← España

PS-00715-2015

1/13 Procedimiento Nº PS/00715/2015 RESOLUCIÓN: R/00854/2016 En el procedimiento sancionador PS/00715/2015, instruido por la Agencia Española de Protección de Datos a la entidad APPLUS ITEUVE TECHNOLOGY, S.L.U., RESTAURANTES McDONALD'S SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23 de enero de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: Ha recibido, sin especificar fecha, una carta a su nombre y en su domicilio remitida por APPLUS ITEUVE TECHNOLOGY informándole que el periodo para pasar la ITV de su vehículo matricula ***MATRÍCULA.1 termina el 14/11/2014 y que la estación donde realizó la última revisión fue la denominada T-06 TARRAGONA. El escrito incluye información publicitaria con una promoción de descuento válida en determinados restaurantes de la cadena McDONALD´S. Considera que se ha producido un desvío de finalidad al utilizar el escrito informativo para remitirle publicidad de terceros. El escrito incluye una leyenda que informa que los datos personales utilizados en el envío pertenecen a un fichero del que es responsable la sociedad APPLUS ITEUVE TECHNOLOGY SLU con domicilio en Servicio de protección de datos Applus, Campus UAB, (C/...1)(Barcelona). Junto a la denuncia aporta la siguiente documentación: Copia del DNI nº ***DNI.1 a nombre de A.A.A.. Copia del escrito objeto de la denuncia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad APPLUS ITEUVE TECHNOLOGY, S.L.U., teniendo conocimiento de que: 1. En fecha de 28/8/2015 se solicita información a APPLUS ITEUVE TECHNOLOGY, S.L.U., quien remite escrito de respuesta recibido en fecha de 11/9/2015 del que se desprende lo siguiente: 1.1. Informa APPLUS que la campaña objeto de la denuncia fue realizada entre el 1/3/2014 y el 31/8/2014 a través de la empresa BOOMERANG MEDIA que medio entre APPLUS y MACDONALD´S sin que en ningún momento existiera intercambio de datos personales entre ninguna de las tres empresas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 1.2. Señala APPLUS que una vez recibieron los folletos de la campaña con la publicidad preimpresa de MACDONALD´S, procedieron a imprimir los datos de nombre, apellidos y dirección postal de su base de datos de los destinatarios de la campaña, pues se les informaba de la fecha de caducidad de la ITV realizada a sus vehículos en instalaciones de APPLUS. 1.3. Aporta la entidad los datos personales de que dispone asociados a A.A.A. en su calidad de cliente de APPLUS al haber realizado la ITV del vehículo matricula ***MATRÍCULA.1 en sus instalaciones durante varios ejercicios, añadiendo que realizó la reserva de su cita para la inspección de su vehículo a la través de la página web www.applusiteuve.com. 1.4. Aportan factura emitida a A.A.A. en fecha de 14.11.2013 en la que se incluye una cláusula informativa relativa al tratamiento de datos de carácter personal y en la que se informa, entre otros aspectos, de la posibilidad de “en alguna ocasió, de promocions comrcials que puguin ser del seu interés”. 1.5. Añade la entidad que actualmente en las condiciones de uso se informa de la posibilidad de realizar actividades de publicidad y prospección comercial, siendo éstas aceptadas mediante consentimiento expreso. Añade que la citada información se facilita de nuevo en el momento en que se entrega la factura de la propia inspección técnica del vehículo. 1.6. Finalmente señala APPLUS que A.A.A. ejerció, en fecha de 10/11/2014 su derecho de acceso y oposición mediante correo electrónico que fue contestado en el mismo día solicitando la documentación identificativa necesaria (DNI o documento equivalente) y haciéndolos efectivos el 14/11/2014 una vez se recibió la documentación solicitada. TERCERO:Con fecha 23 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a APPLUS ITEUVE TECHNOLOGY, S.L.U., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre (RDLOPD en adelante), por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, APPLUS ITEUVE TECHNOLOGY, S.L.U., mediante escrito de fecha 20/01/2016 formuló alegaciones, significando, que La relación con el denunciante comenzó en el año de 2008, momento desde el cual envía oportunamente una carta-aviso de su próxima ITV. El denunciante realiza la cita previa a través de www.applusiteuve.com habiendo realizado hasta la fecha un total de 5 ITVs. En las reservas online solo ha podido enviar el formulario tras marcar la aceptación de la “Política de Privacidad” lo que debe entenderse como consentimiento expreso. En las facturas cobradas por los servicios prestados también consta la mencionada política de privacidad. Nunca se ha enviado una carta con únicamente una promoción comercial, sino que siempre iban acompañadas del recordatorio de la próxima ITV. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Cuando el denunciante en fecha de 10/11/2014 envió su petición escrita de oposición a la dirección de correo establecida al efecto, se atendió diligentemente la petición por escrito y telefónicamente. QUINTO: Con fecha de 01/02/2016 se inició el período de práctica de pruebas, en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante APPLUS ITEUVE TECHNOLOGY, S.L.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02046/2015 y , las alegaciones al acuerdo de inicio PS/00715/2015 presentadas por APPLUS ITEUVE TECHNOLOGY, S.L.U., y la documentación que a ellas acompaña. SEXTO: En fecha de 15/03/2016 el Instructor del Procedimiento emitió Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a APPLUS ITEUVE TECHNOLOGY, S.L.U., con multa de 40.001 € (cuarenta mil un euro) por la infracción de los artículos 6 de la LOPD, en relación con el art. 5 de la LOPD y 15 RDLOPD tipificada como grave en el artículo 44.3
  2. b)de dicha norma. SEPTIMO: En fecha de 11/04/2016 APPLUS ITEUVE TECHNOLOGY, S.L.U., formula alegaciones a la propuesta de resolución reiterándose en lo manifestado en su anterior escrito, y añadiendo que: El objeto de la comunicación no es ofrecer el servicio del MC DONALS sino avisar al cliente d la necesidad de que el vehículo se someta a la ITV correspondiente. Los datos del denunciante no han sido cedidos a ningún tercero a los efectos de enviar las cartas-aviso con el bono promocional referido. Los cupones controvertidos tienen por objeto la promoción del aumento de la satisfacción de los clientes de APPLUS gratificando la confianza depositada e incentivando a mantener la relación cliente-empresa. Siendo el valor real del bono promocional de carácter simbólico. Las imágenes que ilustran el bono regalo corroboran el carácter secundario de la promoción, es el producto ofrecido y no la marca de la cadena de restaurantes, siendo secundaria. Por todo ello se deriva la inaplicación del art. 15 RDLOPD. APPLUS no ha infringido el deber de información, puesto que consta en la política de privacidad que consta en los folios 55 y 56 del expediente. Asimismo consta en la web www.applusiteuve.com en la cláusula de privacidad y protección de datos. Se informó, por tanto de forma, expresa, precisa e inequívoca de que una de las finalidades consentidas es el envío de promociones comerciales que pudiesen ser de su interés. El denunciante, de acuerdo, con los contactos previos a la denuncia, tuvo un comportamiento cuya finalidad era una transacción con APPLUS a cambio de que no se presentara denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Sobre la carga probatoria. No se ha probado que el denunciante manifestara con anterioridad al 10/11/214 su oposición al tratamiento para fines promocionales. Ni se demostró que la entidad denunciada no haya mostrado toda la diligencia que razonablemente podía desplegar, sino todo lo contrario. Sobre el principio de culpabilidad. Antes de proceder la empresa denunciada a tratar los datos del denunciante, éste tuvo que aceptar reiteradamente la política de privacidad de la página web, que también aparece contenida en el documento “P07-06: Aplicación LOPD” disponible en las estaciones de servicio junto con los formularios para ejercer sus derechos ARCO. Tan pronto como tuvo conocimiento dela reclamación procedió a contactar con el denunciante y a satisfacer sus derechos ARCO y reviso todas las clausulas pertinentes. Por todo ello no es imputable ni a título de dolo ni culpa conducta alguna a APPLUS puesto que actuó con toda la diligencia que razonablemente podía desplegar una vez constato el ejercicio de los derechos ARCO. Sobre el principio de proporcionalidad. Aplicabilidad del art. 45.5 LOPD. Se han de tener en cuenta el acaecimiento de varias circunstancias previstas en el art. 45.4 LOPD y por ello aplicar el art. 45.5 LOPD de acuerdo con su apartado a). En concreto: -carácter puntual de la negada infracción. -ausencia de intencionalidad. Se actuó en la creencia del amparo en el consentimiento. -reincidencia. No existe denuncia alguna por estos motivos, al margen de la presente. -naturaleza de los perjuicios causados. Es inexistente. -regularización de la situación irregular. Se procedió a hacer efectivo su derecho de oposición. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- El denunciante ha sido cliente de APPLUS ITEUVE dese el año 2008, razón por la que sus datos personales fueron incorporados a los ficheros de dicha entidad. DOS.-El denunciante ha reservado en 5 ocasiones cita para recibir los servicios de APPLUS ITEUVE, realizando la misma entre otras ocasiones de modo online, donde consta la siguiente finalidad en la leyenda informativa en la política de privacidad que hay que aceptar para completar el proceso: (…) poder gestionar su petición, así como enviarle información por cualquier medio, incluido el correo electrónico y/o medio equivalente, sobre productos, servicios, ofertas y novedades que consideremos de su interés. El usuario autoriza expresamente a Applus Iteuve Technology S.L.U., y a Applus Iteuve Euskadi S.A.U., a la utilización de dichos datos para las finalidades descritas.(…). TRES.- APPLUS ITEUVE, aporta factura emitida al denunciante en fecha de 14.11.2013 en la que se incluye una cláusula informativa que recoge la posibilidad de “en alguna ocasió, de promocions comrcials que puguin ser del seu interés. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 CUATRO.- APPLUS ITEUVE, firmo un acuerdo de promoción comercial con BOOMERANG MEDIA para la promoción de productos de MACDONALDS en virtud de la cual se utilizarían los ficheros de APPLUS ITEUVE para remitir junto a los avisos de próximas ITV promociones y descuentos en la citada cadena de restaurantes. CINCO.- Fruto del acuerdo citado el denunciante recibió publicidad postal de MCDONALDS para lo que se utilizaron sus datos personales derivados de su relación contractual con APPLUS ITEUVE. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 5.1
  4. a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. En el presente caso ha resultado probado que la entidad denunciada a través de su página web establece un mecanismo de cita previa donde consta una determinada política de privacidad, en concreto señala lo siguiente respecto de la finalidad para lo que se recogen (…) poder gestionar su petición, así como enviarle información por cualquier medio, incluido el correo electrónico y/o medio equivalente, sobre productos, servicios, ofertas y novedades que consideremos de su interés. El usuario autoriza expresamente a Applus Iteuve Technology S.L.U., y a Applus Iteuve Euskadi S.A.U., a la utilización de dichos datos para las finalidades descritas.(…). La entidad denunciada alega en su descargo tanto en las alegaciones formuladas al acuerdo de inicio, como las formuladas a la Propuesta de Resolución que en la medida en que el denunciante ha aceptado la citada política de privacidad, estarían en condiciones de remitirle la publicidad del restaurante MC DONALDS. Frente a ello, debe señalarse que no puede presuponerse prestado el consentimiento para el tratamiento realizado ya que de la leyenda no se deduce claramente la finalidad para lo que serán tratados, términos ambiguos como (…)novedades que consideremos de su interés(…) dan cabida a múltiples interpretaciones ya que en sí mismo no significan nada concreto, y el titular de los datos no puede conocer sin asomo de duda cual será la finalidad en el tratamiento, dependiendo esta en todo momento de la voluntad de APPLUS ITEUVE TECHNOLOGY, S.L.U., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 De modo que los usuarios del servicio de cita previa online que introduzcan sus datos personales desconocen el tratamiento al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. Es decir, el titular de los datos personales debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. El deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. III En relación con el deber de información en tratamiento de datos para campañas publicitarias, establece el art. 45.1
  6. b)RDLOPD, lo siguiente: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
  7. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.(…) Llegados a este punto conviene contestar a las alegaciones formuladas a la propuesta de resolución por APPLUS respecto al cumplimiento del deber de información dada la política de privacidad que ostenta y desestimarlas en base a que, no por tener política de privacidad, significa per se, que se cumple con el deber de información y por tanto el tratamiento basado en la aceptación de la misma se ajusta al principio del consentimiento. O dicho de otro modo, “no vale cualquier” política de privacidad, ya que de la que consta en los Hechos Probados dos y tres, el denunciante no conoce de modo inequívoco qué está autorizando cuando contrata o acude a los servicios de APPLUS. Tal como se expuso con acierto en la Propuesta de Resolución y transcrito en párrafos anteriores cuando se señala que (…)no puede presuponerse prestado el consentimiento para el tratamiento realizado ya que de la leyenda no se deduce claramente la finalidad para lo que serán tratados, términos ambiguos como (…)novedades que consideremos de su interés(…) dan cabida a múltiples interpretaciones ya que en sí mismo no significan nada concreto, y el titular de los datos no puede conocer sin asomo de duda cual será la finalidad en el tratamiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 dependiendo está en todo momento de la voluntad de APPLUS ITEUVE TECHNOLOGY, S.L.U.,(…) De la simple lectura de la política de privacidad se concluye que no cumple el mandato del citado art. 45.1
  8. b)del RLOPD, pues no especifica finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, ni puede entenderse que se ha informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. IV APPLUS manifiesta en sus alegaciones formuladas a la Propuesta de Resolución que no encuentra cabida la aplicación del art. 15 del RDLOPD por cuanto el fondo del envío promocional es fidelizar al cliente mediante una “cortesía comercial” siendo totalmente secundario el nombre o marca de la cadena de restaurantes. Dichas alegaciones deben rechazarse en la medida que establece el art. 15 del RDLOPD lo siguiente: si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Escapa a la lógica más elemental negar que la promoción de descuentos en un restaurante de comida rápida, nada tiene que ver con el sometimiento a las pruebas de Inspección Técnica de Vehículos, que es para lo único que acuden los clientes a APPLUS, salvo que en su objeto social guarde alguna actividad relacionada con dicha actividad hostelera, que por otra parte no ha sido puesta de manifiesto, ni como tal consta en el asiento correspondiente del Registro Mercantil Central. En el presente caso, y sin perjuicio de la imprecisión de la cláusula que ofrece APPLUS ITEUVE, no puede obviarse que está recogiendo datos y los pretende utilizar para finalidades que no guardan relación directa con el mantenimiento desarrollo o control de la relación contractual, como puede ser el envío de publicidad de terceros. Es decir, el usuario acepta “en bloque” todo aquello que quiera realizar con sus datos APPLUS ITEUVE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Por lo que debería haber permitido al denunciante en el momento de la reserva de la cita, haber expresado su negativa a ese tratamiento o comunicación de datos. En este sentido la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, ha declarado lo siguiente: no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. V Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado En el presente caso se imputa la comisión de la infracción consistente en someter a tratamiento los datos personales del denunciante por parte de la entidad APPLUS ITEUVE al haber realizado acciones de marketing utilizando dichos datos. La entidad denunciada no tenía el consentimiento del denunciante para las citadas acciones de marketing, puesto que una de las características del consentimiento es que sea previo e informado, y con la información que ofrece APPLUS ITEUVE no puede entenderse prestado por el denunciante. Siendo irrelevante a los efectos pretendidos por APPLUS ITEUVE tanto la circunstancia de no haber ejercido derecho de oposición con anterioridad por parte del denunciante, y las “presuntas” razones espurias del mismo en relación con la entidad denunciada, pues tales circunstancias no vacían de contenido el principio del consentimiento ni desprotegen al denunciante en la garantía del derecho a la protección de datos. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” En el presente caso ha resultado acreditado que APPLUS ITEUVE utilizo los datos obrantes en su fichero para someterlos a un tratamiento específico, en concreto utilizo la información de los mismos para remitir publicidad de MC DONALD´S. debiendo considerarse a APPLUS ITEUVE como responsable del fichero y del tratamiento realizado. VII Dispone el artículo 44.3.
  9. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” De acuerdo con lo dispuesto en el art. 6 de la LOPD, APPLUS ITEUVE, no ha acreditado que tenían el consentimiento del denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Acreditado el tratamiento de datos personales la entidad denunciada no ha presentado ninguna prueba que pueda evidenciar que contaba con el consentimiento del denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 VIII El artículo 45 de la LOPD, establece, en sus apartados 2, 4 y 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. APPLUS ITEUVE manifiesta que concurren varios supuestos previstos en el art. 45.4 LOPD y por tanto debe aplicarse la degradación prevista ex art. 45.5
  25. a)LOPD. Frente a ello cabe señalar que respecto de la ausencia de intencionalidad esgrimida por APPLUS ITEUVE, no puede apreciarse, pues el diseño de la política de privacidad y el tratamiento al que someten los datos de sus clientes, en este caso del denunciante, obedece única y exclusivamente a la voluntad de dicha entidad, sin que quepa ampararse en una suerte de creencia de actuar conforme a la ley, pues no puede obviarse que de su actividad mercantil se infiere un continuo tratamiento de datos personales, por lo que no pueden serle ajenos los mandatos de la LOPD y por tanto el celo y rigor a la hora de su cumplimiento han de ser exquisitos. En cuanto a la regularización de la situación irregular, cabe señalar que nada afecta la satisfacción del derecho de oposición, pues lo verdaderamente relevante es el diseño de la cláusula de privacidad de la que no se infiere el tratamiento acaecido, ni tampoco APPLUS ha aportado en las alegaciones formuladas ni al acuerdo de inicio, ni a la propuesta de resolución prueba alguna de que haya modificado la misma, circunstancia a la que ha de circunscribirse en este caso, el apartado
  26. b)del art. 45.5 LOPD, ya que la satisfacción del derecho ARCO no regulariza la situación, pues aquí lo sucedido es en un estadio temporal anterior. Ahora bien, concurre la circunstancia de que la naturaleza de los perjuicios causados ha de ser mínima, y la ausencia de reincidencia en la comisión de infracciones de la misma naturaleza, por lo que procede aplicar la degradación prevista en el art. 45.5 LOPD y determinar la cuantía de la sanción dentro del intervalo de las infracciones leves. De acuerdo con el art. 45.4 de la LOPD, debe tenerse en cuenta para determinar la cuantía de la sanción a imponer, en primer lugar,
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal y
  28. f)El grado de intencionalidad todo ello en relación con el elemento subjetivo en la comisión de la infracción y la diligencia que es exigible a quien está en continuo contacto con datos personales y son consustanciales a su objeto de negocio. Asimismo y de cara a la determinación de la cuantía de la sanción a imponer que más adelante se analiza, no puede dejar de valorarse que estamos ante una entidad de gran volumen teniendo, tal como consta en su página web corporativa 3 millones de usuarios, 49 centros de inspección técnica de vehículos (ITV) y 12 centros móviles y está presente en Cataluña, Islas Baleares, Comunidad Valenciana, Aragón, País Vasco, Castilla la Mancha, Madrid y Canarias. Es decir, se deduce un volumen de negocio que le hace extremar el cumplimiento de la norma, y sirve como parámetro de diligencia y de adecuación al principio de proporcionalidad en la determinación del importe de la sanción. En este sentido el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, y en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y en el presente caso no puede dejar de observarse que la entidad ofrece reserva de cita online, y está en continuo contacto del tratamiento de datos de personas físicas, ya que cada vez que un usuario acude a solicitar sus servicios, salvo los vehículos de empresas, siempre hay C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 una persona física detrás. Por lo que debe ser conocedora de los mandatos de la LOPD, tanto lo que le hace tributaria del conocimiento de la norma que regula dicha actividad, es decir la LOPD, por lo que ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto (STS de 5 de junio de 1998). La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  29. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En segundo lugar, respecto del apartado
  30. e)del art. 45.4 LOPD, no puede obviarse que a APPLUS ITEUVE, consigue un beneficio económico con el tratamiento ilícito de los datos de este denunciante, en particular, y de cualquier usuario que contrate con dicha entidad, en general, ya que el acuerdo con MACDONALD para la promoción de los productos de este ha de tener un componente económico. Estas circunstancias descritas ut supra operan como agravantes e impiden determinar la cuantía de la sanción en el importe mínimo como solicita APPLUS procediendo a la imposición de una sanción en la cuantía de 10.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad APPLUS ITEUVE TECHNOLOGY, S.L.U., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  31. b)de la LOPD, una multa de 10.000 euros ( diez mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a APPLUS ITEUVE TECHNOLOGY, S.L.U., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.