← España

PS-00669-2016

1/21 Procedimiento Nº: PS/00669/2016 RESOLUCIÓN R/01285/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00669/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 20 de enero de 2017 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ORANGE ESPAGNE, S.A.U., mediante Acuerdo en cuya parte dispositiva constaba: <<SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAGNE, S.A.U. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD), por la presunta infracción del artículo 6.1 de la LOPD , tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica. 2. NOMBRAR como Instructor a ***INSTRUCTOR.1 y como Secretario a Don ***INSTRUCTOR.2, indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; solicitud de esta Agencia al denunciante de documentación adicional y contestación del mismo; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección E/002281/2016, todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
  2. b)de la ley 39/2015, de 1 de octubre de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y en el artículo 127 letra
  3. b)del RLOPD, la sanción que pudiera corresponderle sería de 2.000 € (Dos mil euros), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a ORANGE ESPAGNE, S.A.U. , indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
  4. f)del artículo 127 del RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 Asimismo, de conformidad con los artículos 64.2.
  5. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 400 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 400 euros . Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1.200 euros (Mil doscientos euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (1.600 euros o 1.200 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00669/2016 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
  6. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> SEGUNDO: Notificado el acuerdo de inicio, se registró de entrada con fecha 7 de febrero de 2017 escrito de alegaciones de la representación de la mencionada entidad. Posteriormente, con fecha 21 de febrero de 2017 la Instructora acordó iniciar periodo de práctica de pruebas, transcurrido el cual, con fecha 26 de abril de 2017, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 formuló la Propuesta de Resolución que a continuación se transcribe: <<Mediante Acuerdo de fecha 20 de enero de 2017 se inició procedimiento sancionador nº PS/00669/2016 instruido por la Agencia Española de Protección de Datos a ORANGE ESPAGNE, S.A.U. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de marzo de 2016 tiene entrada en esta Agencia un escrito de Don A.A.A., en adelante el denunciante, señalando que a pesar de estar inscrito en el Servicio de Lista Robinson de ADIGITAL para no recibir correo postal publicitario ha recibido en su domicilio un folleto publicitario de JAZZTEL promocionando la fibra óptica de dicho operador, en la actualidad ORANGE ESPAGNE, SAU y en adelante ORANGE o la denunciada. Dicho envío, cuya copia aporta, va dirigido al “SR/SRA. PROPIETARIO/A, (C/...1), SEVILLA.” Junto a la denuncia se anexa correo electrónico de “Confirmación alta en canal postal ciudadano mayor de 14 años” del Servicio Lista Robinson de la Asociación Española de Economía Digital, en adelante ADIGITAL, de fecha 17 de diciembre de 2015, dirigido a la cuenta de correo electrónico del denunciante confirmando que con esa fecha se habían registrado para su exclusión publicitaria, entre otros datos, los referentes a la dirección principal del denunciante, comprendiendo como tal su nombre y apellidos, la (C/...1). Con fecha 9 de mayo de 2016 se recibe escrito del denunciante, en contestación al requerimiento de esta Agencia efectuado al mismo de presentación de documentación de la que se infiera que es propietario de la reseñada vivienda, aportando Acta de la Convocatoria de junta Ordinaria de Propietarios del Conjunto Residencial “XXXX”, sito en ***LOCALIDAD.1, en (C/...2) y C/ (C/...1) 22, 24, en la que el denunciante figura como propietario de la vivienda sita en la C/ (C/...1) 1ºE PORTAL 24. SEGUNDO: A raíz de las actuaciones previas de investigación seguidas por los Servicios de Inspección de esta Agencia, con fecha 24 de octubre de 2016 se recibe en esta Agencia escrito de ORANGE, comunicando la siguiente información en relación con los hechos denunciados: 1. JAZZ TELECOM, SAU, en adelante JAZZTEL, fue absorbida por ORANGE en virtud de escritura de Fusión por absorción otorgada el 8 de febrero de 2016 ante notario. 2. Para los envíos publicitarios del presente expediente no se ha adquirido fichero alguno de direcciones postales, sino que se remiten a todas las viviendas de un edificio. 3. En el momento en que finalizan las obras de despliegue de fibra óptica en una determinada zona de edificios se procede a enviar a las viviendas de los edificios que gozan de esta nueva cobertura, un envío publicitario para dar a conocer dicho despliegue. 4. No se utilizan datos personales para la realización de dichos envíos, sino que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 publicidad va dirigida a todas las viviendas que conforman cada edificio en que se acaba de finalizar por parte de JAZZTEL (ahora ORANGE) las obras necesarias de instalación en dicho edificio. 5. En este buzoneo no se tratan datos de carácter personal de los destinatarios ni se adquiere un fichero con direcciones postales, sino que se obtienen las mismas de las propias actuaciones que los instaladores de JAZZTEL (ahora ORANGE) realizan en un edificio de viviendas. TERCERO: Con fecha 20 de enero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE, S.A.U., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.
  7. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, con fecha 7 de febrero de 2017 se registra de entrada en esta Agencia escrito de alegaciones de ORANGE solicitando el archivo de las actuaciones al no haberse tratado datos de carácter personal, ya que la publicidad remitida por JAZZTEL, ahora ORANGE, sólo contenía un domicilio postal e iba dirigida a todas las viviendas que conforman cada edificio en el que dicha compañía acababa de finalizar las obras de instalación. Se añade que con arreglo a la definición de datos de carácter personal de la LOPD y su Reglamento de desarrollo “la dirección postal, por si sola, no puede asociarse a una persona identificada o identificable. En las viviendas suelen convivir más de una persona, y en caso de que sólo viva una, se desconoce totalmente su identidad. Es por ello que, a la publicidad lanzada por JAZZTEL, no le resulta de aplicación la LOPD, al no existir tratamiento de datos de carácter personal.” Se plantea que siguiendo el criterio adoptado en la resolución R/0064/2012 de la AEPD debería procederse al archivo de las actuaciones, puesto que JAZZTEL en ningún momento trató datos de carácter personal, que refuerzan aduciendo que el uso de domicilios postales por si solos es asimilable al caso del uso de los teléfonos móviles mantenido por la Audiencia Nacional en Sentencia de 17 de septiembre de 2008. QUINTO: Con fecha 21 de febrero de 2017 se inició el período de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en cuyo marco se acordó: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE, el Informe de actuaciones previas de Inspección que forman parte del expediente E/02281/2016, las alegaciones al acuerdo de inicio PS/00669/2016 presentadas por ORANGE y la documentación que a ellas acompaña. Asimismo, se acordó solicitar a ORANGE contestación a los siguientes extremos y aportación de la siguiente documentación: - Aclaración de si el denunciante es C/ Jorge Juan, 6 28001 – Madrid o ha sido cliente de JAZZTEL o de www.agpd.es sedeagpd.gob.es 5/21 ORANGE, en cuyo caso se acreditarán los datos identificativos del afectado que obran en sus ficheros, en particular los relativos al domicilio del denunciante. - Acreditación de que las direcciones postales del edificio en que se encuentra el domicilio del denunciante fueron proporcionadas a JAZZTEL . por los instaladores de fibra óptica. - Procedimiento seguido para la utilización de la información facilitada por los instaladores a los efectos de su posterior utilización en campañas publicitarias. - Remisión de documentación acreditativa del plazo temporal exacto en que se inició y finalizó la campaña en la que el denunciante recibió el folleto postal publicitario objeto de denuncia, con justificación de la fecha exacta en la que se remitió al domicilio del denunciante el envío publicitario postal cuya copia se adjunta. - Aclaración de si la campaña en cuestión se realizó directamente por JAZZTEL o, en su caso, por ORANGE o se llevó a cabo a través de un tercero encargado del tratamiento, en cuyo caso se solicitaba remisión de la documentación contractual suscrita con el prestador de servicios, junto con copia de toda la documentación asociada a la campaña concreta en la que se enmarca el envío denunciado, como facturas, ordenes de trabajo, etc. - Especificación detallada de los parámetros identificativos de los destinatarios de la campaña, indicando si los mismos fueron fijados por JAZZTEL, ahora ORANGE, o por los terceros a los que se encargó su realización. Igualmente, con esa misma fecha se acordó solicitar al denunciante contestación a los siguientes extremos: - Indicación de la fecha exacta en que recibió en su domicilio el envío postal promocionando la fibra óptica de JAZZTEL aportado junto a su denuncia, o, en su caso, la fecha más aproximada a su recepción. - Especificación de si es o ha sido cliente de JAZZ TELECOM, S.A. o de ORANGE , en cuyo caso se solicitaba aportación de documentación acreditativa de dicha relación contractual. - Aclaración de si había solicitado ante las empresas anteriormente citadas el ejercicio de los derechos de oposición y/o cancelación de sus datos de carácter personal, en cuyo caso se solicitaba remisión de copia de los escritos de solicitud y de su contestación a los mismos por el responsable del fichero. SEXTO: Con fecha 3 de marzo de 2017 se registra de entrada en esta Agencia escrito de contestación del denunciante a las pruebas requeridas en el que manifiesta: -Que la fecha aproximada en que recibió en su domicilio el envío postal promocionando la fibra óptica de JAZZTEL fue el 18 de marzo de 2016. - Que nunca ha sido cliente de JAZZTEL, pero si del servicio de telefonía móvil de ORANGE. - Que no ejerció su derecho de oposición y/o cancelación al uso de sus datos de carácter personal ante ORANGE. SÉPTIMO: Con fecha 15 de marzo de 2017 se registra de entrada en esta Agencia escrito de contestación de ORANGE a las pruebas requeridas en el que manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 -Que el denunciante no ha sido cliente de JAZZEL ni de ORANGE. - Adjuntan: Documento 1: Fichero relativo al área de influencia próxima a la c/ (C/...1), en la localidad de ***LOCALIDAD.1 (Sevilla) y alrededores, tras los trabajos realizados por los instaladores de fibra óptica de esta compañía; Documento 2: Plano detallado de las obras de instalación efectuadas en la zona; Documento 3: Permiso de instalación de la Comunidad de Propietarios de la citada calle. - El proveedor encargado de prestar el servicio de imprenta y envío de los folletos publicitarios es la entidad QUINVER, S.L., que en ningún momento accede a datos personales de los destinatarios de dicha publicidad. Adjuntan como Documento 4 el Contrato formalizado entre JAZZTEL y QUINVER, S.L. - Las direcciones postales a las que se remiten envíos publicitarios no nominativos son determinadas por ORANGE. No obstante, el envío de folletos publicitarios no nominativos dirigidos s “Sr. /a Propietario/a” de una dirección postal incluida en el Catastro Inmobiliario no supone una vulneración a la LOPD al estar amparado en una Ley. ORANGE no trata datos personales para la realización de la campaña ni conoce la vinculación del Sr. Propietario de cada vivienda con el domicilio de la misma. Se adjunta como Documento nº 5 la base de datos de direcciones postales facilitada en marzo de 2016 a QUINVER, SL. Para el envío de los folletos publicitarios no nominativos relativos al despliegue de fibra óptica en determinadas zonas. OCTAVO: Con fecha 18 de abril de 2017 se accede al contenido del disco compacto adjuntado por ORANGE al escrito de contestación a las pruebas cuya práctica le fue requerida, incorporándose al procedimiento impresión de la siguiente documentación: Documento 1: Fichero relativo al área de influencia próxima a la (C/...1) en la localidad de ***LOCALIDAD.1 (Sevilla) y alrededores. Documento 2: Plano detallado de las obras de instalación efectuadas en la zona Documento 3: Permiso de instalación de la Comunidad de Propietarios de la (C/...1) Documento 4: “Contrato de Prestación de Servicios” firmado entre JAZZ TELECOM, S.A. y QUINVER, S.L. Documento 5: Información correspondiente a la dirección postal del denunciante, registrada en la fila ****** de la base de datos que ORANGE indica fue facilitada en marzo de 2016 a QUINVER, S.L.. NOVENO: Con fecha 25 de abril de 2017 se incorpora al procedimiento copia de la resolución nº R/00642/2012, dictada en el expediente nº TD/01689/2011 por el Director de la AEPD con fecha 7 de marzo de 2012, y a la que se refería ORANGE en su escrito de alegaciones al acuerdo de inicio. DÉCIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1) Con fecha 18 de marzo de 2016 se registra de entrada escrito de Don A.A.A., en adelante el denunciante, poniendo de manifiesto que ha recibido en su domicilio un folleto postal publicitario de JAZZEL, en la actualidad ORANGE, a pesar de estar inscrito en el Servicio de Lista Robinson de ADIGITAL. (folios 1 al 5) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 2) El denunciante ha aportado copia del folleto recibido promocionando el servicio de fibra óptica de JAZZTEL, que tiene como destinatario: (folio 3) “SR./SRA. PROPIETARIO/A (C/...1) ***CP.1 ***LOCALIDAD.1 SEVILLA” 3) En la información ofrecida en el folleto aportado por el denunciante relativa a las condiciones de la oferta figura: “JAZZTEL Marca Registrada Orange Espagne S.A.U. Promo hasta 31/10/16.(…)” .(folio 3) 4) El denunciante ha acreditado que es propietario de la vivienda sita en la (C/...1) ***LOCALIDAD.1 (Sevilla). (folios 8 al 12) 5) La dirección postal a la que se envió el folleto publicitario de JAZZTEL analizado está registrada en el Servicio Lista Robinson de ADIGITAL desde el 17 de diciembre de 2015 asociada, entre otros datos, al nombre y apellidos del denunciante. (folio 4l ) 6) Con fecha 30 de octubre de 2008 las empresas JAZZTEL y QUINVER, S.L. suscribieron “Contrato de Prestación de Servicios” para que ésta prestase a aquélla servicios de impresión y envío de publicidad con arreglo a lo dispuesto en el artículo 12 de la LOPD. (folios 61 al 71) En las estipulaciones Primera, Séptima y Novena del mencionado contrato se establece: “Primera. OBJETO constituye el objeto específico del presente contrato las siguientes funciones:
  8. a)Almacenamiento y custodia de los impresos y materiales recibidos, para la realización de cada trabajo, hasta terminar este.
  9. b)Informe cada dos días o cuando sea solicitado por JAZZTEL de la actividad realizada
  10. c)Personalización e impresión de cartas según las instrucciones dadas por JAZZTEL.
  11. d)Recogida de BBDO y de originales para la producción del trabajo.
  12. e)Personalización de sobres según las instrucciones dadas por Jazztel
  13. f)Plegado de cartas.
  14. g)Embuchado y manipulado según orden de trabajo para mailing. (…) Séptima. –PROTECCIÓN DE DATOS Las Partes cumplirán en todo momento lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (la “LOPD”) y demás normativa de desarrollo en materia de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 En particular, y en la medida en que QUINVER, S.L., tenga acceso a determinados de carácter personal de JAZZTEL, a los efectos de lo previsto en el artículo 12 de la LOPD, se compromete a: No aplicar o utilizar los Datos con otra finalidad distinta a la de dar cumplimiento a lo dispuesto en el presente Contrato. Tratar los datos únicamente conforme a las instrucciones de JAZZTEL en cada momento. No comunicar, ceder no transferir de ninguna forma a otras personas, ni siquiera para su conservación, los Datos y tratarlos de forma confidencial, incluso tras la terminación del contrato. (…) QUINVER, S.L. se compromete a no utilizar los datos de carácter personal que haya podido tener acceso con otra finalidad distinta a la de dar cumplimiento a lo dispuesto en las actividades a desarrollar en el contrato. En caso de que QUINVER, S.L., solicite la subcontratación de servicios que puedan incluir el acceso a datos personales de los que JAZZTEL sea responsable, QUINVER, S.L. queda obligado a especificar los servicios que puedan ser objeto de subcontratación y la empresa con la que se va a subcontratar, que el tratamiento de datos por parte del subcontratista se ajuste a las instrucciones de JAZZTEL. Que QUINVER, S.L .y el subcontratista formalicen un contrato que recoja las exigencias comprendidas en el RD 1720/2007 de desarrollo dela Ley de Protección de Datos de Carácter Personal. (…) Novena. CESIÓN O SUBCONTRATACIÓN 1. QUINVER, S.L. podrá subcontratar parte de los trabajos objeto de este contrato, previa autorización expresa y escrita de JAZZTEL.” 7) La base de datos de direcciones postales que según ORANGE se remitió en marzo de 2016 a QUINVER, S.L. para imprimir y enviar los folletos publicitarios relativos al servicio de fibra óptica de JAZZTEL incluye la dirección postal del denunciante (folios 53, 54 y 72). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos de conformidad con lo dispuesto en el artículo 37.
  15. g)en relación con el artículo 36 de la LOPD y el párrafo segundo del artículo 43.1 de la LSSI. II En el presente caso, con carácter previo a dilucidar si ORANGE es responsable de la comisión de una infracción a lo dispuesto en el artículo 6.1 de la LOPD, resulta necesario determinar si el envío de un folleto postal publicitario al “Sr/Sra Propietario/a” de la vivienda que coincide con la dirección del domicilio del denunciante, constituye un tratamiento de datos de carácter personal del denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 por la denunciada, para una vez fijada dicha circunstancia, analizar si tales hechos se ajustan al tipo de la infracción anteriormente descrita. ORANGE ha alegado que la realización de este tipo de envíos no nominativos no supone la utilización de datos personales, sino que la publicidad va dirigida a todas las viviendas de los edificios en los que se acababan de finalizar por JAZZTEL (ahora ORANGE) las obras de despliegue de fibra óptica, procediendo las direcciones postales utilizadas para los envíos de las propias actuaciones que los instaladores de JAZZTEL realizan en un edificio de viviendas. Para ello procede si la dirección del domicilio del denunciante se ajusta al concepto de dato de carácter personal fijada en la LOPD y su normativa de desarrollo. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
  16. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
  17. f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RLOPD, como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 5.1.
  18. o)del mismo Reglamento se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” En este supuesto resulta especialmente clarificador traer a colación el Informe 0427/2010 emitido por el Gabinete Jurídico de esta Agencia, en el que en relación con la cuestión que nos ocupa se señala: “(…)Este concepto trae, a su vez, causa en lo establecido en el artículo 2
  19. a)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa protección de las personas físicas en lo que respecta al tratamiento de datos personales ya la libre circulación d estos datos, que define como dato personal “toda información sobre una persona física identificada o identificable (el interesado), añadiendo que “se considera identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 De las definiciones trascritas se desprende que el legislador comunitario y español han venido a establecer un concepto amplio de datos de carácter personal, de forma que es posible que determinadas informaciones que de forma directa no identifican a un interesado puedan ser considerados datos de carácter personal, cuando dicha identificación es posible sin suponer la misma un tiempo o esfuerzo desproporcionados. Dicho de otro modo, el hecho de que el interesado no aparezca identificado en un fichero por su nombre y apellidos no supone que dicho fichero no contenga datos de carácter personal cuando dicha identificación puede o podría tener lugar con posterioridad a la recogida de tales datos. En este sentido se pronuncia el Grupo de Autoridades de Protección de Datos creado por el artículo 29 de la mencionada Directiva en su Dictamen 4/2007 sobre el concepto de datos personales, adoptado el 20/06/2007. Teniendo en cuenta este criterio, tanto el mencionado Grupo de Trabajo como esta Agencia Española de Protección de Datos han venido analizando diversos supuestos en los que el tratamiento de determinados datos supone la aplicación de la Ley Orgánica 15/1999, al entender que los datos bien aisladamente, bien en compañía de otros datos distintos del nombre y apellidos del interesado, encajan en la definición de dato de carácter personal que ha venido indicándose.(…) (…) El dictamen 4/2007 del Grupo de Trabajo creado por el artículo 29, al que se ha hecho referencia analiza igualmente diversos supuestos, alcanzando conclusiones similares a las que se han venido indicando a lo largo de este informe. En particular, en relación con el concepto de “persona identificable”, al que dedica su apartado II.3, el recuerda “ los comentarios a los artículos de la propuesta modificada de la Comisión, en donde se afirma que <una persona puede ser identificada directamente por su nombre y apellidos o indirectamente por un número de teléfono, la matrícula de un coche, un numero de seguridad social, un numero de pasaporte o por una combinación de criterios significativos ( edad, empleo, domicilio, etc.,.), que haga posible su identificación al estrecharse el grupo al que pertenece.>>” Tras incluir ejemplos como los que acaban de reproducirse dentro del concepto de datos personales, recuerda el dictamen igualmente que ”cuando hablamos de <indirectamente> identificadas o identificables, nos estamos refiriendo en general al fenómeno de las <combinaciones únicas>, sean éstas pequeñas o grandes. En los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a una persona determinada, ésta aún puede ser <identificable>, porque esa información combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de ellos como si
  20. no)permitirá distinguir a esa persona de otras”. (…) (…) así la consulta de directorios telefónicos que permitan la búsqueda a partir de una dirección postal o del propio número, lo que resulta posible en el marco actual regulador de las telecomunicaciones si el interesado hubiera prestado su consentimiento para ello o, en el caso de las denominadas “páginas blancas” incluso sin dicho consentimiento, podría obtenerse información referida al nombre y apellidos del abonado al servicio telefónico. Es posible que esta asociación no pudiese tener lugar en todos los supuestos, por ejemplo, en caso de que el abonado hubiera ejercido su derecho a no aparecer en las mencionadas guías. Sin embargo, el hecho de que sea posible, con carácter general, llevar a cabo esa identificación ya resulta suficiente para poder considerar que nos encontramos ante datos de carácter personal.(…) El Subrayado es de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 Española de Protección de Datos. En este supuesto, de la documentación obrante en el procedimiento se evidencia que la dirección del propietario/a de la vivienda al que se dirige el folleto publicitario, no nominativo, aportado por el denunciante coincide con la dirección principal que figura registrada en el fichero común de exclusión del Servicio de Lista Robinson de ADIGITAL, dato asociado, a su vez, al nombre y apellido del denunciante (folio 4). Por lo cual, ORANGE, que es la entidad responsable del tratamiento materializado en el envío postal denunciado conforme las condiciones de la oferta publicitada contenida en el propio folleto (Hecho Probado 3), podría haber identificado al denunciante sin esfuerzos desproporcionados partiendo del dato de la dirección postal facilitada por los instaladores de la fibra óptica del edificio en el que se encuentra la vivienda propiedad del afectado, amén de haber comprobado que éste había manifestado su negativa a través de dicho mecanismo al uso de su dirección postal (dato de carácter personal) para el envío de comunicaciones comerciales. A la vista de lo cual se considera que ORANGE, podía haber identificado sin dificultad al denunciante consultando el mencionado fichero común de exclusión publicitaria, obligación que, por otra parte le incumbía en cumplimiento de lo dispuesto en el artículo 49.4 del RLOPD más adelante transcrito. Con arreglo a las citadas definiciones, la dirección postal del denunciante incluida en la base de datos de direcciones postales proporcionadas por ORANGE a la empresa QUINVER, S.L. para la prestación del servicio contratado (folios 57 y 58) es un dato de carácter personal. Así, aunque esa dirección no aparezca asociada en el mencionado fichero al nombre y apellidos del propietario de la vivienda destinatario del envío analizado, (el denunciante), no cabe duda que se trata de un dato concerniente a una persona física cuya identidad, en este supuesto, hubiera resultado fácilmente identificable para ORANGE por el motivo indicado. En relación también con esta cuestión debe rechazarse la analogía pretendida por ORANGE entre el presente supuesto y el estudiado por la Audiencia Nacional en su sentencia de 17 de septiembre de 2008, en la que dicho órgano jurisdiccional establecía que no tiene el carácter de dato personal “El número de teléfono móvil, por sí mismo, esto es, sin el concurso de otros datos que contribuyan a identificar a su propietario”, puesto que en este caso se ha razonado que ORANGE podía haber llevado a cabo la identificación del denunciante dando cumplimiento a la obligación prevista en el artículo 49.4 del RLOPD, más adelante transcrito. III Conforme al artículo 3.
  21. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  22. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
  23. g)de la LOPD, define la figura del encargado del tratamiento como “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 del tratamiento…”. Y el artículo 5.1.
  24. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Por su parte, el artículo 3.
  25. b)de la LOPD define como Fichero “Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. El artículo 43.1 de la LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. ORANGE decidió tratar las direcciones postales de los propietarios de las viviendas en cuyos edificios se había desplegado fibra óptica de JAZZTEL para realizar campañas publicitarias ofertando dicho producto. Para su desarrollo utilizó bases de datos elaboradas con la información de las direcciones de las viviendas proporcionadas por los propios instaladores, las cuales se facilitaron a QUINVER, S.L. para que, en su condición de encargada del tratamiento, le prestase los servicios de impresión y envío de los folletos publicitarios correspondientes a dichas campañas (buzoneo). Asimismo, ORANGE determinó realizar el tratamiento de las mencionadas direcciones postales sin consultar si podían estar registradas en la Lista Robinson del servicio de ADIGITAL, fichero común de exclusión del envío de comunicaciones comerciales. En lo que afecta a la dato del domicilio postal del denunciante, consta en el procedimiento que la comunicación de dicho dato al tercero prestador del servicio se efectuó por ORANGE a través de la base de datos facilitada en marzo de 2016 (fecha posterior al proceso de fusión por absorción de JAZZTEL), y cuya copia ha sido aportada al procedimiento por ORANGE (folios 53 y 54). Con arreglo a las mencionadas definiciones y a lo dispuesto en el reseñado artículo 43.1 de la LOPD, el tratamiento del dato personal de la dirección postal del denunciante efectuado por ORANGE para enviarle, en su condición de propietario de la vivienda sita en dicha dirección, un folleto con publicidad de un producto comercializado por esa empresa recae bajo la órbita del régimen sancionador de la LOPD, por lo que la denunciada ostenta una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD al haber decidido sobre la finalidad, contenido y uso del tratamiento realizado con los datos de carácter personal del afectado registrados en el fichero en el que éstos se incluían. IV Sentado lo anterior, procede determinar si el tratamiento del dato de la dirección postal del denunciante para el envío del reseñado folleto con publicidad de fibra óptica de JAZZTEL constituye, por parte de la denunciada una vulneración al principio del consentimiento recogido en el artículo 6 de la LOPD, precepto que establece en relación con el “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos y posterior tratamiento de los mismos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos, entendiendo dichos conceptos de conformidad con las definiciones contenidas en el los apartados
  26. c)y
  27. h)artículo 3 de la LOPD: “
  28. c)Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 comunicaciones, consultas, interconexiones y transferencias”. “
  29. h)Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento inequívoco del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. V Atendido que el uso del domicilio postal del afectado se ha producido en el marco de una actividad publicitaria desarrollada por la denunciada, a fin de analizar si tal tratamiento que nos ocupa contaba, o no, con el consentimiento inequívoco del denunciante resulta necesario tener en cuenta lo dispuesto en los preceptos que a continuación se señalan: El artículo 30 de la LOPD regula “Tratamientos con fines de publicidad y de prospección comercial”, disponiendo en sus apartados 1 y 4 que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. (…) 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. “ En relación con los “Tratamientos para actividades de publicidad y prospección comercial” los artículos 45.1, 46 y 49 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RLOPD, establecen lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  30. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  31. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  32. b)Hayan sido facilitados por los propios interesados u obtenidos con su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  33. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  34. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  35. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento.” 3. (…) 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. “Artículo 49. Ficheros comunes de exclusión del envío de comunicaciones comerciales. “1. Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado. 2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial. 3. (…) 4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento. “ Descrito el marco normativo que resulta de aplicación a este supuesto, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en los artículos 6 y 30.1 de la LOPD, el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público. Además, los preceptos citados obligan a tomar en consideración el derecho de oposición ejercitado por los titulares de los datos de carácter personal o la negativa manifestada por los titulares de los datos a su utilización con fines promocionales. En este caso, no obstante que el denunciante había manifestado su negativa a recibir publicidad en sus señas postales dando de alta sus datos personales (nombre, apellidos y dirección postal) en el canal postal del servicio de Lista Robinson de ADIGITAL con fecha 17/12/2015, sin embargo ha quedado probado que ORANGE trató la dirección postal del denunciante registrada en dicho fichero común de exclusión durante el mes de marzo de 2016 para enviarle el folleto publicitario denunciado. En apoyo de dicha afirmación se citan los siguientes elementos de prueba obrantes en el procedimiento: el documento de confirmación de alta de los datos del denunciante en el mencionado fichero común de exclusión aportada por el afectado, las manifestaciones de ORANGE indicando que la base de datos que incluía la dirección postal del denunciante fue facilitada a QUINVER, S.L. en marzo de 2016, las declaraciones del denunciante informando que recibió el folleto postal el 18 de marzo de 2016 y, por último, que en el reseñado envío consta que la promoción de fibra óptica finalizaba el 31/03/2016. En consecuencia, de lo actuado en el presente procedimiento ha resultado probado que ORANGE trató el dato personal concerniente a la dirección postal del denunciante para remitirle, como propietario de la vivienda ubicada en la dirección señalada en los Hechos Probados 2) y 4), un folleto promocional, no nominativo, sin haber consultado previamente a la realización de esa acción publicitaria el mencionado fichero común de exclusión ello a fin de evitar el tratamiento de los datos personales registrados en el mismo por aquellos afectados que no desean que los datos de su titularidad sean utilizados para enviarles comunicaciones comerciales. Es decir, ORANGE incumplió la obligación impuesta en el artículo 49.4 del RLOPD. Con arreglo a todo lo expuesto, dicho tratamiento se realizó por ORANGE sin contar con el consentimiento inequívoco del denunciante para utilizar ese dato con fines de publicidad, puesto que mediaba la negativa del afectado a recibir comunicaciones comerciales en la dirección postal que fue utilizada por dicho operador para efectuar el envío promocional denunciado. Si bien ORANGE ha manifestado que el envío del folletos publicitarios no nominativos dirigidos a “Sr/a Propietario/a” de una dirección postal incluida en el Catastro Inmobiliario no supone una vulneración la LOPD al estar amparado en una Ley, lo cierto es que dicha empresa no sólo no ha acreditado que el acceso y tratamiento de la dirección postal incluida en el folleto analizado tenga su origen en una consulta de los datos no protegidos del Catastro Inmobiliario, prevista en el Texto Refundido de la Ley del Catastro Inmobiliario, aprobado por Real Decreto Legislativo 1/2004, de 5 de marzo, sino que, además, ha afirmado que la información tratada en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 este tipo de envíos o “buzoneo” se obtiene de los instaladores que despliegan la fibra óptica de JAZZTEL. VI El artículo 44.3.
  36. b)tipifica como infracción grave “
  37. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, ORANGE ha incurrido en la infracción descrita al vulnerar el derecho recogido en el artículo 6.1, de la LOPD al tratar los datos personales del denunciante con fines publicitarios sin contar con el consentimiento inequívoco del afectado para ello, ya que éste había manifestado su negativa a dicho uso inscribiendo su dirección postal en el fichero común de exclusión del Servicio Lista Robinson de ADIGITAL en con fecha 17/12/2015, careciendo, por tanto, la denunciada de legitimación para tratar el dato de la dirección postal del afectado en la forma y con la finalidad descritas. Asimismo, ORANGE no ha justificado haber previsto para este tipo de envíos (no nominativos) el establecimiento de medidas que garantizasen la consulta del fichero común de exclusión de ADIGITAL , lo que, además de dar cumplimiento de lo dispuesto en el artículo 49.4 del RLOPD, hubiera permitido a la responsable del tratamiento contrastar si alguna de las direcciones postales que iban a ser utilizadas para el envío de los folletos publicitarios debían ser excluidas de ese tratamiento por estar registradas en dicho fichero común, como ocurría en el caso del denunciante. Esta conducta refleja que ORANGE no mostró la diligencia y el deber de cuidado que le resultaban exigibles para adoptar las cautelas precisas para el cumplimiento de los mandatos de la LOPD, y su inobservancia le hace responsable, a título de culpa, del tratamiento inconsentido de la dirección postal del denunciante para el envío del folleto publicitario estudiado. Sobre este particular conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En definitiva, la conducta descrita se subsume en los supuestos de hecho que recoge el mencionado precepto, toda vez que ha quedado acreditado un tratamiento de datos personales del denunciante (dirección postal completa del mismo) con fines de publicidad por parte de dicha mercantil sin contar con el consentimiento inequívoco del afectado para ello, vulnerando así, a título de culpa, lo previsto en el artículo 6.1 de la LOPD, no mediando, tampoco, habilitación legal alguna ni resultando de aplicación ninguna de las excepciones al consentimiento previstas en el artículo 6.2 de la LOPD que amparasen dicho tratamiento. VII El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  38. a)El carácter continuado de la infracción.
  39. b)El volumen de los tratamientos efectuados.
  40. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  41. d)El volumen de negocio o actividad del infractor.
  42. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  43. f)El grado de intencionalidad.
  44. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  45. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  46. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  47. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  48. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  49. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  50. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  51. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  52. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se aprecia una cualificada disminución de la responsabilidad del infractor como consecuencia de la concurrencia significativa de los criterios
  53. b)y
  54. f)del artículo 45.4 de la LOPD, ya que el volumen de los tratamientos efectuados con los datos de carácter personal del denunciante afecta a un único envío postal publicitario dirigido al domicilio del afectado (criterio b), y debido a la escasa intencionalidad que se aprecia en la conducta de ORANGE si se valoran las circunstancias especiales que concurren en el presente caso derivadas del hecho de que los envíos publicitarios no eran nominativos, limitándose el tratamiento realizado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 al uso del domicilio postal del destinatario del envío, y de que la información de carácter personal tratada procedía, según manifestaciones de ORANGE, de los operarios que efectuaron la instalación de fibra óptica de JAZZTEL en el inmueble en que el afectado es propietario de una vivienda (criterio f). Por lo que se produce la situación prevista en el artículo 45.5.
  55. a)de la LOPD que permite imponer una sanción dentro de la escala inferior en gravedad, motivo por el cual cabe imponer una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida la calificación de grave pero sancionarse conforme a las multas establecidas para las infracciones leves. En relación con la aplicación del supuesto de atenuación recogido en el artículo 45.5.
  56. a)en lugar del criterio recogido en el artículo 45.5.
  57. e)que se tuvo en cuenta en el acuerdo de inicio del presente procedimiento para fijar la sanción a la vista de las evidencias disponibles en esa fecha, conviene precisar que a raíz de la información y documentación facilitadas por ORANGE durante el período de pruebas (folios 52 al 54), se ha tenido conocimiento de una circunstancia que justifica la modificación citada. En concreto, que el tratamiento estudiado se realizó con posterioridad a que JAZZTEL fuese absorbida por ORANGE en virtud de la escritura de Fusión por absorción otorgada el 8 de febrero de 2016, por lo que la entidad absorbente, en este caso ORANGE, resulta responsable de la comisión la infracción. En prueba de lo cual se señala que ORANGE ha comunicado a esta Agencia que la base de datos conteniendo el domicilio postal del denunciante fue facilitada en marzo de 2016 a QUINVER, S.L., que es la entidad encargada de prestar el servicio de imprenta y remisión de los envíos, así como que el denunciante recibió el folleto publicitario en ese mes, conteniéndose en el mismo la siguiente indicación: “JAZZTEL Marca Registrada Orange Espagne, S.A.U. Promo hasta 31/03/16” Sentado lo anterior, a los efectos de la graduación de la sanción se tienen en cuenta como agravantes los siguientes criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD: la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal conlleva, como empresa conocedora de la normativa de protección de datos, la exigencia de un especial rigor y cuidado en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD (criterio c); su volumen de negocio o actividad al ser uno de los principales operadores de telecomunicaciones del país (criterio d); y la falta de acreditación de que antes de la realización del envío estudiado tuviera implantados procedimientos de gestión adecuados para impedir el tratamiento de los domicilios postales de los afectados que hubieran registrado dicha información en el servicio de Lista Robinson de ADIGITAL a fin de evitar su tratamiento con fines publicitarios (criterio j). Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD se propone la imposición de una sanción de 2.000 € a ORANGE como responsable de la vulneración del principio del consentimiento. Se acompaña relación de documentos obrantes en el procedimiento. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U. con multa de 2.000 € (Dos mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  58. b)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de QUINCE DÍAS hábiles pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. No obstante, con anterioridad a la resolución del procedimiento ORANGE ESPAGNE S.A.U. podrá llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del importe de la misma, equivalente en este caso a 400 euros, por lo que la sanción quedaría establecida en 1.600 euros. La efectividad de la reducción señalada estaría condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. >> TERCERO: Notificada la propuesta de resolución, con fecha 10 de mayo de 2017 la representación de ORANGE ESPAGNE, SAU comunica que va a proceder al pago voluntario de la sanción de 1.600 €, una vez aplicada la reducción del 20%. CUARTO: Con fecha 7 de junio de 2017 la entidad ORANGE ESPAGNE, SAU ha procedido al pago voluntario de la sanción en la cuantía de 1.600 € (Mil seiscientos euros) haciendo uso de la reducción prevista en el artículo 85.2 de la LPACAP, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85.2 de la LPACAP. PS/00669/2016, de SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.