← España

PS-00673-2016

1/22 Procedimiento Nº PS/00673/2016 RESOLUCIÓN: R/01236/2017 En el procedimiento sancionador PS/00673/2016, instruido por la Agencia Española de Protección de Datos a la entidad MACOALBA CONSULTING S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de mayo de 2015 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara: <<En el día de hoy he recibido en mi domicilio una carta comercial con el logotipo de "HOGAR Y DESCANSO" en la que al final advierte que los datos utilizados tienen su origen en los ficheros de la empresa MACRO SELECT PRINT, S.L. Soy sumamente cauteloso con mis datos personales y desconozco la forma ilegal en la que esta empresa ha tenido acceso a ellos y los ha introducido en un fichero sin mi consentimiento.>> Aporta el denunciante copia del envío citado, en el que aparece su nombre completo, así como su dirección postal, incluyendo el piso y la puerta. En el envío se convoca a la denunciante a una demostración comercial a realizar en el HOTEL B.B.B. (en adelante el HOTEL) el día 13 de mayo de 2015. El documento exhibe el logotipo "HOGAR Y DESCANSO", no apareciendo identificación de la entidad a la que corresponde dicha marca. El documento muestra un pie de página en que se informa que los datos utilizados para la campaña tienen su origen en los ficheros de MACRO SELECT PRINT S.L. (en adelante MSP), pudiendo ejercer los derechos ARCO en el apartado de correos (C/...1). En fecha 10/05/2016 por la Directora de esta Agencia se acordó el inicio del procedimiento sancionador de referencia PS/00241/2016. Mediante resolución de fecha 27/06/2016 la Directora de esta Agencia resolvió el archivo por caducidad respecto de MSP, y MACOALBA CONSULTING S.L. (en lo sucesivo MACOALBA), y ordenando el inicio de las actuaciones previas E/3006/2016, origen del presente procedimiento sancionador. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas E/3006/2016 se incorporaron a las mismas las actuaciones previas E/5169/2015 efectuadas por los Servicios de Inspección de esta Agencia en las que se solicitó información a MSP y a MACOALBA, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones previas de inspección E/3006/2016, que se transcribe: “ACTUACIONES PREVIAS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 1. De la información y documentación aportada por el HOTEL se desprende: a. En fecha 24 de abril de 2015 fue remitido al HOTEL un correo electrónico desde la cuenta ***EMAIL.1 solicitando un salón para los días 10 a 14 de mayo de 2010. Como emisor se identifica C.C.C. con teléfonos ***TEL.1/ ***TEL.2 en nombre de HOGAR Y DESCANSO, SL. b. En fecha 27 de abril de 2015 el HOTEL remite una factura pro-forma con reservas para los días 11, 12, 13, 14, 18, 19 y 20 de Mayo a nombre de HOGAR Y DESCANSO, (C/...2) (Zaragoza) con CIF ***CIF.1. Dicho CIF se corresponde con el de MACOALBA. 2. De la información y documentación aportada por Correos respecto del apartado de correos número (C/...1) de Madrid se desprende: a. Mediante contrato de fecha 22 de junio de 2014 MSP realizó la suscripción anual del apartado de correos citado, el domicilio aportado fue en la calle (C/...3). Aportaban igualmente como teléfono de contacto del administrador el número de línea móvil ***TEL.3. b. Junto a la documentación se incluye copia del DNI del administrador de la entidad, en el que figura como domicilio la calle (C/...4) de Madrid. c. Aporta igualmente Correos copia de la escritura notarial de constitución de la sociedad MSP fechado el 12 de junio de 2014. En dicha escritura figura D. D.D.D., quien crea la misma actuando en su propio nombre, suscribiendo la totalidad de las acciones emitidas de dicha sociedad constituyéndose como socio único y administrador de la misma. En dicha escritura D. D.D.D. cita como domicilio propio la calle (C/...5)de Madrid, que coincide con la sede social de la entidad constituida. 3. En fecha 28 de octubre de 2015 se realizó un intento de inspección a MSP que resultó de imposible realización. Como consecuencia se levantó una diligencia en la que se hizo constar que: - A las 10 h. se personan los inspectores en calle (C/...5) de Madrid, sede social de MACRO SELECT PRINT S.L., llamando a la puerta en varias ocasiones, no abriendo ni recibiendo contestación desde el interior. Durante la espera se realiza una llamada al número de teléfono ***TEL.3, teléfono conocido del administrador único de la entidad, que no es contestada. - C/ Jorge Juan, 6 28001 – Madrid A las 10:50 se personan nuevamente los inspectores en dicho domicilio, llamando nuevamente, no abriendo ni obteniendo contestación desde el www.agpd.es sedeagpd.gob.es 3/22 interior. Durante la espera se realiza una nueva llamada al número de teléfono ***TEL.3, que no es contestada. - Los inspectores se desplazan al bajo del edificio, tomando una foto del buzón correspondiente a dicha vivienda, verificándose que consta en el mismo D. D.D.D., administrador de MACRO SELECT PRINT S.L. Pese a ser el domicilio conocido de MACRO SELECT PRINT S.L. no figura en el buzón referencia alguna a dicha entidad. En el exterior del edificio tampoco se observa indicación alguna que haga pensar que dicha empresa tenga su sede en el mismo. - Se intenta acceder a la calle (C/...3), pero se observa que no existe dicho número dentro de la calle. Se pregunta en un negocio situado en los bajos de la calle (C/...5)que confirma que ahí acaba la calle. - Los inspectores se desplazan posteriormente a la calle (C/...4), y tras llamar a dicho domicilio, atiende una persona …, que informa que lleva viviendo un mes en ese domicilio y asegura no conocer a D. D.D.D.. En el buzón de dicha vivienda se encuentra que aparece una etiqueta arrancada parcialmente del mismo, en la que se lee D.D.D. indicativa de que dicha persona ha vivido en la vivienda anteriormente. - Se trasladan los inspectores actuantes a la sede de ASEPRIN S.L. Al llamar a la puerta una empleada atiende a los inspectores, quienes indican que desean hablar con D. D.D.D., a lo que dicha persona responde: <<Voy a ver si está>> Haciendo pasar a los inspectores al recibidor de la entidad, la empleada pasa tras una puerta. Momentos posteriores aparece nuevamente e informa: <<Ese señor no trabaja aquí, es amigo del jefe, yo no lo conozco>>. Solicitan los inspectores hablar con su jefe, que momentos después sale del despacho. Tras identificarse los inspectores, presentando sus acreditaciones profesionales, solicitan ponerse en contacto con D. D.D.D., la persona que les atiende, que se identifica como D. E.E.E., gerente de la entidad, informa que se trata de un amigo, que ocasionalmente le visita en la entidad y que en alguna ocasión ha solicitado que se le facilite el uso del correo electrónico de la entidad, pero no es empleado ni cliente de ASEPRIN S.L. Se facilita la tarjeta de uno de los inspectores actuantes, solicitando que transmitan a D. D.D.D. que se ponga en contacto con el mismo. El gerente de ASEPRIN SL, facilita el número de teléfono de dicha persona, que coincide con el ya conocido por la Agencia, que no ha respondido a las múltiples llamadas realizadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 4. Mediante escrito con fecha 28 de octubre de 2015 el administrador de MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> 5. Se ha solicitado al administrador de MSP que informe de la dirección efectiva de administración y gestión de la entidad a fin de poder realizar una visita de inspección. Consta intento de entrega en fecha 3/11/2015 y anotación del cartero “no se hace cargo”. Tras un segundo intento de entrega en fecha 4/11/2015 pasó a lista de correos, resultando la carta finalmente devuelta. Todos los intentos realizados por la Inspección para verificar que MSP es una empresa real, con empleados e instalaciones reales, han resultado infructuosos. Según ha informado la Tesorería General de la Seguridad Social, la única empleada de MSP es F.F.F., quien anteriormente tuvo el cargo de apoderada de DATA INTEGRAL ACTION SL, empresa reiteradamente sancionada por esta Agencia por los mismos hechos ahora atribuidos a MSP. 6. De las manifestaciones realizadas por MSP en respuestas a múltiples requerimientos de información realizados en diversos expedientes, la entidad mantiene: a. Que los datos para las campañas fueron obtenidos de listados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 accesibles al público, páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (Infobel, ABC Teléfonos, 11811, etc.) revistas u otros medios de comunicación, nombramientos oficiales, diarios oficiales, páginas web con información comercial utilizable, etc. Nunca ha aportado prueba acreditativa de ello. b. Los parámetros que sirvieron para identificar los destinatarios de la campaña fueron determinados por MSP y consistieron en una segmentación por zona de ubicación del domicilio. 7. Mediante la correspondiente diligencia se han podido realizar las siguientes comprobaciones: a. El dominio hogardescanso.com figura registrado a través de un servicio de protección de la privacidad. b. El dominio hogardescanso.com ha sido geolocalizado en EEUU. c. La entidad HOGAR Y DESCANSO SL con CIF ***CIF.2 figura en el Registro General Central domiciliada en (C/...6). d. En el Registro Mercantil Central figura MACOALBA CONSULTING SL (***CIF.1) con domicilio en (C/...2) (Zaragoza). El CIF es coincidente con el que figura en la factura aportada por el HOTEL. e. En Páginas Amarillas figura MACOALBA CONSULTING SL con número ***TEL.1. Dicho número de teléfono coincide con el que aparece en los correos electrónicos proporcionados por el HOTEL como teléfono de contacto de HOGAR Y DESCANSO S.L. 8. De la información y documentación aportada por MACOALBA, se desprende: a. Aporta la entidad copia del contrato suscrito en fecha 26 de febrero de 2015 con MSP mediante el cual esta entidad proporcionará a MACOALBA los servicios: <<1. La recopilación y determinación de criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en la campaña de marketing de CLIENTE. Al llevar a cabo la selección de datos de los destinatarios de la campaña, PROVEEDOR deberá excluir, en todo caso, los datos de aquellas personas que hayan ejercido previamente sus derechos de cancelación u oposición a recibir publicidad en los ficheros de PROVEEDOR. 2. La confrontación de los datos de carácter personal con la Lista Robinson de ADIGITAL, con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. 3. Impresión matricial, laser e inkjet y personalización de los documentos publicitarios a enviar. 4. Inclusión en los documentos publicitarios de la siguiente cláusula C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 informativa: “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Pueden ejercerse los derechos de acceso, rectificación, cancelación u oposición en el Apartado de Correos número (C/...1) de Madrid.”. 5. La entrega de los documentos publicitarios, una vez personalizados, a la empresa que indique CLIENTE, para que aquella proceda al doblado, ensobrado, franqueo y envío.>> El contrato recoge las siguientes garantías: <<A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, PROVEEDOR manifiesta que en la ejecución de este contrato:

  1. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3
  2. j)de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
  3. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
  4. e)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD.>> b. Copia del contrato suscrito en fecha 17 de febrero de 2015 por la entidad con MEYDIS en base al cual se prestarán los servicios de manipulado de piezas publicitarias impresas. c. Manifiesta MACOALBA que los comunicados con MSP han sido telefónicos, siendo los destinatarios seleccionados por la mencionada empresa. d. Aporta manifiesto de D. D.D.D. en calidad de administrador de MSP de fecha 24 de febrero de 2015 referido a que esta empresa no ha tenido ninguna denuncia ni reclamación por parte de esta Agencia. Sin embargo, según consta en las actuaciones de referencia E/00285/2015, en fecha 16/2/2015 MSP ya había recibido un escrito de solicitud de información motivada por una denuncia, y así se le hacía saber en dicho escrito. e. Aporta finalmente la entidad copia de un documento de fecha 28 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 octubre de 2015 en que MSP comunica el cese de su actividad. f. Aporta la entidad copia de la factura fechada el 30/4/2015 emitida por MSP con número ***FACT.1 en que figura como descripción: <<HYD ABRIL 2.015 Del 1 al 30 de Abril de 2.015 * Diseño de campaña * Fijación de criterios de segmentación de destinatarios * Selección de direcciones, tratamiento spool personalización>> de impresión y Se facturan un total de 167.650 unidades por un importe que asciende a 608,57 €. g. Aporta igualmente copia de la factura emitida a la entidad por MEYDIS en fecha 30/4/2015 con número ***FACT.2 coincidente con la aportada por MEYDIS durante la inspección. h. Aporta adicionalmente una segunda factura de la misma fecha y número ***FACT.3 por la orden de trabajo 1872/15 por los trabajos: <<Materiales HOGAR Y DESCANSO CARTA ACEITE Y PALETA SERRANA HOGAR Y DESCANSO CARTA 2 L ACEITE Y PALETA SERRANA>> Por un total de 195.000 unidades conjuntamente.” TERCERO: Con fecha 3 de marzo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MACOALBA, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  5. b)de dicha norma, pudiendo ser sancionada con una multa de 60.000 € euros, sin perjuicio de lo que resulte de la instrucción del procedimiento. CUARTO: El acuerdo de inicio fue notificado a MACOALBA mediante publicación en el Boletín Oficial del Estado (núm 80 de martes 4 de abril de 2017) al resultar infructuoso su intento de notificación en el domicilio de la empresa tras dejarse aviso de recogida del envío y no ser retirado de la oficina de correos. No habiéndose efectuado alegaciones por lo que de conformidad con el artículo 64.2.
  6. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), el acuerdo de inicio se considerada propuesta de resolución, procediendo en consecuencia a dictarse la procedente resolución del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 HECHOS PROBADOS PRIMERO: Con fecha 11/05/2015 tiene entrada en esta Agencia un escrito del denunciante en el que manifiesta lo siguiente: <<En el día de hoy he recibido en mi domicilio una carta comercial con el logotipo de "HOGAR Y DESCANSO" en la que al final advierte que los datos utilizados tienen su origen en los ficheros de la empresa MACRO SELECT PRINT, S.L. Soy sumamente cauteloso con mis datos personales y desconozco la forma ilegal en la que esta empresa ha tenido acceso a ellos y los ha introducido en un fichero sin mi consentimiento.>> SEGUNDO: El denunciante adjuntó a su denuncia copia de una carta en cuyo encabezamiento figura su nombre, apellidos y dirección postal completa (incluidos piso y puerta). En el encabezamiento figura además un logotipo junto con el texto “HOGAR Y DESCANSO”. La carta tiene, entro otro, el siguiente contenido: “Estimado Carlos Manuel Ahora tiene la oportunidad de asistir en su cuidad a la presentación en exclusiva de nuestros productos. Le invitamos a participar en el acto donde podrá conocer de primera mano, de forma clara y amena la ULTIMA NOVEDAD en el mercado. Para clientes como usted, que han recibido la presente invitación y vengan acompañados de su cónyuge, les haremos entrega de forma totalmente gratuita, del regalo que ustedes elijan entre los que les detallamos a continuación: - Una extraordinario lata de 5 litros de aceite de oliva virgen….. - Una exquisita paleta serrana … ….. El acto se celebrará en: HOTEL B.B.B. (C/...7) Día;: Miércoles 13 Mayo 2015 Horario: Mañana: 9:00 y 11:00 horas Tarde: 16:00 y 18:00 horas” En el pie de la carta se informa al denunciante que “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa MACRO SELECT PRINT, S.A. Pueden ejercerse los derechos de acceso, rectificación, cancelación y oposición en el Apartado de Correos número (C/...1), Madrid” TERCERO: Consta en el expediente correo electrónico remitido en fecha 24/04/2015 desde una cuenta de correo electrónico del dominio hogardescanso.com en el cual se solicita información al HOTEL con objeto de realizar un evento en uno de sus salones en la semana del 11 al 14 de mayo. En el correo se identifica que la solicitud se efectuó por la empresa “HOGAR Y DESCANSO, S.L.”, con teléfonos de contacto ***TEL.1 / ***TEL.2. CUARTO: Consta en el expediente correo electrónico remitido en fecha 27/04/2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 desde una cuenta de correo electrónico del dominio hogardescanso.com en el cual, en respuesta a la factura emitida por el HOTEL por los servicios prestados (alquiler de salón y 2 habitaciones), se comunica lo siguiente: “Me he fijado en la factura proforma, y los datos que han puesto de mi empresa no son esos. Les paso nuestros datos. Hogar y Descanso (C/...2) (C/...2)” QUINTO: Constan en el expediente las siguientes facturas emitidas por el HOTEL a Hogar y Descanso, (C/...2), (C/...2), CIF ***CIF.1: - Factura de fecha 14/05/2015 en concepto de dos habitaciones por 3 noches. - Factura de fecha 14/05/2015 en concepto de 4 días de alquiler de un salón. SEXTO: El CIF ***CIF.1 pertenece a la empresa MACOALBA (no a la empresa HOGAR Y DESCANSO, S.L.), según consta en el Registro Mercantil Central. SEPTIMO: En Páginas Amarillas figura la empresa MACOALBA con número ***TEL.1. Dicho número de teléfono coincide con el que aparece en los correos electrónicos proporcionados por el HOTEL como teléfono de contacto de HOGAR Y DESCANSO S.L. OCTAVO: En fecha 26/02/2015 MACOALBA (el CLIENTE) y MSP (el PROVEEDOR) suscribieron un “Contrato de selección de datos de carácter personal y personalización de documentos publicitarios” con contiene lo siguiente: “EXPONEN Primero.Que PROVEEDOR es una empresa dedicada, entre otras actividades, a la recopilación y selección de datos de carácter personal para la realización de campañas de marketing directo. . Segundo.Que CLIENTE desea llevar a cabo una o varias campañas de marketing directo y prospección comercial. Tercero.Que PROVEDOR es titular de una fichero que contiene datos de carácter personal que puede ser utilizado para la realización de la antedicha campaña de marketiong directo y prospección comercial. .. ACUERDAN Primero.- Objeto del contrato Constituye el objeto del presente Contrato la prestación por parte de PROVEEDOR de los siguientes servicios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 1. La recopilación y determinación de criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en la campaña de marketing de CLIENTE. Al llevar a cabo la selección de datos de los destinatarios de la campaña, PROVEEDOR deberá excluir, en todo caso, los datos de aquellas personas que hayan ejercido previamente sus derechos de cancelación u oposición a recibir publicidad en los ficheros de PROVEEDOR. 2. La confrontación de los datos de carácter personal con la Lista Robinson de ADIGITAL, con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. 3. Impresión matricial, laser e inkjet y personalización de los documentos publicitarios a enviar. 4. Inclusión en los documentos publicitarios de la siguiente cláusula informativa: “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Pueden ejercerse los derechos de acceso, rectificación, cancelación u oposición en el Apartado de Correos número (C/...1) de Madrid.”. 5. La entrega de los documentos publicitarios, una vez personalizados, a la empresa que indique CLIENTE, para que aquella proceda al doblado, ensobrado, franqueo y envío.>> Segundo.- Garantías: A los efectos del cumplimiento del artículo 46.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, PROVEEDOR manifiesta que en la ejecución de este contrato:
  7. a)Sólo utilizará datos de carácter personal que se encuentren en uno de los dos casos siguientes: a. Que figuren en fuentes accesibles al público vigentes en el momento del tratamiento, considerando como tales, exclusivamente, las previstas en el artículo 3
  8. j)de la LOPD. b. Que hayan sido recabados respetando los deberes de información y recabo del consentimiento (art. 5 y 6 LOPD), pudiendo por tanto ser utilizados en la campaña del cliente de conformidad con la LOPD.
  9. b)No se utilizarán datos de personas que figuren inscritas en las Listas Robinson de ADIGITAL o de otro modo conste que hayan ejercido su derecho de oposición al envío de información comercial.
  10. c)Los datos tratados estarán debidamente actualizados y cumplirán el principio de calidad de los datos establecido en el artículo 4 de la LOPD.” NOVENO: Mediante escrito con fecha 28 de octubre de 2015 el administrador de MSP informa a la Agencia que: <<Que, en el desarrollo de la actividad de la sociedad que represento, se han abierto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 diversos procedimientos de investigación y sancionadores por la Agencia Española de Protección de Datos por diversas denuncias, tanto dirigidas contra Macro Select Print, como contra nuestros clientes. Que de dichas reclamaciones parece deducirse que existe una parte de los datos del fichero que utilizamos para nuestras campañas de marketing que no debe ser legal, pese a que hemos trabajado con él confiando en que cumplía la LOPD y así se lo hemos manifestado siempre a nuestros clientes. Que lo anterior hace que hayamos tomado la determinación de cesar de inmediato en el uso de dicho fichero y cesar también en la realización de nuestras actividades de marketing para nuestros clientes, por lo que sirva este documento para que conste nuestra voluntad de dar por resueltos los contratos de servicios suscritos hasta la fecha. Que, como prueba de lo anterior, vamos a solicitar la cancelación de los ficheros que tenemos inscritos en la Agencia Española de protección de Datos. No volveremos a utilizar dichos ficheros, que ya han sido completamente destruidos por nosotros ante la constancia de que parte de sus datos no son legales. Que pedimos disculpas a nuestros clientes y a los perjudicados por cualquier daño que les hayamos podido causar en la creencia de que los datos que utilizábamos en las campañas eran conformes con la LOPD. Que, ante tal estado de cosas, comunicamos, por último y desde la fecha de este escrito, el cese definitivo de la sociedad que represento.>> DECIMO: MSP no acredita contar con el consentimiento del denunciante para el tratamiento de sus datos personales contenidos en el fichero del que es titular y utilizados para el envío publicitario objeto de denuncia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36 de la LOPD. II La LPACAP establece: “Artículo 64. Acuerdo de iniciación en los procedimientos de naturaleza sancionadora. 1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
  12. a)Identificación de la persona o personas presuntamente responsables.
  13. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
  14. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
  15. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
  16. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
  17. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. En el presente caso MACOALBA no ha formulado alegaciones al acuerdo de inicio por lo que observando las previsiones legales citadas, el mismo se considera propuesta de resolución procediendo dictar resolución. III El presente procedimiento se circunscribe a determinar la existencia de consentimiento del denunciante para el tratamiento de sus datos personales utilizados para el envío de una carta para acudir a un evento publicitario de MACOALBA, datos que fueron obtenidos de ficheros de MSP. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. En el presente caso nos encontramos con el tratamiento de datos del denunciante (nombre y apellidos y dirección postal contenidos en un fichero de MSP) efectuado con fines comerciales por cuanto es objeto de su denuncia la carta que recibió invitándole a un evento publicitario de MACOALBA. En este sentido la LOPD regula de modo específico este tipo de tratamientos: “Artículo. 30 Tratamientos con fines de publicidad y de prospección comercial: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. A ello debe añadirse lo establecido en el CAPÍTULO II “Tratamientos para actividades de publicidad y prospección comercial” (artículos 45 y siguientes) del Real Decreto 1720/2007, que aprueba el Reglamento de desarrollo de la LOPD (RLOPD): “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  18. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  19. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 datos sean objeto de tratamiento para las actividades descritas en este apartado.
  20. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos. Así pues tanto la LOPD como, más en concreto, su RLOPD, establece que el tratamiento de datos con fines comerciales sólo es posible cuando los mismo figuren en fuentes de acceso público y enumeran una relación cerrada (“numerus clausus”) de las denominadas fuentes de acceso público, es decir de los datos contenidos en ficheros para los cuales, no es que sea necesario consentimiento para ser consultados, sino que no se exige el mismo para su tratamiento o cesión. Así el artículo 3.
  21. f)de la LOPD define como “Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación”, y el artículo 7.1 del RLOPD dispone que sólo tendrán el carácter de fuentes accesibles al público: “
  22. a)El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
  23. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
  24. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
  25. d)Los diarios y boletines oficiales.
  26. e)Los medios de comunicación social.” Conforme a lo expuesto, caso que los datos personales no procedan de fuentes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 de acceso público sólo es posible su tratamiento si el interesado ha otorgado su consentimiento a tal efecto, esto es, para fines comerciales y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. En el presente caso los datos del denunciante utilizados para el envío publicitario objeto de denuncia procedían de un fichero del cual es responsable MSP, entidad que no ha acreditado el origen de los mismos, esto es, si estos procedían de las fuentes de acceso público citadas, o, en caso contrario, si contaba con el consentimiento del denunciante para el tratamiento de sus datos personales, hecho negado por el denúnciate y que precisamente constituye el objeto de su denuncia. Por su parte, el artículo 46 del RLOPD establece lo siguiente: “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  27. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  28. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  29. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso nos encontramos con una campaña publicitaria cuya ejecución material, en lo referido al envío postal de cartas nominativas a domicilio, es encargada por MACOALBA a MSP, esto es, el supuesto contemplado en el citado artículo 46.2 RLOPD, conforme a cuyas reglas deberá determinarse la entidad responsable del tratamiento de los datos de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 En este punto debemos acudir a lo establecido en el contrato suscrito en fecha 26/02/2015 entre MACOALBA (el CLIENTE) y MSP (el PROVEEDOR), y así el “Contrato de selección de datos de carácter personal y personalización de documentos publicitarios”, señala que: “EXPONEN Primero.Que PROVEEDOR es una empresa dedicada, entre otras actividades, a la recopilación y selección de datos de carácter personal para la realización de campañas de marketing directo. . Segundo.Que CLIENTE desea llevar a cabo una o varias campañas de marketing directo y prospección comercial. Tercero.Que PROVEDOR es titular de una fichero que contiene datos de carácter personal que puede ser utilizado para la realización de la antedicha campaña de marketiong directo y prospección comercial. .. ACUERDAN Primero.- Objeto del contrato Constituye el objeto del presente Contrato la prestación por parte de PROVEEDOR de los siguientes servicios: 1. La recopilación y determinación de criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en la campaña de marketing de CLIENTE. Al llevar a cabo la selección de datos de los destinatarios de la campaña, PROVEEDOR deberá excluir, en todo caso, los datos de aquellas personas que hayan ejercido previamente sus derechos de cancelación u oposición a recibir publicidad en los ficheros de PROVEEDOR. 2. La confrontación de los datos de carácter personal con la Lista Robinson de ADIGITAL, con el objeto de evitar envíos publicitarios a personas que hayan manifestado su oposición a recibir publicidad. 3. Impresión matricial, laser e inkjet y personalización de los documentos publicitarios a enviar. 4. Inclusión en los documentos publicitarios de la siguiente cláusula informativa: “Los datos utilizados para esta campaña tienen su origen en los ficheros de la empresa Macro Select Print, S.L. Pueden ejercerse los derechos de acceso, rectificación, cancelación u oposición en el Apartado de Correos número (C/...1) de Madrid.”. 5. La entrega de los documentos publicitarios, una vez personalizados, a la empresa que indique CLIENTE, para que aquella proceda al doblado, ensobrado, franqueo y envío.>>” En este punto debemos analizar que entidad es la responsable del fichero en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 donde se encontraban los datos de la denunciante utilizados para el envío publicitario, así como cuál fue la entidad responsable del tratamiento de datos efectuado para realizar el envío de la carta publicitaria y, en su caso la entidad encargada del tratamiento de los datos. Recordar que el art. 3 apartados
  30. d)y
  31. g)de la LOPD define: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” Dispone el art. 5.1.
  32. i)del RLOPD que el encargado del tratamiento es La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Por su parte el art. 5.1.
  33. q)del citado RDLOPD establece que el responsable del fichero o del tratamiento es “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados del tratamiento (art. 43), “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley” concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
  34. d)y 3.g). Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Analizaremos a continuación la responsabilidad de ambas entidades en la infracción del artículo 6.1 de la LOPD que se le imputa, y así: A) MACOALBA, si bien no efectuó el tratamiento material de los datos de la denunciante, si decidió sobre la finalidad, contenido y uso del tratamiento habida cuenta que fue la entidad que encargó a MSP la campaña publicitaria en la que se enmarca el envío publicitario objeto de denuncia. B) MACOALBA fijó al menos un parámetro identificativo de los destinatarios de la campaña comercial para cuya realización seleccionó el fichero titularidad de MSP, ya que la elección por MACOALBA del establecimiento hotelero donde iba a realizarse el evento publicitario, localizado en el la ciudad de León conlleva la determinación del ámbito geográfico de la campaña a realizar, el cual resulta básico para la ejecución material de la misma y selección de los destinatarios. Téngase en cuenta que con esa elección MACOALBA estaba determinando la variable asociada al público objetivo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 que serviría de base para extraer los datos personales de los destinatarios individuales de la campaña con arreglo a la segmentación posteriormente efectuada por MSP con los datos obrantes en el fichero titularidad, ya que los destinatarios de la campaña deberían estar domiciliados en el área geográfica próxima a la ubicación del establecimiento hotelero elegido por MACOALBA para el evento en cuestión. Respecto a la actuación de MSP debe considerarse que es responsable de la infracción del artículo 6.1 de la LOPD en atención a su doble condición de: A) responsable del fichero en el que se encontraban los datos del denunciante utilizados para el envío comercial denunciado y que no ha acreditado su origen en fuentes de acceso público, o en su caso, el consentimiento del denunciante para el tratamiento de sus datos con fines publicitarios o comerciales. B) responsable del tratamiento por cuanto el contrato suscrito con MACOALBA identifica como tal a MSP al establecer que es la entidad que fija y determina parámetros identificativos de los destinatarios de la campaña publicitaria contratada por MACOALBA, en concreto el contrato hace referencia a que será MSP a quien corresponde “…determinación de criterios de segmentación de los datos de carácter personal en los ficheros de su titularidad para su posterior utilización en la campaña de marketing de CLIENTE.” Por tanto responsabilidad de MSP en los hechos denunciados se encuadra en las figuras de responsable del fichero y del tratamiento motivo por el cual se inició, simultáneamente al presente, el procedimiento sancionador PS/673/2016. En definitiva en la fijación de parámetros identificativos de los destinatarios de la campaña en la que se seleccionaron los datos de la denunciante para su tratamiento con fines de publicidad, ambas entidades decidieron sobre la finalidad y el uso de los datos tratados en la campaña publicitaria objeto de denuncia, lo que les sitúa como responsables del tratamiento de los datos de la denunciante de acuerdo con la definición prevista en el artículo 3.
  35. d)de la LOPD y artículo 46.2 de dicha norma, además de ostentar MSP la condición de responsable del fichero, con arreglo a lo cual están sujetas al régimen sancionador que determina el artículo 43 de la LOPD al reunir los requisitos subjetivos legalmente exigidos para poder ser sancionadas por vulneraciones a lo previsto en dicha norma. En consecuencia cabe concluir que MACOALBA es responsable de la infracción del artículo 6.1 de la LOPD ya que, si bien no efectuó el tratamiento material de los datos de la denunciante, si decidió sobre la finalidad, contenido y uso del tratamiento (responsable del fichero) habida cuenta que fue la entidad que encargó a MSP la campaña publicitaria en la que se enmarca el envío publicitario objeto de denuncia, y al menos fijó uno de los parámetros identificativos (personas con dirección postal en el municipio de León) utilizados para el envío postal publicitario ampliamente citado (responsable del tratamiento) todo ello sin que pudiera acreditar que los datos de la denunciante utilizados para el envío publicitario hubieran sido obtenidos de fuentes de acceso público, o con el consentimiento de la misma. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 El art. 44.3.
  36. b)de la LOPD establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso MSP al tratar los datos de la denunciante sin su consentimiento, han cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable, a MSP en su doble condición de responsable del fichero y del tratamiento. V El artículo 45 apartados 2, 4 y 5 de la LOPD establece lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  37. a)El carácter continuado de la infracción.
  38. b)El volumen de los tratamientos efectuados.
  39. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  40. d)El volumen de negocio o actividad del infractor.
  41. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  42. f)El grado de intencionalidad.
  43. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  44. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  45. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  46. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  47. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  48. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22
  49. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  50. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  51. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Tratándose de infracción grave tipificada en el artículo 44.3.
  52. b)de la LOPD procede impone a MACOALBA por la infracción del artículo 6 de la LOPD una sanción de entre 40.001 y 300.000 €, que se gradúa conforme a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, teniendo que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. En relación con los beneficios obtenidos como consecuencia de la comisión de la infracción (apartado 4.e), no cabe duda que el tratamiento efectuado por MACOALBA con los datos de la afectada ha generado unos beneficios a la entidad ya que éste tuvo como finalidad que la misma acudiera a un establecimiento hotelero de la ciudad de León en el cual la entidad llevó a cabo acción comercial para la publicidad y venta de sus productos. 2. En relación con el grado de intencionalidad (apartado 4.f), si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe duda de que incurrió en una grave falta de diligencia ante la falta de cuidado mostrada, en tanto que la empresa es responsable del tratamiento de datos de carácter personal con fines de publicidad, y debió implantar los mecanismos de control necesarios para verificar, en forma fehaciente, la licitud del tratamiento efectuado con datos personales utilizados en la campaña comercial desarrollada como responsable del fichero y del tratamiento, en especial en lo que se refiere a la existencia de consentimiento de los afectados, en este caso de la denunciante. Recordemos que la normativa de protección de datos, tanto LOPD como su reglamento de desarrollo establece unos requisitos específicos para el tratamiento de datos personales y exige a la entidad que encargue la campaña publicitaria (MACOALBA) la adopción de medidas necesarias para asegurarse que la entidad contratada (MSP) ha recabado los datos personales cumpliendo las exigencias de la LOPD y su reglamento, medidas de las que no se tiene constancia en el presente caso. La sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Sobre este particular recordar que la Audiencia Nacional en su sentencia de 12 de noviembre de 2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (SSTS de fecha 23 de octubre de 2006 y 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones anteriormente indicados, procede imponer a MACOALBA una multa de 60.000 € por la vulneración del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MACOALBA CONSULTING S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  53. b)de la LOPD, una multa de 60.000 € (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a MACOALBA CONSULTING S.L.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.