← España

PS-00678-2015

1/21 Procedimiento Nº PS/00678/2015 RESOLUCIÓN: R/00896/2016 En el procedimiento sancionador PS/00678/2015, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por Don B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de febrero de 2014 tuvo entrada en esta Agencia un escrito de Don B.B.B., (en adelante el denunciante) en el que declara que ha detectado un aumento de correos electrónicos comerciales no solicitados enviados por empresas que no le han pedido el consentimiento para ello. Al consultar a una de estas entidades sobre el origen de su correo electrónico le han comunicado que se encuentra en la base de datos esbasesdedatos.com. SEGUNDO: Con fecha 19 de junio de 2015 el Director de la Agencia Española de Protección de Datos acordó “ARCHIVAR el procedimiento sancionador PS/00064/2015 por caducidad de las actuaciones previas de investigación E/02829/2014, ordenando a la Subdirección General de Inspección de Datos de esta Agencia que proceda a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/03902/2015. “ . Dicha resolución fue notificada a Don A.A.A. y a Don B.B.B. con fechas 24 de junio de 2015 y 3 de julio de 2015, respectivamente. En los Fundamentos de Derecho III y IV de dicha resolución se señalaba lo siguiente: <<III En este supuesto, consta que la denuncia tuvo entrada en esta Agencia Española de Protección de Datos el 11 de febrero de 2014, llevándose a cabo con posterioridad actuaciones previas al objeto de determinar si concurrían circunstancias que justificaran la iniciación del procedimiento sancionador correspondiente. El procedimiento sancionador nº PS/00064/2015 se inició mediante acuerdo del Director de la Agencia Española de Protección de Datos de fecha 9 de febrero de 2015, no habiéndose notificado a Don A.A.A. hasta el día 16 de febrero de 2015. Por lo que, de conformidad con lo señalado en el mencionado artículo 122 in fine del RDLOPD, se ha producido la caducidad de las actuaciones previas de investigación E/02829/2014, ya que han transcurrido más de doce meses a contar desde la fecha en la que la denuncia tuvo su entrada en esta Agencia y la efectiva notificación del acuerdo de inicio del procedimiento sancionador, no procediendo, por tanto, entrar en el resto de cuestiones que versan sobre el fondo del asunto. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 Establecido lo anterior, el artículo 92.3 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que, “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción.” En el presente caso, los hechos denunciados podrían suponer, a la vista de la información disponible en la actualidad por esta Agencia, la comisión una infracción grave a lo previsto en el artículo 44.3.

  1. b)de la LOPD, cuyo plazo de prescripción es de dos años a contar desde el día en que la infracción se hubiera cometido en virtud de lo previsto en los apartados 1 y 2 del artículo 47 de la citada Ley. De este modo, dado que entre la documentación analizada durante las actuaciones previas de inspección E/02829/2014 figura impresión de la información procedente de la muestra de la base de datos empresarial comercializada para la realización de campañas de marketing accesible en el sitio web www.esbasesdedatos.com a fecha 4 de febrero de 2015, y que incluía, ocho direcciones de correo electrónico que incorporaban datos de carácter personal vinculadas a una persona física identificada o identificable, la citada infracción no estaría prescrita a la fecha de la presente resolución por no haber transcurrido el plazo de prescripción de dos años señalado en el artículo anteriormente citado para las infracciones graves a la LOPD. En consecuencia, y al objeto de contrastar la adecuación de los hechos denunciados a la normativa en materia de protección de datos, se dan instrucciones a la Subdirección General de Inspección de Datos para que se inicien nuevas actuaciones previas de investigación y se abra con tal motivo el expediente número E/03902/2015, al no estimar prescrita la presunta infracción cometida a la LOPD.>> TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas E/03902/2014, los Servicios de Inspección de esta Agencia tuvieron conocimiento de los siguientes hechos: 3.1 De la incorporación de la denuncia de fecha 11 de febrero de 2014 y del resultado de las actuaciones previas de inspección E/02829/2014 se tiene conocimiento de los siguientes hechos: - Don A.A.A. informó que en octubre de 2.013 adquirió a través de la web mibasededatos.com , por 495 € + iva, una base de datos que contaba con un registro de 1.250.000 registros, para hacer una campaña de marketing con el fin de intentar vender los productos que comercializa a empresas. Acto seguido, para intentar recuperar los gastos generados por esa compra, creó la web http://www.esbasesdedatos.com , a través de la cual vendió 24 bases de datos en 1 año y medio, por un importe aproximado de unos 2.000 €, aunque señalaba que había decidido dejar de vender bases de datos por falta de rentabilidad. EI número de registros de la reseñada base de datos 1.181.787, siendo su estructura la siguiente: esbasesdedatos.es de Formato excell, con diferentes columnas, la información que vienen sobre cada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 registro es la siguiente:- nombre, dirección, Código postal, provincia, página web( si la tuviera), mail ( si la tuviera) y sector al que pertenece En cuanto al origen de los datos, dicha persona señalaba que fueron adquiridos a mibasededatos.com, página web que vendía bases de datos. No dispone de un sistema de actualización de los datos, habiéndose informado a los compradores que la base de datos se la vendieron actualizada desde Septiembre de 2.013. Las solicitudes de baja recibidas se atienden eliminando la información de la base de datos. No se dispone del servicio de exclusión publicitaria proporcionado por ADIGITAL, para la actualización de ficheros. En la base de datos no figuraba ningún registro que contenga el mail ....@.... - El dominio esbasesdedatos.com estaba registrado por Don A.A.A., cuyos datos aparecían junto a la información de contacto que se muestra en el sitio web www.esbasesdedatos.com, desde el que se comercializan bases de datos empresariales para la realización de campañas de marketing. - Descargada con fecha 4 de febrero de 2015 la base de datos mostrada como ejemplo del tipo de información ofrecida en el citado sitio web, y tras realizar un estudio de las direcciones de correo electrónico contenidas en la misma al objeto de determinar si aparecen cuentas que puedan ser vinculadas a una persona física identificada o identificable, se observa que dicho fichero incluye, entre otras, las siguientes direcciones de correo electrónico que incorporan datos de carácter personal como el nombre y el primer apellido o los dos apellidos, la primera inicial del nombre y el primer apellido o los dos apellidos, asociados al resto de información recogida en cada registro. ....1@.... ....2@...., ....3@.... ....4@.... ....5@.... ....6@.... ....7@.... ....8@.... 3.2. Con fecha 17 de septiembre de 2015 desde la Subdirección General de Inspección de Datos, en el marco de las actuaciones previas de inspección E/03902/2015, se requirió nuevamente información a D. A.A.A., quien con fecha 14 de octubre de 2015 manifestó que durante el año 2015 no comercializó la base de datos esbasededatos.es, habiendo sido dada baja la página web en la que se alojaba. Añade que la base de datos ha sido destruida, por lo que es imposible la comercialización. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 TERCERO: Con fecha 1 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a Don A.A.A., en adelante el denunciado o LAMP, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 € , de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el denunciado presentó escrito de alegaciones reconociendo la responsabilidad sobre los hechos imputados a los efectos previstos en el artículo 8 del Reglamento para el procedimiento de la potestad sancionadora, aprobado por RD 1398/1993, de 4 de agosto, así como a los efectos del artículo 45.5.
  3. d)de la LOPD, rebajándose la sanción a los importes de las infracciones leves. Respecto de los criterios de minoración del artículo 45 de la LOPD afirma concurren los supuestos a),
  4. b)
  5. c)del mismo. A estos efectos recuerda que tan pronto como se tuvo conocimiento de la denuncia y de la apertura del anterior procedimiento sancionador procedió al cierre de la página web esbasesdedaos.com y a la destrucción de la base de datos, ya que como se indicó en el escrito anterior de octubre de 2015 ya no se estaba haciendo uso de la misma, aportando como prueba de ello “Certificado de baja” de la citada página web. El reconocimiento espontáneo de culpabilidad se realiza a través del escrito de alegaciones. Asimismo, solicita que se aplique la multa en su grado mínimo de 900 euros por concurrir como atenuantes los criterios de graduación b), d),
  6. e)f),
  7. g)y
  8. h)recogidos en el apartado 4 del citado artículo 45 de la LOPD. Así, afirma que la base de datos tiene 1.2000.000 datos y tan sólo constan como datos personales ocho direcciones de correo que pudieran ser objeto de protección, lo que supone un porcentaje mínimo, no habiéndose recibido denuncia alguna correspondiente a esas direcciones. El denunciado es una persona física conforme prueba la declaración de la renta del ejercicio 2014. No se ha obtenido beneficio alguno con los correos electrónicos indicados al no haberse mantenido comunicaciones con los mismos. No ha existido dolo por su parte, habiéndose procedido al cierre inmediato de la web al tener conocimiento del primer expediente sancionador. No se ha cometido anteriormente ninguna infracción y no se ha acreditado daño alguno al denunciante. QUINTO: Con fecha 25 de abril de 2016 se intenta acceder al sitio web www.mibasesdedatos.com con resultado infructuoso al no estar disponible el mismo. SEXTO: Al haber reconocido el denunciado los hechos que se le imputan y la responsabilidad que se deriva de los mismos, se procede a elevar a la Directora de la Agencia de Española de Protección de Datos el expediente a los efectos de dictar la resolución que corresponda al respecto. HECHOS PROBADOS PRIMERO: Don A.A.A., en adelante el denunciado, fue responsable C/ Jorge Juan, 6 28001 – Madrid de la página www.agpd.es sedeagpd.gob.es 5/21 web http://www.esbasesdedatos.com, desde la que se comercializaban bases de datos empresariales para la realización de campañas de marketing directo. Desde la citada página web se ofertaban los siguientes tipos o categorías de productos: bases de datos nacionales, bases de datos por provincias ,bases de datos por región y bases de datos por sectores profesionales, pudiendo también proporcionarse bases de datos personalizadas según las necesidades del comprador. (folios 3, 27, 30) Los diferentes listados ofertados resultaban de la segmentación de un fichero con 1.181.787 registros de empresas. Cada registro tenía los siguientes campos: razón social, dirección completa, código postal, población, provincia, página web (si la tuviera), email (si lo tuviera) y sector empresarial al que pertenecía. (folios 27, 37 al 47) SEGUNDO: El denunciado ha manifestado que los datos obrantes en el fichero del que se extraían las bases de datos comercializadas en la página web de su titularidad procedían de una base de datos adquirida en octubre de 2013 a través del sitio web www.mibasededatos.com (Folios 27, 28 y 57 ) TERCERO: Con fecha 4 de febrero de 2015 se comprueba que dichos productos eran promocionados en la mencionada página web como un medio de captar clientes y aumentar las ventas con expresiones como: “Descárgate una sencilla demostración de una de nuestras bases de datos y comprueba la utilidad del listado de clientes que te suministramos. ¿Vamos! Es sencillo y gratuito” “Envía tus mensajes a un mayor número de clientes segmentado por situación geográfica y por sectores de afinidad. Llega a más clientes y demás calidad. Segmenta. Comunica y gana. “ (folio 32) “esbasesdedatos. Aumenta tu público. Múltiplica tus ventas. 8 consejos para la salud de tu base de datos ante una campaña de Marketing directo“ (folio 34) “Es muy habitual que el sector de la venta de datos comerciales ocasiones preguntas sobre efectividad, privacidad, alcance, correo basura…En nuestro caso estamos avalados por la práctica diaria de decenas de empresas que nos confirman su satisfacción con nuestro producto. Muchas de ellas consiguen aumentar sus ventas con un mensaje correcto y una herramienta de difusión universal: su correo electrónico. Asesoramiento en bases de datos “(folio 35) “Lleve su red comercial al máximo nivel con nuestra base de datos nacional de empresas. Todas las categorías y sectores profesionales en un extenso listado con el que usted sólo puede triunfar.” (folio 37) “Benefíciese de tener a su público potencial a un solo clic” (folio 37) CUARTO: Con fecha 4 de febrero de 2015 ,al acceder a la muestra descargable puesta a disposición de los visitantes en el sitio web www.esbasesdedatos.com, se constata que dicho fichero de muestra incluye en el campo del email de los registros afectados las siguientes direcciones de correo electrónico con datos de carácter personal de las personas físicas usuarias de las mismas: (folios 46 al 51) ....1@....; ....2@...., ; ....3@...., ....4@.... ; ....6@....; ....5@.... ....7@.... ; ....8@.... C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 QUINTO: Con fecha 25 de octubre de 2013 el denunciado registró a su nombre el dominio esbasesdedatos.com, apareciendo el nombre y apellido del denunciado en el acceso realizado el 4 de febrero de 2015 al sitio web www.esbasesdedatos a efectos de contacto . (folios 21, 30, 32 y 30) SEXTO: Con fecha 5 de marzo de 2015 el denunciado dio de baja el hospedaje en el que se alojaba el sitio web www.esbasesdedatos.com, comprobándose con fecha 25 de mayo de 2016 que no podía accederse a dicho sitio web al no encontrarse el servidor de la página. (folios 21, 72, y 87) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/93, de 4 de agosto, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido voluntariamente su responsabilidad en la comisión de los hechos notificados en el acuerdo de inicio del procedimiento sancionador, procede resolver el procedimiento iniciado. III El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. El concepto de dato de carácter personal aparece definido en el artículo 3.
  10. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
  11. f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, , en adelante RDLOPD, como datos de carácter personal: “Cualquier información numérica, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
  12. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” Expuesto lo anterior, y en relación con los hechos que se imputan en el presente procedimiento, se hace necesario definir diversos conceptos que, junto con los ya transcritos, permitirán analizar si las direcciones de correo electrónico objeto de estudio constituyen, o no, datos de carácter personal conforme a la LOPD y, más adelante, si el tratamiento efectuado por el denunciado al tratar dicha información de naturaleza personal en una base de datos empresarial comercializada para la realización de campañas publicitarias excedería del tratamiento excluido del régimen de aplicación de la protección de datos de carácter personal contemplado en el artículo 2.2 del RDLOPD, requiriendo, por tanto, contar con el consentimiento inequívoco de los usuarios o titulares de dichas direcciones para la el tratamiento de sus datos personales con finalidades comerciales y publicitarias al margen de su condición de personas físicas que prestan servicios en empresas o de la condición de empresarios individuales. Para ello se acude a las definiciones recogidas en los apartados b), c), y
  13. e)del artículo 3 de dicha norma en relación con los siguientes conceptos: ”
  14. b)“Fichero:” Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” “.
  15. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”, “
  16. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  17. c)del presente artículo.” IV A la vista de las definiciones anteriores, y en relación con la primera cuestión planteada, se deduce que la dirección de correo electrónico, considerando que contiene información de su titular, o en la medida en que permita proceder a la identificación del mismo sin realizar esfuerzos desproporcionados para ello, ha de ser considerada como dato de carácter personal, estando su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado afectado no ha dado su consentimiento para ello. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, atendiendo al grado de identificación del titular de la cuenta de correo que proporcione la dirección de que se trate. Así, existirán supuestos en los que no existe duda sobre que la dirección de correo electrónico es un dato de carácter personal al contener información identificativa de su titular. También habrá otros supuestos en los que aunque la dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 electrónico no parezca mostrar datos relacionados con la persona titular de la cuenta, sin embargo, en la medida en que el titular de dicha dirección de correo electrónico sea una persona física nos encontraremos ante un dato de carácter personal. Debe añadirse, evidentemente, que si junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como su nombre y apellidos, su número de teléfono, su domicilio, puesto de trabajo, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante un supuesto de tratamiento de datos de carácter personal. Ahora bien, no podrán considerarse datos de carácter personal las direcciones cuyo titular no pueda asignarse a una persona física por referirse a un colectivo, como pueden ser las formadas con expresiones como “Información”, “Atencióncliente”, etc.. Sentado lo anterior, como resultado del acceso efectuado con fecha 4 de febrero de 2015 en el fichero descargado del propio sitio web www.esbasesdedatos.com pudo comprobarse que el mismo contenía datos de carácter personal concernientes a personas físicas identificadas o identificables sin esfuerzos desproporcionados, ya que en el mismo se localizaron ocho direcciones de correo electrónico compuestas, según se observa en el Hecho Probado Cuarto, por el nombre y el primer apellido o los dos apellidos, o la primera inicial del nombre y el primer apellido o los dos apellidos de sus titulares y/o usuarios. Al hilo de lo ya expuesto, conviene traer a colación la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2015, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la dirección de correo profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN de 23 de marzo 2006 (Rec. 911/2003), 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen Jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002 )". Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. En el caso de autos, la dirección de correo electrónico que la Asociación recurrente tenía registrada en sus ficheros era YYYYYYYYY que, en contra de lo alegado por la recurrente, no es una dirección de correo electrónico de una persona jurídica, en concreto de los Laboratorios YYYYYYYYYY, sino de una persona física, el denunciante Don FL A mayor abundamiento, en el presente caso la dirección aparece conformada por el nombre de la persona física titular de la misma. Se trata de la dirección de correo de una persona física en los laboratorios donde presta sus servicios, viene referida a dicha persona física, tratándose de su dirección profesional. Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la citada Ley Orgánica 15/1999, SAN, Sec. 1ª de 3 de octubre de 2007 (Rec. 163/2006). Además, cabe señalar que el tratamiento que hizo la Asociación recurrente de la citada dirección de correo para remitir el video y comunicado en cuestión, no guarda relación con la actividad de los citados laboratorios, sino que hace referencia a una cuestión referente a un ámbito distinto, estrictamente privado o personal que trasciende el ámbito de la citada entidad y de la actividad profesional del denunciante.” Con arreglo al citado criterio de la Audiencia Nacional, no cabe duda de que, al menos, las ocho direcciones de correo electrónico que fueron localizadas al descargar, con fecha 4 de febrero de 2015, la muestra gratuita proporcionada en la página web http://www.esbasesdedatos.com contenían información que identificaba o permitía identificar, sin esfuerzos desproporcionados, a las personas físicas titulares o usuarios de las mismas por tratarse de su dirección de correo electrónico profesional personal. V En lo que se refiere a la segunda cuestión planteada, para establecer si el tratamiento efectuado con esos datos personales de contacto tuvo lugar, o no, bajo la esfera de la normativa de protección de datos hay que remitirse a lo dispuesto en el artículo 2.1 de la LOPD y los apartados 2 y 3 del artículo 2 del Reglamento de desarrollo de dicha Ley. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Respecto del “Ámbito objetivo de aplicación” del RDLOPD los apartados 2 y 3 del artículo 2 de dicho Reglamento establecen lo siguiente: “2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. . Asimismo, los datos relativos a empresarios individuales, cuando hagan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. “ A los efectos de valorar si estamos ante un tratamiento de datos de carácter personal excluido de la normativa de protección de datos, habrá que determinar si el tratamiento realizado por LAMP con los correos electrónicos objeto de análisis respondió únicamente a fines de contacto empresarial, y por ello a un uso meramente accidental en relación con la verdadera finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios profesionales o, por el contrario, si el tratamiento estudiado obedeció a otras finalidades referidas al ámbito privado y personal de los afectados que trascendían de las actividades desarrolladas por estas personas físicas en función de la posición ocupada en las organizaciones empresariales de las que formaban parte. En el segundo caso, el tratamiento de datos personales estaría sometido a la normativa de protección de datos por exceder del ámbito empresarial en el que se enmarcan los ficheros de contactos a los que se refiere la exclusión del artículo 2.2 del RDLOPD, puesto que el dato personal de contacto deja de utilizarse como un medio para acceder a la persona jurídica en sus ámbito propio de actuación para ser una forma de contactar directamente con el sujeto titular o usuario de dichas cuentas de correo en su calidad de consumidor individual. La problemática de la aplicación de los apartados 2 y 3 del artículo 2 del reglamento de desarrollo de la Ley Orgánica 15/1999 ha sido reiteradamente analizada por esta Agencia a partir del informe del Gabinete Jurídico de fecha 18 de febrero de 2008. En cuanto a la aplicación del artículo 2.2 del reglamento, el citado informe alcanza la conclusión de que su aplicación tendrá lugar siempre y cuando se cumplan dos requisitos, a los que se refiere en los siguientes términos: “ (…) En consecuencia, la Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. Por ello, no se encontrarían excluidos de la Ley los ficheros en los que, por ejemplo, se incluyera el dato del documento nacional de identidad del sujeto, al no ser el mismo necesario para el mantenimiento del contacto empresarial. Igualmente, y por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 razones obvias, nunca podrá considerarse que se encuentran excluidos de la Ley Orgánica los ficheros del empresario respecto de su propio personal, en que la finalidad no será el mero contacto, sino el ejercicio de las potestades de organización y dirección que a aquél atribuyen las leyes. El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones "business to business", de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, si la relación fuera "business to consumer", siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de fa comunicación, el tratamiento se encontrarla plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto en el artículo 2.2 del Reglamento." Igualmente, en el citado informe se señala, en relación con la aplicación del artículo 2.3, que la misma será posible si se cumplen dos requisitos: “ (…) Así, el tratamiento de los datos del empresario individual, con las limitaciones que se han venido señalando, para mantener una relación comercial con el mismo, podría encontrarse amparado por el artículo 2.3 del Reglamento, en conexión con las normas de la Ley Orgánica 15/1999 que se han venido indicando. Sin embargo, no podrá considerarse amparado por el precepto, y en consecuencia excluido de la Ley Orgánica 15/1999, el tratamiento de los datos del comerciante llevado a cabo no con la finalidad de mantener una relación empresarial con el establecimiento y organización que el mismo hubiera creado, sin para conocer la información del propio sujeto organizado en forma de empresa, siendo el destinatario del tratamiento no la empresa sino el propio empresario en tanto, por ejemplo, que consumidor individual. En consecuencia, de lo que ha venido indicándose cabrá extraer dos conclusiones determinantes del alcance de lo dispuesto en el artículo 2.3 del Reglamento: C/ Jorge Juan, 6 28001 – Madrid - Cabrá considerar que la legislación de protección de datos no es aplicable en los supuestos en los que los datos del comerciante sometidos a tratamiento hacen referencia únicamente al mismo en su condición de comerciante, industrial o naviero; es decir, a su actividad empresarial. - Al propio tiempo, el uso de los datos deberá quedar limitado a las actividades empresariales; es decir, el sujeto respecto del que pretende llevarse a cabo el tratamiento es la empresa www.agpd.es sedeagpd.gob.es 12/21 constituida por el comerciante industrial o naviero y no el empresario mismo que la hubiese constituido. Si la utilización de dichos datos se produjera en relación con un ámbito distinto quedaría plenamente sometida a las disposiciones de la Ley Orgánica.” En este caso, de las actuaciones practicadas durante la instrucción del procedimiento y de la documentación obrante en el mismo, se desprende que la información de contacto obrante en la base de datos se comercializaba con fines de marketing directo. De lo que se colige que la naturaleza del tratamiento publicitario y comercial realizado por LAMP con los mencionados correos electrónicos de contacto no puede desligarse de la condición de consumidores individuales de sus titulares, y como tales potenciales “futuros clientes” de los compradores de las bases de datos promocionadas en la página web de tanta cita. Así, en la situación analizada, la inclusión de los citados correos electrónicos ha tenido como destinatario de la relación a la persona física titular del dato personal en lugar de a la persona jurídica en la que el empleado prestaba servicios, por lo que aunque las cuentas de correo electrónico profesionales analizadas formasen parte del citado fichero de empresas no resultaba de aplicación a las mismas la excepción prevista en el artículo 2.2 del RDLOPD. Es decir, el denunciado usó los datos de contacto profesionales de personas físicas con finalidades que excedían de las propias de los ficheros de contactos de empresas por los motivos señalados. Por lo que la finalidad del tratamiento de los correos comerciales estudiados se residencia en los propios sujetos y no en las entidades en las que éstos desarrollan su actividad o a las que representan en sus relaciones con quienes tratan los datos. Probado que la información contenida en el fichero, y las bases de datos resultantes de la segmentación del mismo, se usan con fines publicitarios, cabe afirmar que el denunciado ha realizado un tratamiento de los datos de carácter personal de contacto analizados ajeno al descrito en el artículo 2.2 del RDLOPD. A la vista de lo cual, y con independencia de que en marzo de 2015 se cerrase la página web y se destruyese la base de datos al no darle un uso comercial a la misma, el tratamiento efectuado hasta ese momento estaba sometido a las garantías de la normativa de protección de datos al estar vinculado al ámbito privado y personal de los sujetos afectados, requiriendo, en consecuencia, del consentimiento inequívoco de los titulares o usuarios de dichos correos electrónicos exigido en el apartado primero del artículo 6 de la LOPD, excepción hecha de que mediase legitimación legal como contempla dicho apartado o se diera alguno de los supuestos recogidos en el apartado segundo del mismo artículo 6 de dicha norma. Así, en el supuesto analizado, la información obtenida a través del reseñado acceso al citado sitio web con anterioridad al cierre del mismo prueba que su responsable, en este caso el denunciado, promocionaba y comercializaba la información contenida en las diferentes bases de datos empresariales ofertadas para su uso en campañas de marketing directo, utilizándose expresiones que remitían directamente a las finalidades publicitarias a las que se destinaba el fichero que contenía los datos de carácter personal analizados, tales como “Envía tus mensajes a un mayor número de clientes segmentado por situación geográfica y por sectores de afinidad. Llega a más clientes y demás calidad. Segmenta. Comunica y gana.“ (folio 32) o “esbasesdedatos. Aumenta tu público. Multiplica tus ventas. 8 consejos para la salud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 de tu base de datos ante una campaña de Marketing directo“ (folio 34) En atención a la finalidad eminentemente publicitaria a la que respondía la información registrada en las bases de datos comercializadas con fines de marketing directo desde la mencionada página web, cabe afirmar que los correos electrónicos de contacto contenidos en las mismas referidos a personas físicas identificadas o identificables, constituían un tratamiento de dicha información por parte de LAMP en su condición de consumidores individuales, el cual estaba al margen de su posición de sujetos de contacto empresarial con las personas jurídicas a las que pudieran prestar sus servicios. Esta conducta no sólo resulta aplicable a las ocho cuentas de correo electrónico obtenidas de la muestra contenida en la página web citada, sino que también lo sería al resto de cuentas de correo electrónico contenidas en las diferentes bases de datos comercializadas por el denunciado con fines publicitarios que tuvieran la misma estructura de las ahora analizadas y fueran, también, objeto de un tratamiento automatizado por parte del denunciado en mencionado fichero. VI El artículo 43.1 de la vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, concepto que debe integrarse con la definición que de los mismos realiza el artículo 3.
  18. d)de la LOPD al entender como “Responsable del fichero o tratamiento” a “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”, por lo que ambas figuras están sujetas al régimen sancionador de la LOPD. Por su parte, el artículo 5.1.
  19. q)del RDLOPD considera como tal a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” De acuerdo con los preceptos de la normativa de protección de datos transcritos, el denunciado, resulta responsable del tratamiento automatizado efectuado con los datos de carácter personal incluidos en la base de datos que comercializó hasta principios de marzo de 2015, momento en que procedió al cierre de la página web http://www.esbasesdedatos.com y a la destrucción de la base de datos (fichero) al no hacerse uso de la misma, habida cuenta que ha decidido el uso publicitario de una serie de direcciones de correo electrónico que contenían el nombre y el primer apellido o los dos apellidos, o la primera inicial del nombre y el primer apellido o los dos apellidos de sus respectivos usuarios o titulares, por lo que, LAMP decidió sobre la finalidad, contenido y uso del tratamiento automatizado realizado con los datos de carácter personal incluidos en el fichero maestro del que se nutrían las bases de datos que comercializaBA. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 En el presente procedimiento sancionador se imputa a LAMP una infracción a lo previsto en el artículo 6.1 de la LOPD, que consagra el principio del consentimiento del afectado o autodeterminación, dispone lo siguiente: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado. “ Es decir, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, excepción hecha de la existencia de legitimación legal para ello o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6, definiéndose en el apartado
  20. h)del artículo 3 de la LOPD como “ Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en genera. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. VIII En el presente supuesto, el denunciado no ha acreditado contar con el consentimiento previo e inequívoco de las personas físicas titulares y/o usuarios de, al menos, las ocho direcciones de correo electrónico detalladas en el Hecho Probado Cuarto de esta resolución, todas ellas asociadas a personas físicas identificadas o identificables, para la inclusión y utilización de dichos datos personales en un fichero empresarial con fines publicitarios en su condición de consumidores individuales. Fijado lo anterior resulta preciso estudiar si a dicho tratamiento le resultaría de aplicación la excepción al consentimiento recogida en el artículo 6.2 de la LOPD por proceder de fuentes accesibles al público. El artículo 3
  21. j)de la LOPD entiende como “Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. “. Esta definición debe completarse con lo previsto en el artículo 7 del Reglamento, por el que se desarrolla la LOPD, según el cual: “1. A efectos del artículo 3, párrafo
  22. j)de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
  23. a)El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
  24. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
  25. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
  26. d)Los diarios y boletines oficiales.
  27. e)Los medios de comunicación social. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. “ Tampoco el denunciando ha acreditado que los correos electrónicos objeto de estudio procedieran de alguna de las fuentes que la normativa de protección de datos considera, en forma exclusiva, como accesibles al público, limitándose a poner de manifiesto que el fichero fue adquirido en octubre de 2013 a mibasededatos.com. En esta línea, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” En definitiva, en atención al juego de la prueba en el procedimiento sancionador, a la parte que acusa o imputa, le compete probar el hecho constitutivo de la infracción, esto es, el tratamiento de datos de carácter personal (ya probado por la Agencia), y a la parte imputada, el hecho extintivo o impeditivo, esto es, que el denunciado contaba con el consentimiento inequívoco de los usuarios y titulares de dichos datos para su inclusión y mantenimiento en un fichero comercializado con fines de marketing directo, o bien, que no lo precisaba con arreglo a alguno de los supuestos de excepción del artículo 6.2 de la LOPD. En este sentido se recuerda lo establecido en los apartados 1 y 3 del artículo 12 del RDLOPD respecto del principio general del consentimiento para el tratamiento de los datos, en los que se señala que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ Además, también resulta de aplicación al tratamiento de los datos de carácter personal de contacto registrados en el mencionado fichero objeto de análisis lo previsto en los artículos 30.1 de la LOPD y 45 del RDLOPD. El artículo 30.1 de la LOPD, relativo a los “ Tratamientos con fines de publicidad y de prospección comercial” establece que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.” (el subrayado es de la AEPD) Por su parte, el artículo 45 del RDLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, completa el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  28. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  29. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  30. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “(el subrayado es de la AEPD) De lo que se infiere que de haberse justificado por el denunciado que los correos electrónicos estudiados procedían de fuentes de acceso público, lo que se insiste no ha ocurrido, el tratamiento de los mismos estaría dispensado de la exigencia de contar con el consentimiento inequívoco de los afectados para su inclusión en la citada base datos empresarial con fines comerciales y publicitarios, conforme a lo previsto en los reseñados artículos 6.2 y 30.1 de la LOPD. Igualmente, se observa que las páginas web de Internet no tienen la consideración de medios de comunicación social que se desprende de la relación tasada de fuentes accesibles al público que figura en el mencionado artículo 3.
  31. j)de la LOPD. Lo que supone que tanto la recogida de los correos electrónicos que figuran en las páginas web de Internet susceptibles de ser considerados datos de carácter personal, como su posterior inclusión y mantenimiento en una base de datos que se comercializa con fines de marketing directo, son tratamientos que están sometidos al principio general del consentimiento inequívoco de los afectados recogido en el artículo 6.1 de la LOPD y a la obligación de informar previamente a los afectados titulares de los datos sobre los sectores específicos y concretos de actividad respecto de los que podrían recibir publicidad. En consecuencia, al no constar acreditado el consentimiento de los usuarios o titulares de las mencionadas direcciones de correo electrónico para finalidades publicitarias ajenas a las de contacto empresarial, y siendo dicho consentimiento un requisito necesario en los tratamientos con fines de publicidad y de prospección comercial, conforme se desprende de lo previsto en los artículos 6.1 y 30.1 de la LOPD, excepción hecha de que se hubiese probado que los datos procedían de fuentes accesibles al público o que hubieran sido facilitados por los propios interesados, el denunciado no estaba legitimado para incluirlos sin limitación alguna en bases de datos empresariales cuyo destino es el uso publicitario de la información de contacto contenida en las mismas. Por todo lo cual, el tratamiento efectuado tuvo un alcance que excedió del necesario para el mantenimiento del contacto empresarial al que se refiere el artículo 2.2 del RDLOPD, estando sometido, por lo tanto, al principio del consentimiento de la LOPD . De lo que se concluye que LAMP, como responsable del tratamiento efectuado, no ha acreditado contar con el consentimiento inequívoco de los afectados titulares o usuarios de las ocho direcciones de correo electrónico detalladas en el expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 para tratar dicha información de carácter personal en las bases de datos empresariales que vendía con fines de comercialización publicitaria, requisito exigible también al resto de cuentas de correo electrónico contenidas en el fichero analizado que contengan datos de carácter personal que identifican o hacen identificables a sus titulares y usuarios. IX El artículo 44.3.
  32. b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso se cumple el supuesto de hecho que tipifica el citado precepto, toda vez que ha quedado razonado que el denunciado no ha justificado contar con el consentimiento inequívoco de las personas físicas titulares o usuarias de las reseñadas direcciones de correo electrónico empresarial para efectuar un tratamiento que, al referirse a la condición de personas físicas consumidoras de los afectados, excedía del asignado a los datos personales contenidos en ficheros de contacto empresarial al que se refiere el artículo 2.2 del RDLOPD. Por lo que al afectar a la esfera particular de los usuarios o titulares de dichas cuentas de correo electrónico, dicho tratamiento precisaba del consentimiento inequívoco de los afectados para tratar las reseñadas cuentas de correo electrónico con la finalidad publicitaria a la que el denunciado destinaba el fichero empresarial comercializado. De conformidad con lo indicado, LAMP resulta responsable, a título de culpa, de la comisión de la infracción grave descrita al incumplir en la forma descrita el principio general del consentimiento previsto en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  33. b)de la citada Ley Orgánica. X El artículo 45 de la LOPD, en sus aparatados 1 a 5, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  34. a)El carácter continuado de la infracción.
  35. b)El volumen de los tratamientos efectuados.
  36. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  37. d)El volumen de negocio o actividad del infractor.
  38. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  39. f)El grado de intencionalidad.
  40. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21
  41. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  42. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  43. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  44. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  45. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  46. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  47. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  48. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello, considerando las previstas expresamente en dicho apartado 5 y la concurrencia significativa de varias de las circunstancias recogidas en el apartado 4 anterior, así como cualquier otra “que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. En el presente caso, se aprecia que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, simultaneándose los supuestos
  49. a)y
  50. b)contemplados en el citado artículo 45.5. De esta forma, se entiende que se ha producido una cualificada disminución de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 la culpabilidad del denunciado al confluir de forma significativa varios de los criterios enunciados en el artículo 45.4 de la LOPD. En forma particular, se aprecia una manifiesta ausencia de intencionalidad en la conducta del infractor, criterio f), que se sustenta en dejó de comercializar las bases de datos empresariales a través de la página web de su titularidad al recibir el acuerdo de inicio del anterior procedimiento sancionador instruido por estos hechos, y cuyas actuaciones previas se declararon caducadas. Esta circunstancia , si bien no le exime de responsabilidad en la comisión de la infracción imputada al principio del consentimiento, sin embargo si la atenúa considerablemente junto con el criterio
  51. c)de dicho precepto, ello en atención a la condición de persona física no habituada al tratamiento de datos personales en el ejercicio de su actividad profesional principal relacionada con la venta de productos de riego y jardín, siendo la explotación de las bases de datos empresariales una actividad complementaria a la anterior. En cuanto al supuesto b), ya en la contestación efectuada por el denunciado a la solicitud de información que le fue realizada por esta Agencia durante las actuaciones previas de inspección del presente procedimiento sancionador éste justificó que, con fecha 5 de marzo de 2015, procedió a cerrar el sitio web www.esbasesdedatos.com de su titularidad. Dicha medida correctora se practicó en cuanto tuvo conocimiento de la situación irregular, reaccionando en forma diligente e inmediata a los efectos de cesar en el tratamiento publicitario inconsentido que venía dando, como mínimo, a los ocho correos electrónicos profesionales de contacto de los afectados localizados con motivo de la prueba realizada el 4 de febrero de 2015. Por ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 2 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. Por otra parte, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD anteriormente transcrito se valoran como atenuantes los supuestos recogidos en los apartados
  52. h)y
  53. j)del mismo, toda vez que no hay pruebas de que a raíz de la infracción cometida se hayan causado perjuicios al denunciante o a terceros, así como la respuesta del denunciado que tan pronto como recibió la notificación del acuerdo de inicio del presente procedimiento como la del expediente PS/00064/2015, que se declaró caducado conforme se ha señalado en el Antecedente de Hecho Segundo , reconoció voluntariamente su responsabilidad en la comisión de los hechos que le fueron notificados. Paralelamente, se entiende que los criterios
  54. a)y
  55. b)del mencionado precepto operan como agravantes, ello en razón del carácter continuado de la infracción , ya que consta en el procedimiento que comercializó la base de datos desde finales de octubre de 2013 hasta principios de marzo de 2015, y habida cuenta que el tratamiento de datos de carácter personal inconsentido ha afectado, al menos, a los titulares de las ocho direcciones de correo electrónico que aparecen en el Hecho Probado Cuarto. A tenor de todo lo cual, se estima adecuado a la gravedad de los hechos imputados imponer al denunciado con arreglo a lo dispuesto en los artículos 45.4 y 5 de la LOPD y 131 de la LRJ-PAC una multa por importe de 5.000 €. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad A.A.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  56. b)de la LOPD, una multa de 5.000 euros, (Cinco mil euros), de conformidad con lo establecido en los apartados 2, 4, y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y a Don B.B.B. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.