← España

PS-00660-2015

1/24 Procedimiento Nº PS/00660/2015 RESOLUCIÓN: R/00855/2016 En el procedimiento sancionador PS/00660/2015, instruido por la Agencia Española de Protección de Datos al BANCO CETELEM, S.A., vista la denuncia presentada por Don B.B.B.,, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 15 de enero de 2015, tiene entrada en esa Agencia Española de Protección de Datos (AEPD) un escrito remitido por la Oficina Municipal de Información al Consumidor (OMIC), de la Mancomunidad de Servicios Uribe Kosta, comunicando que Don B.B.B., (en lo sucesivo el denunciante), había puesto una reclamación contra BANCO CETELEM, S.A., (en adelante, BANCO CETELEM), poniendo de manifiesto, entre otras cuestiones, que dicha entidad financiera había tratado sus datos personales sin su autorización para remitirle comunicaciones publicitarias desde la fecha en que suscribió con dicha entidad financiera contrato de préstamo, en el año 2012, pese a que en el año 2013 solicitó el cese de los envíos publicitarios mediante llamada al número 900*****

  1. El escrito adjunta, entre otra, la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid - Copia de la “Solicitud de contrato de préstamo mercantil con Tarjeta de Crédito Sistema Flexipago” suscrito con BANCO CETELEM, con fecha 20 de abril de 2012, junto con copia de las Condiciones Generales del mismo y documento de “Información normalizada europea sobre el crédito al consumo” de idéntica fecha. - Impresión parcial de dos envíos publicitarios postales que indica haber recibido con posterioridad a haber manifestado su oposición a tal recepción. - Copia de la contestación, de fecha 19 de diciembre de 2014, enviada por BANCO CETELEM a la OMIC en contestación a la reclamación del denunciante efectuada ante ese organismo de consumo, en la que, entre otros extremos, se indicaba que se acusaba recibo de la solicitud del reclamante y les confirmaban “que procedemos a tomar las medidas oportunas para que no le sean enviadas ofertas comerciales o información publicitaria del Banco Cetelem, S.A.”. Paralelamente, se advertía que la solicitud del denunciante “se ha cruzado con la elaboración de una oferta comercial, no habiendo sido posible evitar que ésta le fuera enviada al Sr. B.B.B., por lo que será la última información comercial que recibirá de Banco Cetelem, S.A.”. - Copia de la contestación, de fecha 30 de diciembre de 2014, enviada por CE BANCO TELEM a la OMIC en contestación a la reclamación del www.agpd.es sedeagpd.gob.es 2/24 denunciante efectuada ante ese organismo de consumo, en la que, entre otra información, se precisa “Que la comunicación que aporta a la reclamación actual, es de fecha anterior a la contestación a su reclamación, por lo que con las gestiones realizadas, queda solventada.” SEGUNDO: A la vista de la información obtenida de documentación adjuntada por el denunciante se tiene conocimiento de los siguientes extremos:  En los apartados III) y VI) de la Cláusula 5, de Protección de Datos Personales, de las Condiciones Generales del Contrato de “Solicitud contrato préstamo mercantil con tarjeta de crédito sistema Flexipago” suscrita por el denunciante con CETELEM el 20/04/2012, se establece: <<I. Condiciones Generales. (…)
  2. Protección de Datos Personales (…) III) Asimismo autoriza expresamente a que CETELEM pueda enviarle periódicamente información publicitaria y ofertas comerciales de los productos, servicios o actividades de CETELEM, de EURO CRÉDITO, dedicada a servicios financieros o de terceros comercializados por CETELEM, de los siguientes sectores: financiero, seguros, ocio, formación, gran consumo, editorial, automoción, (…) por cualquier medio y en particular por medios de comunicación electrónicos ( correo electrónico, telefonía móvil), utilizando para ello estadísticas que permitan determinar perfiles de consumo. Para llevar a cabo la finalidad descrita, la información facilitada podrá ser comunicada a empresas prestadoras de servicios. El consentimiento se entenderá otorgado salvo que el titular se oponga llamando al siguiente número: D.D.D. . (…) VII) El titular/es tendrá, de conformidad con la Ley Orgánica 15/1999, el derecho de información, acceso, rectificación, cancelación y oposición, al tratamiento de los datos que le conciernen dirigiéndose al BANCO CETELEM, S.A., (C/....1), Madrid, Departamento de Atención al Cliente o mediante correo electrónico a la dirección A.A.A..>> Se observa que el procedimiento habilitado por BANCO CETELEM en el apartado III) de la cláusula 5 de Protección de Datos, anteriormente transcrita, para obtener el consentimiento del titular de la solicitud de contrato de préstamo a la remisión de publicidad y ofertas comerciales ajenas al mantenimiento, desarrollo y control de la relación contractual en cuestión no facilita al afectado, en el propio contrato, la marcación de una casilla o un medio equivalente que le permita manifestar durante el proceso de formalización del contrato su negativa expresa a dicho tratamiento publicitario o a la comunicación de los datos personales a terceros.  BANCO CETELEM envió publicidad al denunciante con posterioridad a la firma del de la mencionada “Solicitud contrato préstamo mercantil con tarjeta de crédito sistema Flexipago”, tal y como se desprende del examen de las copias de los envíos postales adjuntados por el denunciante a su reclamación ante la OMIC con publicidad de productos de CETELEM y de la contestación de fecha 19 de diciembre de 2014 de dicha entidad a la OMIC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/24 Los folletos aportados, constituidos por impresiones parciales de dos documentos en los que no aparece la fecha de su remisión, hacen referencia a las Fiestas Navideñas y a los propósitos del Nuevo Año, por lo que tales envíos debieron remitieron en noviembre o principios de diciembre de
  3. Uno de los folletos publicitarios contiene dos referencias temporales que permiten ubicarlo en las fechas indicadas dado que después de invitar a sus clientes a comunicar sus propósitos del “Nuevo Año” y participar vía web en un sorteo referido a: “¿Qué te gustaría hacer para 2015”, figurando más adelante en la llamada

(1)situada al pie del documento que se trata de una: “Promoción válida del 1/12/14 al 31/12/14” En el otro folleto publicitario, relativo a una promoción navideña que se gestionaba dándose de alta a través del “Espacio Cliente” de www.cetelem.es, se advierte que tiene vigencia “Hasta el 31 de diciembre de 2014”. En la contestación de CETELEM a la OMIC, de fecha 19 de diciembre de 2014, el reclamado indica que no se había podido evitar la remisión de una oferta comercial que se había cruzado con la solicitud de cese de envíos publicitarios. TERCERO: Con fecha 27 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANCO CETELEM, S.A., por presunta infracción del artículo 6 de la Ley Orgánica de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en relación con el artículo 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007 de 21 de diciembre, tipificada como grave en el artículo 44.3.
  1. b)de la citada LOPD. CUARTO: Notificado el acuerdo de inicio a la mencionada entidad financiera con fecha 1 de diciembre de 2015, en contestación a sendas solicitudes realizadas por esa empresa se facilita copia del expediente a la misma con fecha 11 de diciembre de 2015 y se acuerda ampliación de plazo para formular alegaciones con fecha 23 de diciembre de 2015. Con fecha 29 de diciembre de 2015 tiene entrada escrito de alegaciones presentado en el Servicio de Correos con fecha 22 de diciembre de 2015, en el que BANCO CETELEM niega la comisión de la infracción imputada con fundamento, en síntesis, en los siguientes motivos : C/ Jorge Juan, 6 28001 – Madrid - El denunciante y esa entidad financiera suscribieron un “Contrato de préstamo mercantil con Tarjeta de Crédito sistema Flexipago”, en fecha 20 de abril de 2012, amortizable en 6 cuotas, para financiar la compra de unos muebles, con la posibilidad de disponer, asimismo, de una línea de crédito que podía aperturar a través de la Tarjeta de Crédito sistema Flexipago. Durante la relación contractual, BANCO CETELEM envió ofertas comerciales relativas a las ventajas (promociones, sorteos, etec) que ofrecía a sus clientes titulares de la línea de crédito. - En el momento de la firma del contrato y recogida de los datos, el denunciante prestó su consentimiento inequívoco para el tratamiento de www.agpd.es sedeagpd.gob.es 4/24 sus datos personales con fines publicitarios al autorizar, conforme se desprende de la cláusula 5 del mismo, el envío de información publicitaria y ofertas comerciales de los productos, servicios o actividades de BANCO CETELEM, y fue informado de la existencia de un número de teléfono gratuito para revocar el consentimiento prestado para el tratamiento de datos personales con fines diferentes a los relacionados con el contrato firmado. Se afirma que se ha dado cumplimiento a lo previsto en los artículos 14,15 y 17 del RLOPD, no constando que el afectado revocase el consentimiento prestado con posterioridad a la firma del contrato. -Se añade que las comunicaciones enviadas hacen referencia a los fines del contrato suscrito, pues en ambas se indica que “utilice su línea de crédito y celebra tu Navidad ideal” o “usa tu línea de crédito y te devolvemos la comisión”, así como se le informa de la posibilidad de participar en un sorteo por ser cliente de la entidad. Por tanto, dichos envíos hacen referencia a la línea de crédito suscrita. Señalan que la Agencia ha entendido que no existe infracción en casos similares, como el del expediente nº E/00593/201, manteniendo que la misma interpretación hace la Audiencia Nacional en distintas sentencias referidas a la posibilidad de que se opongan al tratamiento dirigiéndose a una página web. - Por último, alegan la diligencia mostrada al bloquear los datos del denunciante tan pronto como les llegó la solicitud de información por parte de la OMIC, momento en que supieron de la revocación del consentimiento del denunciante al no haberles sido puesta de manifiesto con anterioridad por el afectado. QUINTO: Con fecha 11 de enero de 2016, se inició el período de práctica de pruebas, en el que se acordó dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANCO CETELEM, S.A., el Informe de actuaciones previas de Inspección que forman parte del expediente E/02078/2015, las alegaciones al acuerdo de inicio PS/00660/2015 presentadas por BANCO CETELEM, S.A. y la documentación que a ellas acompaña. También, a efectos probatorios, se acordó incorporar al procedimiento la siguiente documentación: Informe 0047/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos, en adelante AEPD; Resolución de Archivo de Actuaciones del Expediente nº E/00593/2012, con excepción de los Anexos citados en la misma; y Páginas 19 a 23 de la “Guía del Responsable de Ficheros” publicada en el sitio web de la AEPD. Asimismo, se acordó solicitar a BANCO CETELEM, S.A., la remisión de la siguiente documentación: - Copia de toda la documentación obrante en poder de esa entidad, excepto la ya facilitada por esta AEPD, relacionada con el expediente instruido por la OMIC con motivo de la reclamación interpuesta por el denunciante ante dicho organismo. - Indicación y acreditación de las fechas exactas en las que se remitieron al denunciante, vía postal, las comunicaciones comerciales cuya copia fue proporcionada a esa entidad por esta Agencia en escrito de fecha 23 de diciembre de 2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/24 - Copia íntegra de las comunicaciones comerciales que se corresponden con los envíos adjuntados por el denunciante a su reclamación ante la OMIC. - Información que obra en el fichero asociado al funcionamiento del número D.D.D. sobre los contactos mantenidos por el denunciante con esa entidad a través de ese teléfono, con envío del contenido de cada una de las anotaciones efectuadas por esa empresa para reflejar las fechas de tales contactos y motivo de las solicitudes efectuadas por ese cliente. Igualmente, se acordó solicitar al denunciante copia de la documentación aportada a la OMIC y las copias de las comunicaciones publicitarias completas adjuntadas a la misma, con información sobre la fecha de su recepción. SEXTO: Con fecha 28 de enero de 2016 BANCO CETELEM se registra de entrada escrito de contestación a la solicitud de prueba en el que se señala lo siguiente: - Se adjunta: copia del expediente instruido por la OMIC; copia íntegra de las comunicaciones denominadas “Billing Cetelem” y “Campaña de Tarjeta” - Se aporta certificación de la empresa encargada del envío y puesta en correos de la comunicación denominada “Billing Cetelem”, que contenía o el extracto de cuenta aportado a la OMIC, justificativa de que dicha comunicación estaba entre los envíos remitidos a los clientes los días 1, 2 y 3 de diciembre de 2014. - Se aporta certificación de la empresa encargada del envío y puesta en correos de la comunicación correspondiente a la “Campaña de Tarjeta” justificativa de que se depositó en Correos en fecha 5 de diciembre de 2014. - En el número de Red Inteligente número D.D.D. no se ha localizado información relativa a llamadas realizadas durante los años 2013 y 2014 desde los números de teléfonos C.C.C. y E.E.E., asignados al denunciante. SÉPTIMO: Con fecha 28 de enero de 2016 se registra de entrada escrito de contestación a la solicitud de práctica de prueba efectuada al denunciante, en el que, a través de la OMIC de la Mancomunidad de Servicios Uribe Kosta, se remite copia de la reclamación efectuada contra BANCO CETELEM. OCTAVO: Con fecha 14 de abril de 2016 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase al BANCO CETELEM, S.A. con multa de 10.000 € ( Diez mil euros) por la infracción del artículo 6.1 de la LOPD en relación con el artículo 15 del RLOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, la cual consta como notificada con fecha 15 de abril de 2016 . Notificada la misma, con fecha 29 de abril de 2016 se remite a la mencionada entidad copia de los folios 110 al 141 solicitados por esa empresa, con excepción de los folios correspondientes al DNI del denunciante. Asimismo, con fecha 10 de mayo de 2016 se acuerda denegar la solicitud de ampliación de plazo para formular alegaciones a la propuesta de resolución, toda vez que en el procedimiento no se han tenido en cuenta elementos de juicio distintos de los que fueron incluidos en la citada propuesta, habiéndose, además acordado anterior ampliación de plazo con fecha 23 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/24 diciembre de 2015. NOVENO: Con fecha 10 de mayo 29 de abril de 2016 BANCO CETELEM presento escrito de alegaciones a la propuesta de resolución en el Servicio de Correos , el que se redunda en la procedencia de archivar el procedimiento por no haber realizado un tratamiento inconsentido de los datos del afectado. Lo que expone utilizando los siguientes argumentos: - Reitera que en el momento de la firma del contrato ofreció al afectado un mecanismo sencillo, gratuito y reglamentariamente previsto (llamada a una línea de teléfono gratuita) para que, si lo consideraba oportuno, manifestase expresamente su negativa al tratamiento de sus datos personales con fines diferentes de los relacionados con el contrato firmado. La entidad incide en que el denunciante no utilizó dicho mecanismo de oposición y recalca que la entidad actuó diligentemente bloqueando sus datos en el momento en que conoció la solicitud del afectado por un tercero (Oficina Municipal de Información al Consumidor), reiterando también que las comunicaciones comerciales denunciadas estaban directamente relacionadas con el ámbito y fines del contrato suscrito. - En la propuesta de resolución se ha producido una interpretación absolutamente restrictiva y errónea del “proceso de formación del contrato” al que se refiere el artículo 15 del Reglamento de desarrollo de la LOPD, ya que sólo puede significar “perfeccionamiento del contrato”. La Agencia parte de que el contrato se perfecciona en el instante, sin dar tiempo al titular del dato, a poder ejercitar su derecho de oposición, cuando en realidad el contrato de préstamo mercantil, de naturaleza real, no se perfecciona hasta la entrega del dinero al prestatario, en su caso, hasta el consenso de voluntades de los intervinientes. De tal modo que desde la firma de la solicitud por parte del prestatario hasta la entrega del objeto del préstamo, o hasta que el Banco aprueba dicha solicitud, se produce un lapso de tiempo incurso en el proceso de formación del contrato durante el cual el titular de los datos puede ejercitar su derecho de oposición. En este caso, el denunciante no se opuso al tratamiento publicitario de sus datos durante el proceso de formación de contrato transcurrido hasta que se perfeccionó el mismo o marcando el número de teléfono gratuito ofrecido por el Banco. - La imputación basada en la interpretación restrictiva de que el procedimiento ofrecido al denunciante en el contrato no constituía un “procedimiento equivalente” al citado en el propio precepto (casilla claramente visible sin marcar) es contraria a los principios de legalidad, culpabilidad y el principio de presunción de inocencia e “in dubio pro reo o in dubio pro cive.”. - Subsidiariamente, se arguye que se producen todos los requisitos legales exigibles para imponer, en aplicación lo previsto en los apartados 4 y 5 del artículo 45 de la LOPD, una sanción máxima de 600 euros debido a la cualificada disminución de la culpabilidad del imputado y de la antijuridicidad del hecho por la concurrencia significativa de múltiples factores. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/24 PRIMERO: En fecha 20 de abril de 2012, el denunciante y CETELEM suscribieron “Solicitud de Contrato de préstamo mercantil con Tarjeta de Crédito sistema Flexipago”, amortizable en 6 cuotas. (folios 4 a 8 y 46 a 50). En el apartado del contrato de “Tarjeta de Crédito Sistema Flexipago” se señalaba: “El titular/es solicita expresamente que junto con el presente contrato de préstamo, o con posterioridad a él, se proceda por CETELEM a la emisión de una Tarjeta de Crédito por importe de hasta 2.000 Euros que se regirá por lo estipulado en el apartado “Condiciones Generales” y Condiciones Particulares (TARJETA DE CREDITO SISTEMA FLEXIPAGO)” que figuran en las hojas que forman el presente contrato, siempre que a juicio de CETELEM sus condiciones de riesgo y, en su caso, su comportamiento de pago con CETELEM lo permitan. “ SEGUNDO: En los apartados III) y VI) de la Condición General 5, de Protección de Datos Personales, del mencionado Contrato de “Solicitud contrato préstamo mercantil con tarjeta de crédito sistema Flexipago” se establece: <<I. Condiciones Generales. (…) 5. Protección de Datos Personales (…) III) Asimismo autoriza expresamente a que CETELEM pueda enviarle periódicamente información publicitaria y ofertas comerciales de los productos, servicios o actividades de CETELEM, de EURO CRÉDITO, dedicada a servicios financieros o de terceros comercializados por CETELEM, de los siguientes sectores: financiero, seguros, ocio, formación, gran consumo, editorial, automoción, (…) por cualquier medio y en particular por medios de comunicación electrónicos ( correo electrónico, telefonía móvil), utilizando para ello estadísticas que permitan determinar perfiles de consumo. Para llevar a cabo la finalidad descrita, la información facilitada podrá ser comunicada a empresas prestadoras de servicios. El consentimiento se entenderá otorgado salvo que el titular se oponga llamando al siguiente número: D.D.D. “. (…) VII) El titular/es tendrá, de conformidad con la Ley Orgánica 15/1999, el derecho de información, acceso, rectificación, cancelación y oposición, al tratamiento de los datos que le conciernen dirigiéndose al BANCO CETELEM, S.A., (C/....1), Madrid, Departamento de Atención al Cliente o mediante correo electrónico a la dirección A.A.A..>> (folios 5 y 47). TERCERO: Con fecha 14 de diciembre de 2014 el denunciante presentó reclamación contra BANCO CETELEM ante la Oficina Municipal de Información al Consumidor de la Mancomunidad de Servicios Uribe Kosta (OMIC) solicitando la anulación de la Tarjeta de Crédito Visa Cetelem por la que se le había girado un recibo de 24,04 €, que devolvió, y la cancelación de sus datos. En el expediente tramitado a raíz de dicha reclamación consta, entre otra, la siguiente documentación: (folios 112 al140) - C/ Jorge Juan, 6 28001 – Madrid Escrito de fecha 15 de diciembre de 2014 enviado por la OMIC al BANCO CETELEM comunicando los motivos de la reclamación. (folio 129 ) www.agpd.es sedeagpd.gob.es 8/24 - Escrito de BANCO CETELEM a la OMIC, de fecha 19 de diciembre de 2014 comunicando la anulación de la Tarjeta Visa Cetelem y de la comisión anual de mantenimiento de la misma así como la regularización del contrato. También se confirmaba la adopción de las medidas oportunas para no enviar ofertas comerciales o información publicitaria de la entidad y para cancelar los datos personales del afectado mediante la modalidad de bloqueo. Se advertía que la solicitud del afectado se había cruzado con la elaboración de una oferta comercial enviada. (folios 135 y 136) - Escrito de fecha 22 de diciembre de 2014 enviado por la OMIC al BANCO CETELEM en el que se indicaba que el denunciante “asegura haberse puesto en contacto telefónico con BANCO CETELEM, a través del nº D.D.D., para solicitar el cese del envío de publicidad y pedir que eliminaran sus datos personales del archivo de esta empresa, por lo que no comprende por qué motivo continúan enviándole publicidad a su casa. “ (folios 129 y132) - Escrito de BANCO CETELEM a la OMIC, de fecha 30 de diciembre de 2014, confirmando los extremos expuestos en el anterior escrito y especificando que con fecha 18 de diciembre de 2014 se saldó la deuda. (folios 137 y 138) CUARTO: El denunciante recibió, vía postal, comunicaciones comerciales de la “Campaña de Tarjeta” de BANCO CETELEM, depositada en Correos el día 5 de diciembre de 2014, promocionando el uso de la línea de crédito durante la Navidad del año 2014. (folios 15 a 17, 78, 107 y 108, y 126 a 128). Uno de los folletos, con referencia de campaña PROMDV9D, promocionaba el uso de la línea de crédito para transferir cantidades iguales o superiores a 300 € desde dicha línea a la cuenta corriente habitual del cliente durante la Navidad, para lo cual se ofertaba la devolución de la comisión previo registro de alta en la promoción vía telefónica o vía web. En el contenido de la comunicación aparecía: “Utiliza el dinero de tu Línea de Crédito y celebra tu Navidad ideal”, “Usa tu línea de crédito y te devolvemos la comisión por realizar una transferencia a tu cuenta del cliente igual o superior a 300 €”, (folios 16, 17, 107) En el otro folleto junto con información publicitaria de la campaña PROMDV9D se promocionaba un sorteo de seis premios de 3.000 entre todos los clientes que entrasen en el sitio web www.cetelem.es a contar cuáles eran sus propósitos y se inscribiesen correctamente en la promoción a través de www.propositos cumplidos.es entre el 20 de noviembre de 2014 y el 20 de enero de 2015. (folios 15, 108) QUINTO: BANCO CETELEM ha aportado certificación emitida el 22 de enero de 2016 por DIGITAL VIRGO ESPAÑA, S.A., proveedor de servicios de red inteligente de BANCO CELETELEM, en el que consta que analizadas las trazas de las llamadas recibidas durante los años 2013 y 2014 en el número de destino D.D.D. no existen llamadas recibidas desde los números de origen C.C.C. y E.E.E., asignados al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/24 expediente del denunciante. (folios 78, 79 y 109) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II De conformidad con lo dispuesto en el artículo 2 de la LOPD dicha norma “será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
  4. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. A su vez, el artículo 3 de la LOPD, en su apartado c), define como tratamiento de datos, las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento en su artículo 43, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso, BANCO CETELEM resulta responsable del tratamiento automatizado de los datos de carácter personal del denunciante, habida cuenta que decidió utilizar la información del afectado obrante en sus propios ficheros para la remitirle comunicaciones comerciales postales, ostentando de conformidad con las definiciones anteriores una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. III El presente procedimiento tiene como objeto dilucidar si BANCO CETELEM solicitó, y obtuvo, en el marco del proceso de celebración del contrato de solicitud de préstamo mercantil, suscrito con fecha 20 de abril de 2012, el consentimiento inequívoco del denunciante para poder tratar los datos personales recabados durante dicho proceso con finalidades ajenas a las propias del mantenimiento, desarrollo y control de la relación contractual, toda vez que consta acreditado que, con posterioridad a la firma del reseñado contrato de préstamo, la mencionada entidad financiera ha tratado los datos personales del denunciante para remitirle comunicaciones comerciales postales de sus productos y servicios financieros, sector incluido en el apartados III) de la Condición General 5 del reseñado contrato (Hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/24 Probado Dos). Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado” Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el responsable del tratamiento o del fichero donde se encuentren almacenados los datos personales cuente con el consentimiento inequívoco del afectado para el tratamiento de los mismos. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. La LOPD además de sentar el anterior principio de consentimiento regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/24 considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos de carácter personal en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. IV Por su parte, el artículo 15 del Reglamento de desarrollo de la LOPD, (en adelante RLOPD), aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/24 Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” (El subrayado es de la AEPD) A la vista de lo dispuesto en el artículo 15 del RLOPD, el responsable del tratamiento no podrá utilizar los datos de carácter personal del afectado para fines que no resulten necesarios para el cumplimiento y desarrollo del objeto del contrato si, previamente, es decir, durante el proceso de formación de la relación contractual en la que se le informa de las finalidades determinadas a las que se destinarán los datos recogidos, no ha obtenido el consentimiento del afectado para dicho tratamiento ajeno a los fines de la relación contractual. De este modo, se establece la obligación de posibilitar en el propio documento contractual la oposición del afectado titular de los datos a las finalidades del tratamiento no relacionadas directa ni necesariamente con los fines del contrato. El mencionado artículo 15 del RLOPD debe ponerse, a su vez, en relación con el artículo 12 del RLOPD, que establece lo siguiente: “Artículo 12. Principios generales. 1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio.” Asimismo, como los datos del denunciante se han tratado por BANCO CETELEM para la remisión de comunicaciones postales publicitarias de uno de sus productos, ha de tenerse también en cuenta lo dispuesto en los apartados 1 y 4 del artículo 30 de la LOPD y los artículos 45.1.b), 46.1 y apartados 1 al 3 del artículo 51 del mencionado Reglamento de desarrollo de la LOPD sobre tratamientos para actividades de publicidad y prospección comercial. El artículo 30 de la LOPD bajo la rúbrica “Tratamiento con fines de publicidad y de prospección comercial” dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/24 “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. (…) 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” (El subrayado es de la AEPD) Los mencionados artículos 45.1.b), 46.1 y 51 del RLOPD establecen: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
  6. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad “ “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. “ “Artículo 51. Derecho de oposición. 1. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. La oposición a la que se refiere el párrafo anterior deberá entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos. 2. A tal efecto, deberá concederse al interesado un medio sencillo y gratuito para oponerse al tratamiento. En particular, se considerará cumplido lo dispuesto en este precepto cuando los derechos puedan ejercitarse mediante la llamada a un número telefónico gratuito o la remisión de un correo electrónico. 3. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a sus clientes o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, deberá C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/24 concederse la posibilidad al afectado de ejercer su oposición a través de dichos servicios. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar su oposición el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado. En todo caso, el ejercicio por el afectado de sus derechos no podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. “ V En el presente supuesto, a los efectos que nos ocupan, el hecho de que de las actuaciones practicadas no haya quedado acreditado que el denunciante, con posterioridad a la suscripción del citado contrato, haya utilizado el número de teléfono gratuito ofrecido en el mencionado contrato por BANCO CETELEM para mostrar su negativa a la recepción de publicidad resulta irrelevante, ya que estaríamos ante una actuación del denunciante posterior al proceso de formación y celebración del contrato, conforme se expondrá más adelante. Téngase en cuenta que la licitud del tratamiento analizado se condiciona a la adecuación de la fórmula utilizada por esa entidad a las exigencias establecidas al amparo de los artículos 6.1 de la LOPD y 15 del RLOPD para solicitar, durante el proceso de formación del contrato de préstamo mercantil, el consentimiento del afectado al tratamiento publicitario de sus datos de carácter personal . En concreto, se trata de dilucidar si BANCO CETELEM contaba con el consentimiento inequívoco del denunciante para tratar los datos personales que recogió a raíz de la celebración de un contrato de préstamo mercantil para la remisión de comunicaciones publicitarias de CETELEM o de EURO CRÉDITO , es decir, para finalidades no relacionados con dicha relación contractual. Atendido que el tratamiento publicitario de los datos de carácter personal del denunciante efectuado por BANCO CETELEM, y materializado en el envío de comunicaciones comerciales postales al denunciante, no resulta necesario para el desarrollo y ejecución de la relación jurídica existente entre ambas partes, esta Agencia entiende, a partir de la valoración conjunta de los elementos fácticos obrantes en el expediente, que dicha entidad no obtuvo el consentimiento inequívoco del denunciante para enviarle publicidad con arreglo a lo dispuesto en la normativa de protección de datos . En este supuesto, para llegar a esa conclusión se ha valorado si BANCO CELETEM permitió al afectado manifestar , en forma expresa y previa al tratamiento publicitario objeto de denuncia, su negativa a prestarlo en el propio documento contractual, de tal modo que quedase constancia de su negativa a ese tipo de tratamiento ajeno a las finalidades del objeto del contrato suscrito entre ambas partes. No obstante que en la condición general número 5 del reseñado contrato se recoge que el cliente autoriza expresamente el envío de publicidad y ofertas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/24 promocionales por parte de BANCO CETELEM y EURO CRÉDITO de los productos, servicios o actividades de los sectores que expresamente se detallan en esa condición, sin embargo la fórmula empleada por la entidad denunciada para dar respuesta al requisito de solicitud de consentimiento fijado en el artículo 15 del RLOPD no facilita al afectado un procedimiento que pueda considerarse como equivalente a la marcación de una casilla sin cumplimentar que le permita manifestar en el mismo proceso de formación del contrato su negativa expresa a dicho tratamiento publicitario. Teniendo en cuenta que en los supuestos a los que se refiere el mencionado artículo 15 del RLOPD la solicitud del consentimiento por el responsable del tratamiento y su prestación o negativa expresa por el titular de los datos han de producirse en el marco del proceso del establecimiento de la relación contractual, se considera que la cláusula utilizada por BANCO CETELEM no sólo remite a un consentimiento tácito dada la ambigüedad de sus términos, puesto informa que el consentimiento se entiende otorgado salvo que el titular se oponga llamando al número 900*****1 (folio 7), sino que impide que se produzca la negativa expresa del afectado al tratamiento publicitario dentro del proceso de formación del contrato, tal y como exige el señalado precepto reglamentario. No se cuestiona que el procedimiento ofrecido en el contrato fuera visible, sencillo y gratuito, se afirma que no permitía manifestar al denunciante, titular de los datos de carácter personal recabados en el proceso de formación del contrato, su negativa a ese tipo de tratamiento en paralelo al proceso de celebración del contrato, puesto que el medio ofrecido requería la realización de una acción posterior a la firma del contrato de la que no quedaba constancia en el momento de la celebración del mismo, al igual que tampoco permitía reflejar la negativa del afectado en el documento. Por lo tanto, no estaríamos ante un procedimiento equivalente al que cita el artículo 15 del Reglamento de desarrollo de la LOPD, ya que su marcación se efectúa durante la celebración del contrato, no después de la firma del mismo, y, además, permite que quede constancia de su negativa en el documento contractual. Al contrario de lo expresado por BANCO CETELEM en el escrito de alegaciones a la propuesta de resolución no estamos ante una diferencia interpretativa de la expresión “procedimiento equivalente”. Del análisis efectuado se desprende que el ofrecimiento de una llamada telefónica a un número 900 no permitía al denunciante manifestar ni dejar constancia en forma expresa de su posible negativa al tratamiento publicitario de sus datos en el propio proceso de formación del contrato, que en este caso se sitúa en la entrega y firma del documento proporcionado por BANCO CETELEM para la celebración del contrato de préstamo mercantil. En consecuencia, el mecanismo al que se refiere dicho precepto reglamentario no puede estar condicionado a la realización por el titular de los datos de un trámite después de celebrarse el contrato, ya que ha de facilitarse al afectado un procedimiento previo al otorgamiento del consentimiento para que manifieste su negativa a otorgar dicho consentimiento. A tenor de lo cual, tampoco puede entenderse, como alega BANCO CETELEM, que los días subsiguientes que transcurren hasta que el préstamo se perfecciona con la entrega del dinero suponen que continúa abierto “el proceso de formación” del contrato a los efectos de previstos en el reseñado artículo. Con arreglo a todo lo expuesto, , el envío de publicidad C/ Jorge Juan, 6 28001 – Madrid postal por BANCO www.agpd.es sedeagpd.gob.es 16/24 CETELEM con posterioridad a la firma del contrato de tanta cita no estaba sustentado en el consentimiento inequívoco del denunciante, ya que la solicitud de dicho consentimiento no se realizó de conformidad con las exigencias recogidas en el citado artículo 15 del RLOPD, habida cuenta que el mecanismo ofrecido en dicho documento al denunciante para permitirle manifestar expresamente, en su caso, su negativa al tratamiento publicitario de sus datos con fines ajenos a los propios de la relación contractual, no resultaba conforme a lo dispuesto en la normativa de protección de datos por los motivos señalados. Además, debe rechazarse que las comunicaciones remitidas al denunciante puedan estimarse directamente relacionadas con los fines del contrato suscrito, puesto que el recordatorio de la posibilidad de disponer de la línea de crédito que le había sido concedida por la entidad financiera al firmar el contrato, al que invoca BANCO CELETELEM, no resulta necesario para el mantenimiento, desarrollo y control de la relación contractual suscrita, máxime cuando dicho recordatorio va unido a la participación del cliente en promociones o sorteos que requieren registrarse de alta en las mismas. En conclusión, el denunciante no consintió el tipo de tratamiento publicitario al que iban a ser sometidos sus datos, lo que parece escapar del poder de “disposición y control” que en palabras del Tribunal Constitucional (STC 292/2000) configura la base del principio de consentimiento al tratamiento de datos personales En el presente supuesto, BANCO CETELEM no ha acreditado que contase con el consentimiento inequívoco del denunciante para el tratamiento publicitario de los datos del mismo a través del envío de comunicaciones postales, al igual que tampoco ha probado que concurra alguno de los supuestos que la dispensarían de dicho consentimiento legitimando tal tratamiento de datos VI Se alega que la imputación efectuada, basada en una interpretación restrictiva del concepto indeterminado de la expresión “procedimiento equivalente” contenida en el artículo 15 del RLOPD, vulnera los principios de legalidad, culpabilidad y el principio de presunción de inocencia e “in dubio pro reo o in dubio pro cive”, ya que la compañía interpretó el mencionado concepto indeterminado analizando los artículos relacionados del citado Reglamento así como éste en su conjunto, en cuyo contexto entendió que la solución adoptada cumplía perfectamente con los requisitos establecidos legalmente a efectos de manifestar la negativa al tratamiento. El artículo 127 de la de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJ-PAC), establece en relación con el principio de legalidad que: “1. La potestad sancionadora de las Administraciones públicas, reconocida por la Constitución, se ejercerá cuando haya sido expresamente reconocida por una norma con rango de Ley, con aplicación del procedimiento previsto para su ejercicio y de acuerdo con lo establecido en este título y, cuando se trate de entidades locales, de conformidad con lo dispuesto en el título XI de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen local. 2. El ejercicio de la potestad sancionadora corresponde a los órganos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/24 administrativos que la tengan expresamente atribuida, por disposición de rango legal o reglamentario. 3. Las disposiciones de este Título no son de aplicación al ejercicio por las Administraciones públicas de su potestad disciplinaria respecto del personal a su servicio y de quienes estén vinculados a ellas por una relación contractual.” En el presente supuesto no se ha producido una interpretación restrictiva de la Agencia, sino que el artículo 15 del RLOPD fija claramente su cumplimiento dentro del proceso de formación del contrato, sin extenderlo al perfeccionamiento del contrato que BANCO CETELEM sitúa en la entrega del objeto del préstamo. Se trata de permitir al afectado la posibilidad de no otorgar su consentimiento para un tratamiento de datos personales para fines distintos al objeto del mantenimiento y desarrollo o control de la relación contractual en el momento de celebración del contrato, en cuyas condiciones generales se incluye el mecanismo ahora analizado. De esta forma, las llamadas a un número de teléfono gratuito con posterioridad a la celebración del contrato para no recibir publicidad no se enmarcarían en la situación prevista en el artículo 15 del RLOPD, sino en lo recogida en el artículo 51.2 del mismo Reglamento, cuyo literal figura transcrito en el Fundamento de Derecho anterior, como manifestación del derecho de los afectados a oponerse al tratamiento de los datos que le conciernan, o, en su caso, en la prevista en el artículo 17.1 del citado Reglamento cuando supongan la revocación de un consentimiento válidamente obtenido, como se desprende del tenor literal del mismo, que es el siguiente: “ Artículo 17. Revocación del consentimiento. 1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. En particular, se considerará ajustado al presente reglamento el procedimiento en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento o la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, los supuestos en que el responsable establezca como medio para que el interesado pueda manifestar su negativa al tratamiento el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste adicional al interesado. “ Es decir, aunque la llamada a un número de teléfono gratuito sea un mecanismo sencillo y gratuito para manifestar válidamente la negativa al tratamiento de datos en los supuestos concretos contemplados en los artículos 14.4 y 51.2 del citado Reglamento o para revocar el consentimiento anteriormente otorgado conforme lo previsto en el artículo 17.1 del mismo Reglamento, no se produce la analogía planteada por la entidad imputada entre dichos preceptos con el caso que nos ocupa, regulado expresamente en el artículo 15 del RLOPD por referirse a la solicitud del consentimiento producida en el marco de una relación contractual para fines no relacionados directamente con la misma. De este modo, en el supuesto analizado los hechos imputados vulneran, conforme a las anteriores consideraciones y a las efectuadas en los Fundamentos de Derecho precedentes, lo previsto en el artículo 6.1 de la LOPD en su relación con lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/24 dispuesto en el artículo 15 del RDLOPD, conducta que está tipificada como infracción grave en el artículo 44.3.
  7. b)de la LOPD. En consecuencia, no se ha vulnerado el principio de legalidad ya que es la propia LOPD la que atribuye el ejercicio de la potestad sancionadora a la AEPD en los supuestos de existencia de posible infracción a lo previsto en el artículo 44.3 .
  8. b)de dicha norma. En cuanto a la vulneración del principio de culpabilidad invocado por BANCO CETELEM, cabe señalar lo dispuesto en el artículo 130.1 de la citada Ley 30/1992, de 26 de noviembre, que establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.” Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados al BANCO CETELEM de acuerdo con las circunstancias antes expresadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/24 El artículo 137.1 de la LRJ-PAC establece que: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Así, obran en el expediente suficientes elementos de prueba que permiten fijar los hechos constitutivos de la infracción imputada y motivar la responsabilidad de BANCO CETELEM en la comisión de los mismos. De este modo, la AEPD ha acreditado en el procedimiento que nos ocupa que esa entidad ha realizado un tratamiento publicitario de los datos personales del denunciante sin contar el consentimiento inequívoco del mismo para ello. Todo lo cual lleva a rechazar que se haya vulnerado el principio de presunción de inocencia recogido en el mencionado artículo 137 de la LRJPAC. Asimismo, no cabe aplicar al presente supuesto el principio “in dubio pro reo” que obliga en caso de duda respecto de un hecho concreto y determinante a resolver dicha duda del modo más favorable al interesado, puesto que por esta Agencia se ha enervado que la llamada al número gratuito ofrecido en el contrato constituyese un procedimiento de oposición equivalente al de la casilla que se cita en artículo 15 del RLOPD, existiendo, además, prueba de cargo suficiente obtenida en base a medios probatorios lícitos que sustenta la infracción al principio del consentimiento imputada. Téngase en cuenta que lo que garantiza el principio de presunción de inocencia es que ésta sólo puede destruirse, como ha señalado el Tribunal Constitucional en su Sentencia 120/1994, de 25 de abril, “cuando un Tribunal independiente, imparcial y establecido por la Ley declara la culpabilidad de una persona tras un proceso celebrado con todas las garantías, al cual se aporte una suficiente prueba de cargo”. VII Manifiesta también BANCO CETELEM que hay archivos resueltos por la Agencia en supuestos similares. La resolución de archivo de las actuaciones previas de investigación nº.: E/00593/2012, cuya analogía se pretende, se refiere a 16 denuncias relacionadas, en unos casos, con el envío de una carta informativa sin tener relación con la entidad denunciada y, en otros casos, motivadas en la falta de funcionamiento del procedimiento establecido por el responsable del tratamiento para el ejercicio de los derechos ARCO. El archivo se sustenta en que de lo actuado se comprobó que todos los denunciantes tenían relación con la entidad denunciada (clientes activos) y que el procedimiento establecido para el ejercicio de los derechos ARCO cumplía con la normativa de protección de datos. En ningún caso, se está refiriendo a un tratamiento publicitario También se arguye que el ofrecimiento a los titulares de los datos de dicho mecanismo de revocación del consentimiento es plenamente válido y respeta la normativa vigente, citando a modo de ejemplo el informe del Gabinete Jurídico de la AEPD 0047/2009. Dicho informe no se ajusta al caso actualmente analizado, ya que la conclusión que sigue al texto transcrito en las alegaciones, que no ha sido incluida en las mismas, es la siguiente: “En atención a lo señalado, debe concluirse que la llamada de teléfono a un número 902 de tarificación adicional, que implica un coste para el afectado, no se encuentra entre los procedimientos permitidos por la LOPD y su Reglamento para oponerse al uso con fines de publicidad y promoción comercial de los productos dela consultante”. Dicho texto debe ponerse en relación con la cláusula relativa al cumplimiento del deber de información que el consultante sugiere y , en especial, con la llamada a un número telefónico de tarificación adicional como posible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/24 medio ofrecido para el ejercicio de los derechos ARCO. Tampoco enervan la comisión de la infracción grave a la LOPD imputada a BANCO CETELEM las Sentencias de la Audiencia Nacional de 22 de marzo de 2012, RJCA 2012/277, 24 de julio de 2012 o 16 de junio de 2011, citadas por esa entidad, toda vez que no se refieren a infracciones a la normativa de protección de datos, sino a infracciones tipificadas en otra norma, en concreto en la Ley 34/2022, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Efectivamente, el ofrecimiento al titular de los datos de una casilla no marcada en el documento que se le entrega para la celebración del contrato no es el único medio para dar opción al cliente a negarse al uso del dato con fines diferentes a los del objeto del contrato. Conforme a lo previsto en el artículo 15 del RLOPD cabe el establecimiento de un procedimiento equivalente que permita al afectado manifestar su negativa expresa al tratamiento, siempre que dicha oposición, cuando se produzca, se pueda llevar a cabo por el titular de los datos en el proceso de la formación del contrato a través de un mecanismo que permita constatar la manifestación de dicha negativa en ese mismo proceso, al igual que ocurre con la casilla no marcada claramente visible incluida en el documento entregado para la celebración del contrato a la que se refiere el reseñado precepto. Por otra parte la referencia contenida en la página nº 22 de la Guía del Responsable de Ficheros, publicada en la página web de la AEPD, a la validez del establecimiento de un número de teléfono gratuito para que el titular de los datos manifieste su negativa no se refiere al supuesto contemplado en el artículo 15 del Reglamento de desarrollo de la LOPD, sino al supuesto regulado en el artículo 14 del mismo Reglamento, y que resulta de aplicación a los casos en los que el responsable del fichero ya posee lícitamente los datos del afectado y desea utilizarlos para una finalidad para la que no cuenta con su consentimiento, tal y como se evidencia del tenor literal del mismo que es el que sigue: “Artículo 14. Forma de recabar el consentimiento. 1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. 4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/24 reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. 5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud.” VIII Dispone el artículo 44.3.
  9. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento publicitario de los datos personales del denunciante por parte de BANCO CETELEM sin mediar la exigibilidad del consentimiento inequívoco del afectado para ello, no resultando tampoco legitimado por ninguna Ley ni siendo de aplicación las excepciones al consentimiento previstas en el artículo 6.2 de la LOPD. IX El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/24
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. A este respecto, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En el presente caso se considera que concurre el supuesto contemplado en el artículo 45.5.
  25. b)de la LOPD a la vista de la rápida subsanación de la situación irregular en cuanto BANCO CETELEM tuvo conocimiento de la oposición del denunciante al tratamiento publicitario de sus datos, lo que ocurrió incluso antes de que se recibiese la denuncia en la AEPD. Consta en el expediente que dicha entidad tuvo conocimiento de tal negativa con fecha 18 de diciembre de 2014 mediante escrito recibido de la OMIC de la Mancomunidad de Servicios Uribe Kosta, obrando también en el procedimiento que el día 19 de diciembre de 2014 contestó a la OMIC indicando que se habían adoptado las medidas oportunas para que cesasen los envíos de ofertas comerciales y para bloquear los datos personales del afectado. Asimismo, BANCO CETELEM, en apoyo de sus manifestaciones relativas a que el denunciante no había comunicado dicha negativa con anterioridad a través del número 900 gratuito, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/24 ha aportado certificado expedido por la empresa que le presta los servicios de red inteligente en el que consta que no existen llamadas recibidas desde ninguno de los teléfonos asociados al expediente del denunciante con destino al número 900. Con arreglo a lo dispuesto en el artículo 45.5.
  26. b)de la LOPD procede imponer una sanción comprendida en el rango de las infracciones leves, fijado entre 900 € y 40.000 € en el artículo 45.1 de la misma norma. Dado que en este supuesto no se está ante una conducta dolosa, la entidad imputada resulta responsable de la comisión de la conculcación del principio del consentimiento a título de culpa, y ello debido a la falta de diligencia mostrada para asegurarse de la validez del procedimiento de oposición al uso publicitario de los datos del afectado ofrecido en el contrato de préstamo mercantil. Esta falta de cuidado se extendió tanto en el proceso de formación del contrato como durante el período transcurrido hasta que se adoptaron las medidas oportunas de exclusión de tal tratamiento, sin que el hecho de que BANCO CELETEM haya seguido el procedimiento previamente implantado por su parte para, durante el proceso de formación de un contrato de préstamo mercantil, solicitar el consentimiento del afectado al tratamiento de sus datos personales para fines publicitarios suponga, como pretende la entidad imputada , que el mecanismo ofrecido responda válidamente a los requisitos fijados en el artículo 15 del RLOPD. Por lo que, no siendo tampoco la infracción descrita consecuencia de una anomalía en el funcionamiento de dicho procedimiento no debida a una falta de diligencia exigible al infractor , no cabe considerar que en este caso concurra el criterio
  27. j)del apartado 4 del artículo 45. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Ya teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se considera que operan como circunstancias agravantes el carácter continuado de la infracción (apartado a), la estrecha vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, lo que lleva a exigir a dicha empresa un escrupuloso conocimiento de la LOPD y su Reglamento de desarrollo a fin de dar cumplimiento a los principios y garantías de los titulares de los datos recogidas en dicha normativa, (apartado c). A su vez, se estima que operan como circunstancias atenuantes tanto la falta de constancia de que la infractora haya obtenido beneficios como consecuencia de la comisión de la infracción (apartado e), como que a raíz de la misma se hayan ocasionado perjuicios al denunciante o a terceras personas (apartado h). Con arreglo a los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, se considera adecuado a la gravedad de los hechos imponer a la entidad imputada una sanción en la cuantía de 10.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO CETELEM, S.A., por una infracción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/24 artículo 6.1 de la LOPD en relación con el artículo 15 del RLOPD, tipificada como grave en el artículo 44.3.
  28. b)de la LOPD, una multa de 10.000 € ( Diez mil euros), de conformidad con lo establecido en los apartados 2, 4 y 5.
  29. b)del artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución al B.B.B.. BANCO CETELEM, S.A. y a TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.