← España

PS-00662-2016

1/14 Procedimiento Nº PS/00662/2016 RESOLUCIÓN: R/01185/2017 En el procedimiento sancionador PS/00662/2016, instruido por la Agencia Española de Protección de Datos a la entidad DML 21 PLUS, S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21/01/2016, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que ha recibido de la entidad DML 21 PLUS, S.L. (en lo sucesivo DML 21 PLUS) una carta dirigida a su domicilio con una oferta publicitaria, constando en la misma que la información procede de la entidad MASS MEDIA LASER, S.L. (en lo sucesivo MASS MEDIA LASER). Con su denuncia, aporta una carta remitida a su nombre, en la que figura su nombre, la calle y número (el mismo domicilio que consta en el censo electoral). En esta carta se convoca al denunciante, de forma nominativa, a una presentación comercial de la entidad DML 21 PLUS en el “Complejo #####”, a celebrar en fecha 06/05/2015. En el mismo se indica que por la asistencia a la presentación, el destinatario del envío recibirá los regalos que se detallan Al pie del folleto publicitario postal figura la siguiente advertencia: “La información y personalización de este envío han sido realizadas por MASS MEDIA LÁSER, S.L., (C/...1)Madrid, Tel: ***TEL.1, y proceden de fuentes accesibles al público, donde usted podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición”. El mencionado envío publicitario también contiene un formulario “Datos a completar del titular y cónyuge”, que recaba datos de carácter personal de los interesados relativos a nombre, DNI, teléfono, fecha de nacimiento y firma; así como un formulario para cumplimentar con los datos personales de una “pareja amiga”, con campos para cumplimentar con el nombre y apellidos, DNI, fecha de nacimiento, dirección y teléfono. Respecto de los datos personales recogidos a través de los mencionados formularios, al pie del anverso del envío se incluye la siguiente cláusula informativa: “De conformidad con la Ley Orgánica 15/1999, de Protección de Datos Personales y a través de la cumplimento del presente formulario, Ud. presta su consentimiento para el tratamiento de sus datos personales facilitados que serán incorporados al fichero “Clientes y proveedores”, titularidad de la empresa DML 21 PLUS, inscrito en el Registro General de la Agencia Española de Protección de Datos, cuya finalidad es la prospección comercial, así como el envío de información sobre nuestros productos y servicios. Igualmente informamos que podrá ejercer los derechos de acceso, rectificación, cancelación y oposición establecidos en dicha Ley a través de carta certificada, adjuntando fotocopia de su DNI/Pasaporte, en la siguiente dirección: DML 21 PLUS, S.L., Departamento de atención al Cliente. (C/...2) - Madrid... En este sentido, le indicamos que dispone de treinta días para manifestar, por escrito, su negativa al tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 descrito. Si transcurrido dicho plazo no hubiese manifestado su disconformidad, se entenderá que consiente tácitamente el tratamiento de sus datos en los términos indicados anteriormente”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones siguientes: 1. MASS MEDIA LASER y DML 21 PLUS suscribieron un contrato de fecha 01/11/2014, en virtud del cual aquella prestara a ésta, entre otros, los servicios de asesoramiento publicitario y de marketing directo en campañas publicitarias para la promoción de sus productos y servicios, así como la recopilación y segmentación de los datos personales de los destinatarios y la confrontación de los datos personales con la Lista Robinson de FECEMD (actualmente AIDIGITAL). Dicho contrato fue aportado en la inspección realizada a MASS MEDIA LASER. Entre otras, en dicho contrato se convienen las estipulaciones siguientes: “I. Constituye el objeto del presente Contrato la determinación de la forma y condiciones en que PROVEEDOR DE DIRECCIONES llevará a cabo la prestación a CLIENTE, de los servicios siguientes (

  1. i)El asesoramiento publicitario y de marketing directo en las campañas publicitarias de promoción de los productos y servicios de CLIENTE, y en especial, su creatividad y diseño. (
  2. ii)La recopilación y segmentación de los datos de carácter personal de los destinatarios de los envíos publicitarios, titularidad de PROVEEDOR DE DIRECCIONES, para su correcta utilización en las campañas de marketing de CLIENTE. La determinación de los criterios de recopilación, segmentación, y utilización de datos corresponderá exclusivamente a PROVEEDOR DE DIRECCIONES, quien procurará, con la diligencia de todo buen empresario, dar respuesta a las características generales de la campaña de marketing que, en cada caso, resulte más adecuada para la promoción de los productos y servicios del cliente. (iii). La confrontación de los datos de carácter personal con la Lista Robinson de la FECEMD (Federación Española de Comercio Electrónico y Marketing Directo), con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. (iv). Impresión matricial, láser e ink-jet y personalización de los documentos publicitarios a enviar. (…) II. La prestación de los servicios descritos en el apartado I será realizada por PROVEEDOR DE DIRECCIONES teniendo en cuenta las siguientes premisas: (
  3. i)PROVEEDOR DE DIRECCIONES efectuará el diseño de la campaña de marketing que resulte más conveniente a los intereses publicitarios del cliente en cada caso, decidiendo el ámbito material y geográfico de dicha campaña, así como los objetivos y destinatarios de la misma. (…) IX. PROVEEDOR DE DIRECCIONES en la prestación de los servicios objeto del presente Contrato, se obliga a: (…) (iii) La petición de prestación de servicios por parte de CLIENTE a PROVEEDOR DE DIRECCIONES podrá realizarse por escrito, mediante fax dirigido al número ***FAX.1, por medio de correo electrónico a la dirección .....@yahoo es, o por vía telefónica, en el número ***FAX.1”. 2. Mediante correo electrónico de fecha 27/04/2015, la entidad DML 21 PLUS solicitó una reserva de salón a “Complejo #####” para el día 06/05/2015 y mediante transferencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 fecha 05/05/2015 se realizó el pago de dicha reserva, según se desprende de los documentos aportados por “Complejo #####”. Aparece como número de teléfono de contacto de DML 21 PLUS el ***TEL.2. 3. El número de teléfono ***TEL.2 ha estado asignado a la entidad DML 21 PLUS, con domicilio en (C/...2) entre el 18/10/2014 y el 22/02/2016, según informó Telefónica de España, S.A. 4. Mediante escrito de fecha 21/05/2016 se solicitó información a DML 21 PLUS. Dicho escrito fue devuelto por el servicio de Correos como desconocido en fecha 30/05/2016. 5. Mediante escrito de fecha 26 de julio de 2016, la Policía Municipal de Alcorcón informó, respecto de las averiguaciones realizadas acerca de DML 21 PLUS, con domicilio social en esa localidad, que en el local sede de dicha no se observa actividad comercial alguna y se aprecian síntomas de suciedad y posible abandono. En la puerta de acceso figura un logotipo de la empresa M.R. Magic Response. Indagando en naves vecinas, informaron que desconocen si la empresa de referencia ha estado ubicada en la zona y que en el local en cuestión no se observa que accedan personas desde hace varios meses. En la entrada de carruajes consta una placa de vado titularidad de un particular distinto a los citados por la Agencia en la solicitud de información remitida. 6. En fecha 15/09/2016 se realizó inspección en MASS MEDIA LASER. Durante la misma, los representantes de la entidad realizaron las siguientes manifestaciones: a. La entidad se dedica a la personalización de cartas publicitarias. b. A tal fin, recibe los formularios a personalizar de la entidad MAGIC RESPONSE, S.L. (en lo sucesivo MAGIC RESPONSE), rellena los formularios con las direcciones de los destinatarios y el lugar y fecha de las convocatorias de la orden de trabajo y, una vez rellenos, son retirados por MAGIC RESPONSE quien posteriormente los ensobra y pone en correos. c. La entidad recibe las órdenes de trabajo por vía telefónica y/o por fax de la empresa cliente, que es quien fija el local y fecha de la convocatoria. Por vía telefónica concretan los códigos postales y el número de envíos a realizar. d. Una vez realizada la campaña, se remite al contable externo de la entidad por correo electrónico los volúmenes e importes a facturar a cada cliente. Los clientes realizan el pago de las facturas mediante ingreso en la cuenta de la entidad. e. Se solicitó al inspeccionado el origen de los datos utilizados para las campañas, informando que el mismo son los ficheros de acceso público de la Comisión Nacional de los Mercados y la Competencia. Por la Inspección de Datos se realizó una consulta a las páginas blancas y se comprobó que el denunciante no figura en ellas. 7. Los inspectores de la Agencia solicitaron al representante de MASS MEDIA LASER que les permitiera el acceso a los sistemas de información de la entidad, realizándose las siguientes comprobaciones: a. Se solicitó acceso al planning de campañas realizadas, realizándose una búsqueda sobre las campañas de mayo de 2015 filtrado con el criterio de cliente igual a DML 21. Aparecieron numerosos registros, por lo que se realizó un nuevo filtrado correspondiente a la población de Moguer, observándose que se corresponde con la orden de trabajo 1955. Según dichos datos, MASS MEDIA LASER recibió el encargo de emisión de la campaña C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 publicitaria en fecha 21/04/2014 para el evento a celebrar en Moguer el día 06/05/2015. b. Se solicitó a la inspeccionada copia de la orden de trabajo 1955, que no fue aportada. c. Asimismo, aportó siete facturas emitidas a DML 21 PLUS, correspondientes al período del 27/03 al 08/05/2015. Señalan los inspectores que en las mismas no existe detalle del número de unidades facturadas ni de las órdenes de trabajo a las que se corresponden, manifestando la citada entidad que dicha información se remite al contable de la misma, no disponiendo de ella en ese momento. d. Se realizan una consulta de las bases de datos en formato Access disponibles, accediendo a la base de datos denominada OD21, observándose que dispone de 30825 registros y que figuran en ellos información relativa al nombre, vía y número de la vía, así como número de teléfono. No se observa que aparezca el piso y la puerta. Se realiza un acceso a los ficheros que, según informa la entidad, fue utilizado para cumplir con la orden de trabajo 1955, realizándose una consulta con el criterio XXXX, no encontrándose datos correspondientes a dicho criterio. Realizada una consulta relativa a XXXX no aparece dicho nombre. Se realiza una búsqueda de dicho nombre en todo el ordenador, y no aparece referencia alguna a dicho nombre. e. Consultada la base de datos denominada OD21 se observa que no dispone de un campo para almacenar el número de teléfono, pero el fichero que contiene los datos utilizados para la orden de trabajo 1955 sí que muestra para cada uno de los registro el número de teléfono. Consultada sobre el particular, manifiesta que puede ser que se haya borrado ese dato en el fichero original del que se obtuvieron los datos de la campaña. f. Se buscan las cartas generadas a DML 21 PLUS, encontrándose que las más recientes están fechadas el 19/02/2016. g. Realizadas diversas búsquedas con el criterio XXXX, no fue posible encontrar los datos relativos al denunciante. h. Se buscó XXXX tanto en bajas en papel como en el fichero de bajas disponible en el ordenador, no encontrándose referencia alguna a dicho nombre. 8. DML 21 PLUS es una microempresa con un solo empleado y una facturación de 61.713 euros. 9. MASS MEDIA LASER ha cobrado por los servicios que proporciona a DML 21 PLUS para la realización de sus ventas. TERCERO: Con fecha 13/01/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad DML 21 PLUS, por la presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  4. b)de la citada Ley Orgánica; así como por la presunta infracción del artículo 17.2 de la LOPD, tipificada como grave en el artículo 44.3.
  5. e)de la misma Ley Orgánica. A los efectos previstos en el artículo 64.2.
  6. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y el artículo 127, letra b), del RLOPD, en el citado acuerdo de apertura se determinó que la sanción que pudiera corresponder por las infracciones descritas sería de 3.500 euros para la primera infracción, por vulneración de lo establecido en el artículo 6.1 de la LOPD, y de 2.500 euros para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 la segunda, por vulneración de lo establecido en el artículo 17.2 de la LOPD, sin perjuicio de lo que resultase de la instrucción. CUARTO: Ante la imposibilidad de notificar en el domicilio de la entidad interesada, el acuerdo de apertura del presente procedimiento sancionador fue notificado según el procedimiento establecido en los artículos 44, 45 y 46 de la LPACAP, mediante Anuncio publicado en el BOE núm. 26, de 31/01/2017. Transcurrido el plazo concedido a la denunciada para formular alegaciones sin que se haya recibido escrito alguno, procede a elevar el procedimiento a la Directora de la Agencia Española de Protección de Datos a los efectos de dictar resolución al respecto, dado que en la notificación del acuerdo de apertura del procedimiento se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entendería el mismo como propuesta de resolución en virtud de lo previsto en el artículo 64.2.
  7. f)de la citada Ley 39/2015. HECHOS PROBADOS 1. Con fecha 28/03/2016, por la Inspección de Datos se comprobó que el denunciante no figura en repertorios telefónicos. 2. El denunciante recibió de la entidad DML 21 PLUS una carta dirigida a su domicilio con una oferta publicitaria, invitándole a una presentación comercial a celebrar en fecha 06/05/2015 en el “Complejo #####”. En dicha carta constan los datos personales del denunciante relativos a nombre, apellidos, calle, número, código postal, municipio y provincia, y se informa que esta información procede de la entidad MASS MEDIA LASER. El mencionado envío publicitario también contiene un formulario “Datos a completar del titular y cónyuge”, que recaba datos de carácter personal de los interesados relativos a nombre, DNI, teléfono, fecha de nacimiento y firma; así como un formulario para cumplimentar con los datos personales de una “pareja amiga”, con campos para cumplimentar con el nombre y apellidos, DNI, fecha de nacimiento, dirección y teléfono. Respecto de los datos personales recogidos a través de los mencionados formularios, al pie del anverso del envío se incluye la siguiente cláusula informativa: “De conformidad con la Ley Orgánica 15/1999, de Protección de Datos Personales y a través de la cumplimento del presente formulario, Ud. presta su consentimiento para el tratamiento de sus datos personales facilitados que serán incorporados al fichero “Clientes y proveedores”, titularidad de la empresa DML 21 PLUS, inscrito en el Registro General de la Agencia Española de Protección de Datos, cuya finalidad es la prospección comercial, así como el envío de información sobre nuestros productos y servicios. Igualmente informamos que podrá ejercer los derechos de acceso, rectificación, cancelación y oposición establecidos en dicha Ley a través de carta certificada, adjuntando fotocopia de su DNI/Pasaporte, en la siguiente dirección: DML 21 PLUS, S.L., Departamento de atención al Cliente. (C/...2) - Madrid... En este sentido, le indicamos que dispone de treinta días para manifestar, por escrito, su negativa al tratamiento descrito. Si transcurrido dicho plazo no hubiese manifestado su disconformidad, se entenderá que consiente tácitamente el tratamiento de sus datos en los términos indicados anteriormente”. 3. Mediante correo electrónico de fecha 27/04/2015, la entidad DML 21 PLUS solicitó una reserva C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 de salón a “Complejo #####” para el día 06/05/2015 y mediante transferencia de fecha 05/05/2015 se realizó el pago de la misma. 4. MASS MEDIA LASER y DML 21 PLUS suscribieron un contrato de fecha 01/11/2014, en virtud del cual aquella prestara a ésta, entre otros, los servicios de asesoramiento publicitario y de marketing directo en campañas publicitarias para la promoción de sus productos y servicios, así como la recopilación y segmentación de los datos personales de los destinatarios y la confrontación de los datos personales con la Lista Robinson. Entre otras, en dicho contrato se convienen las estipulaciones que constan reseñadas en el Antecedente Segundo. 5. En visita de inspección realizada a la entidad MASS MEDIA LASER, los Servicios de la AEPD verificaron el planning de campañas realizadas por dicha entidad en mayo de 2015 para el cliente DML 21 PLUS, comprobando que figuraba un registro correspondiente a la población de Moguer. Según los datos verificados, MASS MEDIA LASER recibió el encargo de emisión de la campaña publicitaria en fecha 21/04/2014 para el evento a celebrar en Moguer el día 06/05/2015. 6. Los representantes de MASS MEDIA LASER manifestaron a los Servicios de Inspección de la AEPD, en relación con la determinación de los destinatarios de las campañas que realiza, que recibe las órdenes de trabajo por vía telefónica y/o por fax de la empresa cliente, que es quien fija el local y fecha de la convocatoria. Por vía telefónica concretan los códigos postales y el número de envíos a realizar. 7. En relación con el origen de los datos utilizados para las campañas, los representantes de MASS MEDIA LASER manifestaron a los Servicios de Inspección de la AEPD que tales datos proceden de los ficheros de acceso público de la Comisión Nacional de los Mercados y la Competencia. 8. Los Servicios de Inspección accedieron a los ficheros que, según MASS MEDIA LASER, se utilizaron para cumplir con la orden de trabajo en cargada por DML 21 PLUS para el evento celebrado en el “Complejo #####” el 06/05/2015, realizándose una consulta con los apellidos del denunciante como criterio, no encontrándose ningún resultado. Se realizó, asimismo, una búsqueda de dicho nombre en todo el ordenador y tampoco apareció referencia alguna a dicho nombre. De la misma forma, en la documentación correspondiente a las bajas y en el fichero de bajas disponible en el ordenador no se encontraron referencias al nombre del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
  9. f)de la LPACAP establece que el acuerdo de iniciación de un procedimiento sancionador se notificará al interesado haciendo constar en dicha notificación que, de no efectuar alegaciones sobre el contenido, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. En este caso, en el acuerdo de inicio de la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Protección de Datos se hacía referencia a este artículo, advirtiendo al denunciado sobre las consecuencias de no efectuar alegaciones. Dicho Acuerdo contiene un pronunciamiento preciso sobre la infracción imputada al mismo. III El artículo 43.1 de la LOPD establece que “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Y el artículo 3 de la citada Ley Orgánica define el concepto de responsable del tratamiento como la “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” IV El artículo 6 de la LOPD establece lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. En el presente caso, se analiza la utilización de los datos personales del denunciante para la realización de acciones de marketing directo, y se imputa una infracción de lo dispuesto en el artículo 6 citado, en relación con lo dispuesto en el artículo 30 de la misma Ley Orgánica y artículos 45 y 46 de su Reglamento de desarrollo (RDLOPD), al haber realizado dicho tratamiento de datos sin haber obtenido previamente el consentimiento del afectado y sin que exista causa que lo dispense. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  10. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  11. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  12. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Y el artículo 46 del RDLOPD establece: “1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  13. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  14. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  15. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 En el presente caso ha resultado acreditado que DML 21 PLUS realizó una campaña publicitaria cuyos destinatarios eran las personas que constaban en los ficheros de MASS MEDIA LASER, el denunciante entre ellos, y que no disponía del consentimiento del mismo para dicho tratamiento de datos. DML 21 PLUS ha de considerarse responsable del tratamiento de acuerdo con lo dispuesto en el citado artículo 46.2.
  16. a)del RDLOPD, por cuanto determina los parámetros identificativos de los destinatarios. A esta conclusión se llega por las propias manifestaciones realizadas a los Servicios de Inspección de la AEPD por los representantes de MASS MEDIA LASER durante la fase de Actuaciones Previas de Inspección, ya que da instrucciones sobre los destinatarios fijando variables como el código postal, y de acuerdo con dichas instrucciones MASS MEDIA LASER extrae de su fichero los destinatarios de la campaña. Es decir, sin la “acotación” de destinatarios que hace DML 21 PLUS el proveedor de base de datos, MASS MEDIA LASER no tendría indicación alguna sobre los destinatarios. La indicación de determinados “valores” es lo que el artículo 46.4 del RDLOPD denomina parámetros identificativos de los destinatarios, considerando como tal las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. Es, por tanto, irrelevante que el contrato suscrito por DML 21 PLUS y MASS MEDIA LASER indique que corresponde al proveedor de direcciones determinar los criterios de recopilación y segmentación, cuando ha sido acreditado que no es así. Por otra parte, DML 21 PLUS no ha acreditado medida alguna que ponga de manifiesto la diligencia prestada en la contratación y ejecución de la campaña publicitaria, en el sentido expresado por el artículo 46.3 del RDLOPD, siendo insuficiente a estos efectos lo recogido en el contrato. Sobre esta cuestión se pronunció la Sentencia de la Audiencia Nacional de fecha 30/04/2015, recaída en el Recurso Contencioso-Administrativo núm. 242/2013, que analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. En definitiva, de acuerdo con lo dispuesto en el artículo 43 de la LOPD, DML 21 PLUS ostenta un estatus jurídico susceptible de generar responsabilidad por incumplimiento de la LOPD. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 El artículo 44.3.
  17. b)de la LOPD considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” De acuerdo con lo dispuesto en el artículo 6 de la LOPD, ni MASS MEDIA LASER, S.L. ni DML 21 PLUS han acreditado que tenían el consentimiento del denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Además, las entidades denunciadas no han presentado ninguna prueba que pueda evidenciar el origen lícito de los datos del denunciante, que no figuraban en fuente accesible al público. MASS MEDIA LASER S.L. creo un fichero de datos personales de la localidad de Moguer sobre otro del que es titular, y por cuenta de DML 21 PLUS los sometió a tratamiento utilizando los datos para la realización de una comunicación postal publicitaria, no habiendo acreditado ninguna circunstancia que legitime dicho tratamiento de datos. En el presente caso, respecto del tratamiento de datos realizado por cuenta de DML 21 PLUS, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales para el que era exigible el consentimiento del afectado, no siendo aplicable ninguna de las excepciones previstas al caso concreto, de modo que los datos personales del denunciante no podían utilizarse para acciones de marketing. VI El artículo 17.2 de la LOPD dispone en cuanto al “Procedimiento de oposición, acceso, rectificación o cancelación” que: “No se exigirá contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación.” Por su parte, el artículo 24 del RLOPD establece en cuanto a las “Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición” que: “El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado”. El mismo artículo 30 de la LOPD antes citado, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, también determina en su apartado 4 que los interesados tendrán derecho a oponerse al tratamiento de los datos, previa petición y sin gastos. En este caso, la comunicación publicitaria objeto de la denuncia contiene un formulario “Datos a completar del titular y cónyuge”, que recaba datos de carácter personal de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 interesados relativos a nombre, DNI, teléfono, fecha de nacimiento y firma; así como un formulario para cumplimentar con los datos personales de una “pareja amiga”, con campos para cumplimentar con el nombre y apellidos, DNI, fecha de nacimiento, dirección y teléfono. Respecto de los datos personales recogidos a través de los mencionados formularios, al pie del anverso del envío se informa a los afectados que la finalidad de la recogida de los datos personales es la prospección comercia y el envío de información sobre los productos y servicios de DML 21 PLUS. Igualmente se informa sobre la posibilidad de ejercer los derechos ARCO exigiendo que dicho ejercicio de derechos se realice “a través de carta certificada”. Este condicionamiento del ejercicio de los derechos de acceso, rectificación, cancelación y oposición a los titulares de los datos recabados a través del reseñado formulario al envío de un correo certificado por parte del afectado, en lugar de ofrecer un medio gratuito para su ejercicio, supone la comisión por parte de DML 21 PLUS de una infracción del artículo 17.2 de la LOPD en relación con lo dispuesto en el artículo 24.3 del RLOPD. Dicha infracción está tipificada como grave en el artículo 44.3.
  18. e)de la LOPD, que considera como tal: “
  19. e)El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición.”, pudiendo ser sancionada con multa de 40.001 euros a 300.000, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. VII El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En relación con el incumplimiento de lo establecido en el artículo 6 de la LOPD, tras las evidencias obtenidas en la fase de investigaciones previas, se considera, de conformidad con el art. 45.5 de la misma norma, que procede aplicar la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  35. a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
  36. b)y
  37. d)del artículo 45.4 de la LOPD: el volumen de los tratamientos no consentidos objeto del procedimiento afecta a los datos de carácter personal del denunciante en relación con un único envío postal (criterio b); DML 21 PLUS es una microempresa con un solo empleado y una facturación de 61.713 euros. Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave pero sancionarse conforme a las multas establecidas para las infracciones leves. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta la vinculación de la actividad de la entidad con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 realización de tratamientos de datos de carácter personal (criterio c); la falta de diligencia mostrada por DML 21 PLUS en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD (criterio f); la reiteración en la conducta, que se pone de manifiesto por la existencia de otros procedimientos seguidos contra la misma por hechos similares (criterio j); y, finalmente, que la infracción no tiene carácter continuado (criterio a). Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 3.500 euros por la infracción del artículo 6 de la LOPD. Por otra parte, en relación con la infracción de lo dispuesto en los artículos 17.2 de la LOPD y 24.3 del RLOPD, se considera igualmente aplicable lo establecido en el artículo 45.5 de la citada Ley Orgánica, imponiendo una sanción según la escala que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, al concurrir el supuesto previsto en el punto
  38. a)del citado artículo, que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad de la inculpada al concurrir en forma significativa los apartados
  39. d)y
  40. e)del artículo 45.4 de la LOPD, ello teniendo en cuenta que DML 21 PLUS es una microempresa y la falta de constancia de que la comisión de la infracción haya afectado al volumen de negocio de dicha entidad o generado beneficios a la misma. Asimismo, considerando las evidencias obtenidas, procede graduar la sanción a imponer de acuerdo con los siguientes criterios del artículo 45.4 de la LOPD, entendiendo que operan como circunstancias agravantes: el apartado
  41. a)debido al carácter continuado de la infracción, cuya comisión se extiende al plazo de tiempo que la inculpaba viene condicionando el ejercicio de los derechos ARCO a la remisión de carta certificada; apartado f), aunque no puede afirmarse que en el presente caso la entidad haya actuado intencionadamente o con dolo, se aprecia falta de diligencia en orden a facilitar el ejercicio de los mencionados derechos sin coste de ningún tipo para los titulares de los datos; criterio
  42. j)no consta que la entidad tuviese implantado con anterioridad a los hechos constitutivos de la posible infracción al artículo 44.3.
  43. e)de la LOPD un medio gratuito para el ejercicio de los derechos ARCO. Se entiende que opera como atenuante el criterio c), del artículo 45.4 de la LOPD en atención a la falta de vinculación directa de la actividad de la inculpada con la realización de continuos tratamientos de datos de carácter personal. Valorados los criterios de graduación de las sanciones previstos en el reseñado artículo 45.4 de la LOPD, procede sancionar a DML 21 PLUS por la infracción grave descrita con multa de 2.500 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DML 21 PLUS, S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  44. b)de la LOPD, una multa de 3.500 euros (tres mil quinientos euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: IMPONER a la entidad DML 21 PLUS, S.L., por una infracción del artículo 17.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 LOPD, en relación con el artículo 24.3 del RLOPD, tipificada como grave en el artículo 44.3.
  45. e)de la LOPD, una multa de 2.500 euros (dos mil quinientos euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a la entidad DML 21 PLUS, S.L. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.