 a la dirección de correo B.B.B. (folios 12 a 20) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personal. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. III Pasamos a examinar la infracción del artículo 6.1 de la LOPD que se imputa a MEDIFORUM S.L. De acuerdo con las disposiciones transcritas en el Fundamento de Derecho precedente, el tratamiento de los datos personales exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento (artículo 6.2 de la citada Ley Orgánica). En primer lugar señalar que el denunciante no niega haberse dado de alta en la newsletter, de hecho lo duda (folio 2) por tanto no podemos deducir un tratamiento de datos sin consentimiento al darse de alta en las newsletter de Consalud por sus mismas declaraciones, rigiendo en este caso el principio de presunción de inocencia de la entidad denunciada, más aún cuando dicha entidad tiene registrado el correo, como explicamos a continuación. En el asunto que nos ocupa los hechos probados acreditan que el correo electrónico del denunciante B.B.B. fue tratado por MEDIFORUM S.L. asociado al envío de comunicaciones de una actividad con contenido institucional y científico del sector de sanidad. La dirección B.B.B. se registró en la base de Consalud, según manifiesta la entidad denunciada, para recibir newletters de Consalud el 14 de octubre de 2013. El denunciante manifestó que solicito la baja en tres ocasiones y que con posterioridad a la solicitud de baja del denunciante se le siguieron mandando newsletters de contenido institucional y científico del sector de sanidad a su correo personal. La denunciada en este sentido ha manifestado que para solicitar la baja en el servicio de Newsletter se ha optado por enviar varios correos a la dirección baja@....., desde otra dirección de correo electrónico diferente a la de la suscripción y que no figura en la base de datos de ConSalud, como es C.C.C., y este ha sido el motivo por el cual no se procedía al borrado de la dirección de correo electrónico. Ello viene acreditado en la documentación aportada por la entidad denunciada. Sin embargo como hemos señalado no ha quedado acreditada la recepción de los correos de baja desde B.B.B. por parte de la entidad denunciada. Hay que tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. IV Dispone el 44.3.
- b)de la LOPD que considera infracción grave “El tratamiento de los datos de carácter personal sin recabar el consentimiento de las personas afectas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y en las disposiciones de desarrollo” En el presente caso, teniendo en cuenta lo dispuesto en los Fundamentos de Derecho anteriores no es posible subsumir la conducta de MEDIFORUM, S.L., en ninguno de los supuestos que el Título VII de la LOPD considera infracción, debiendo por tanto dictarse el archivo de actuaciones Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento instruido contra la entidad MEDIFORUM, S.L., por inexistencia de infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a MEDIFORUM, S.L., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es