1/19 Procedimiento Nº PS/00720/2015 RESOLUCIÓN: R/01368/2016 En el procedimiento sancionador PS/00720/2015, instruido por la Agencia Española de Protección de Datos a la entidad MASS MEDIA LASER, S.L., UNIVERSALUD DIRECT SL, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17 de enero de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<He recibido una carta publicitaria de la empresa UNIVERSALUD DIRECT SL, invitándome a un evento. Pero no han respetado que estoy inscrito en la lista Robinson desde hace más de 3 años, para no recibir este tipo de publicidad por ningún tipo de medios, telefónicos ni por correo.>> Aporta el denunciante copia de la siguiente documentación: - Una carta remitida a su nombre, en donde figura su calle, piso y puerta. En la carta se convoca al denunciante a una presentación comercial en el Hotel Hesperia Córdoba en fecha 24/4/
(7467)1866 personas x día Salida correos 9/04/14 è 23 y 23 abril 9/04/14 è 24 y 25 abril>> Aportan los representantes de la entidad, copia del correo electrónico enviado el 2 de abril de 2015 a MML por el que se remitía dicho informe. c. Se realizan campañas semanalmente y el modelo de documento a enviar es diseñado por MAGIC RESPONSE S.L., quien realiza una impresión masiva del documento anonimizado, sobre el que posteriormente se imprimirán los destinatarios. Aportan copia de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 ejemplar del documento actualmente en uso. Examinado dicho documento se comprueba que es muy similar al aportado por el denunciante, si bien han cambiado los regalos ofertados. d. MML realiza una maqueta del documento que será finalmente impreso, enviando una prueba de la misma a UNIVERSALUD, a la que la entidad dará posteriormente su visto bueno, tras lo cual MML envía a MAGIC RESPONSE S.L el fichero con los datos necesarios para la impresión de las cartas. Mediante correo electrónico de fecha 4 de abril de 2014 MML envía la muestra a imprimir. Mediante correo electrónico de fecha 7 de abril de 2014 UNIVERSALUD da su conformidad al modelo propuesto. e. Desean los representantes de la entidad señalar que en ningún momento del proceso tienen acceso a los datos personales del público objetivo. Solamente recaban datos de las personas convocadas a las acciones comerciales una vez realizan un pedido y pasan a ser clientes. f. Aportan los representantes de la entidad impresión de la ficha de movimientos contables de MML en 2014 y 2014, así como de las facturas emitidas a la entidad por MML durante abril de 2014. Se recaba copia de dichos documentos como DOC. 7. Remiten copia por correo electrónico de dichas fichas contables al inspector al cargo, para facilitar su posterior análisis. Se comprueba que la facturación anual de MML a UNIVERSALUD fue de 2.627,65 en 2014 y de 4.055,65 en 2015. Se aprecia que la facturación se realiza semana a semana, no apareciendo en ella detalle del servicio prestado, incluyendo las unidades. El servicio facturado por MML a UNIVERSALUD por los servicios facturados durante abril de 2014 asciende a 169,23 €. g. Desean señalar los representantes de la entidad que no han sido sancionados anteriormente por la Agencia, teniendo un volumen de envíos de unos 500.000 al año. h. Cuando una persona solicita la cancelación de sus datos personales, dicha petición se reenvía a MML para que atienda la petición, si bien señalan que reciben muy pocas solicitudes. 9. Los inspectores de la Agencia solicitan al representante de UNIVERSALUD que les permita el acceso a la herramienta facilitada por MML para el análisis de poblaciones y planificación de campañas, donde se realizan las siguiente siguientes comprobaciones: a. Se realiza una selección sobre la población de VELILLA DE SAN ANTONIO con los criterios de mujeres entre 60 y 80 años. El sistema C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 genera un informe, que se adjunta como documento DOC. 8, según el cual habría 499 personas que cumplen dicho criterio. El sistema indica el total de personas, no las identidades individuales. Examinado el documento aparece como petición de servicio y un número codificado que muestra dentro del mismo el literal MD60H80 Se realiza la misma búsqueda con el criterio de mujeres entre 1 y 99 años, arrojando el sistema un mensaje según el cual solo se admiten edades a partir de 18 años. Se modifica la búsqueda para edades entre 18 y 99 años, arrojando el sistema un total de 2478 personas. Se recaba copia de dicho informe. Examinado el documento aparece como petición de servicio y un número codificado que muestra dentro del mismo el literal MD18H99. b. Se realiza una búsqueda con el criterio de mujeres de MADRID capital entre 18 y 99 años. El sistema arroja que hay un total de 629400 personas que cumplen dicho criterio. Se repite la misma búsqueda para hombres, arrojando el sistema que hay un total de 517.555 personas que cumplen dicho criterio. Se recaba copia de dichas comprobaciones así como copia de la impresión de pantalla en que se realiza la fijación de criterios. Examinado el documento generado, aparece como petición de servicio y un número codificado que muestra dentro del mismo el literal MD18H99 en el caso de la selección de mujeres, y HD18H99 en el caso de la selección de hombres. En la pantalla de selección se observa que se pueden elegir las provincias, las poblaciones, los códigos postales, el rango de edad, el sexo y una serie de claves. c. Se accede a la información “Acerca de” de la aplicación utilizada, donde se informa que es una herramienta estadística proporcionada por DATALASER en 2014. Los representantes de la entidad informan desconocer la relación existente entre DATALASER y MML. d. Se accede al directorio de la aplicación citada, verificándose que existen 52 bases de datos en formato MDB, aparentemente una por provincia. Se accede a la base de datos PRS28 verificándose que contiene un total de 2.992.603 registros. Se accede a las tablas de varias de las bases de datos citadas, encontrándose que constan datos de poblaciones, subpoblaciones, años de nacimiento, sexo, y otro tipo de codificaciones, de los diversos individuos, pero los datos están anonimizados, pues no aparecen nombres, apellidos, direcciones, teléfonos u otros datos identificativos. TERCERO: Con fecha 23 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MASS MEDIA LASER, S.L., UNIVERSALUD DIRECT SL, por presunta infracción de los artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3
- b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45 de dicha Ley Orgánica. CUATRO: Notificado el acuerdo de inicio, MASS MEDIA LASER, S.L., mediante escrito de fecha 02/02/2016 formuló alegaciones, significando, que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 Los datos del denunciante figuran en sus ficheros como excluidos de comunicaciones comerciales, por constar inscrito en Listas Robinson. Por razones que no precisan fueron utilizados en la campaña de marketing que recibió, por alguna deficiencia puntual en el proceso informático de cure de datos de nuestros ficheros. Se ha procedido a corregir diligentemente la situación y hemos cancelado de modo definitivo los datos del denunciante. No hay intencionalidad alguna. El beneficio obtenido como consecuencia del uso de los daos ha sido muy escaso. El perjuicio causado al denunciante es mínimo, habiendo consistido solo en la recepción de una comunicación publicitaria a su domicilio y por ultimo debe destacarse que esta entidad nunca ha sido sancionada con anterioridad, pese a realizar para sus clientes servicios de diseño y ejecución de campañas de marketing como la que dio origen a la denuncia. Tras declarar la comisión de la infracción imputada, se acuerde sustituir la sanción por un apercibimiento, ya que concurren los supuestos que requiere la norma. CINCO.- Notificado el acuerdo de inicio, UNIVERSALUD DIRECT S.L., mediante escrito de fecha 22/02/2016 formuló alegaciones, significando, que: Caducidad de las actuaciones previas. La denuncia tuvo entrada en la AEPD en fecha de 17/01/2015 y el Acuerdo de inicio fue notificado en fecha de 4/02/2016, por lo habiendo transcurrido más de un año entre ambas fechas procede la caducidad de las actuaciones previas de acuerdo con el art. 122 RDLOPD. Reconocemos los hechos imputados en el sentido de que intervinimos en la campaña decidiendo la localidad en la que se realizarían los envíos publicitarios mediante una herramienta informatica a la que nos facilitaba el acceso el proveedor de datos. Se desconocía que los datos del denunciante no podían tratarse para campañas publicitarias. Aunque se hacía una selección de los datos, en ningún momento se accedía a ellos. Para prevenir que no vuelva a suceder los hechos, se ha rescindido el contrato con M ASS MEDIA LASER. SEIS- Como diligencias probatorias se han practicado las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante UNIVERSALUD DIRECT SL, MASS-MEDIA LASER, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/02419/2015 y las alegaciones al acuerdo de inicio PS/00720/2015 presentadas por UNIVERSALUD DIRECT SL, MASS-MEDIA LASER, S.L. y la documentación que a ellas acompaña. 2. El requerimiento de información de fecha 9/02/2016 a UNIVERSALUD DIRECT, S.L., consistente en: En su escrito de fecha 05/08/2015 presentado en las actuaciones previas de Investigación E/02419/2015, manifiestan que (…) los servicios que mi representada contrato con MASS MEDIA LASER, S.L. fueron los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 Diseño de campaña de marketing directo. Selección del público objetivo de destinatarios de la campaña, obteniéndose los datos de las bases de datos titularidad de MASS MEDIA LASER, S.L. Impresión de los datos personales de los destinatarios en los documentos públicos de UNIVERSALUD DIRECT, manipulado y envío. Los parámetros identificativos de los destinatarios fueron determinados exclusivamente por MASS MEDIA LASER, S.L.(...) En atención a lo manifestado, se le otorga el plazo de cinco días hábiles para que acredite los extremos que afirma, en concreto, I.El diseño de la campaña, en este sentido aporte cualquier comunicación, envío de boceto, aceptación, etc., que permita tener por producido tal hecho. II.Acredite que la selección del público objetivo y los parámetros identificativos, los realizó el proveedor. En concreto, ¿Cuál fue el público objetivo y cuáles fueron los parámetros identificativos 3. El requerimiento de información de fecha 9/02/2016 a MASS-MEDIA LASER, S.L.., consistente en Acredite cual fueron los parámetros que designaron el público destinatario de la campaña, así como su determinación y comunicación a UNIVERSALUD DIRECT, S.L., con determinación de fechas. Acredite que fue su mercantil la que diseño la pieza publicitaria y su aceptación por UNIVERSALUD DIRECT, S.L., o cualquier otra orden de trabajo relativa a la campaña, con determinación de fechas. SIETE.- En fecha de 26/04/2016 el Instructor del Procedimiento emitió Propuesta de Resolución solicitando que por la Directora de la Agencia Española de Protección de Datos se sancione a MASS MEDIA LASER S.L., por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de dicha norma y se ARCHIVE EL PROCEDIMIENTO a UNIVERSALUD DIRECT, S.L., por la caducidad de las actuaciones previas de inspección. OCHO: Según consta en el Certificado de Correos, la propuesta de resolución fue notificada a MASS MEDIA LASER, S.L. en fecha de 29/04/2016, por lo que habiéndose otorgado un plazo de quince días hábiles para la formulación de alegaciones, éste finalizo en fecha de 19/05/2016. Por lo que el escrito de MASS MEDIA LASER, S.L. presentado en fecha de 25/05/2016 se considera fuera de plazo. NUEVE: De las actuaciones practicadas han resultado acreditados los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 HECHOS PROBADOS UNO.- En el mes de abril de 2014 el denunciante recibe una carta invitación a un evento comercial de UNIVERSALUD DIRECT, S.L., que se celebra en el Hotel Hesperia de Córdoba en fecha de 24/04/2014, donde constas sus datos personales consistentes en nombre y apellidos y domicilio completo, informando que el origen de los mismos es un fichero de MASS MEDIA LASER, S.L. (folio 3) DOS.- El denunciante está inscrito en el servicio de Lista Robinson de AIDIGITAL desde el 19/07/2012. (Folio 11-12) TRES.- MASS MEDIA LASER y UNIVERSALUD DIRECT tiene un contrato de 01/02/2014 en virtud del cual aquella prestara a esta, entre otros, los servicios de asesoramiento publicitario y de marketing directo en las campañas publicitarias de la promoción de los productos y servicios, así como la recopilación y segmentación de los datos personales de los destinatarios y la confrontación de los datos personales con la Lista Robinson de FECEMD (actualmente AIDIGITAL). (Folio 33-34) CUATRO.- La determinación de los destinatarios se realizó utilizando por UNIVERSALUD DIRECT una aplicación informatica para el análisis de poblaciones y planificación de campañas, donde se introducen determinados criterios y se genera un informe que es remitido a MASS MEDIA LASER para que extraiga unos registros determinados de su fichero. (Folio 83 y 88-91) CINCO.- En las Inspección realizada en fecha de 3/12/2015 los representantes de UNVIERSALUD manifestaron: (…)b. El inicio de una campaña es la decisión de UNIVERSALUD de ofertar sus productos en una provincia y localidades determinadas. Utilizando una herramienta informática proporcionada por MML realiza una estimación de público objetivo, variando los criterios de selección (rango de edad, sexo, código postal, población, etc) hasta establecer los que sean de interés. La herramienta realiza un análisis del número de personas que cumplen los criterios, y facilita la generación de un informe que es posteriormente remitido a MML(…) ( Folio 83) SEIS.- Respecto del origen de los datos del denunciante en los ficheros d MASS MEDIA LASER, sus representantes manifestaron que (…) fueron obtenidos de fuentes de acceso público y que los datos restantes fueron obtenidos mediante llamada telefónica y aportados por alguien del domicilio (…) (folio 68) SIETE.- La notificación del Acuerdo de Inicio a UNIVERSALUD DIRECT, de fecha 28/12/2015 con número de salida 352625/2015 figura extraviada. (Folios 147-148). Según consta en el Certificado de Correos, la notificación del Acuerdo de Inicio se produjo en fecha de 01/02/2016 (Folio 151). FUNDAMENTOS DE DERECHO I.Competencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II.Sobre el precepto vulnerado: Dispone el art. 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. En el presente caso se imputa la comisión de la infracción consistente en someter a tratamiento los datos personales del denunciante por parte de las entidades MASS MEDIA LASER S.L., y UNIVERSALUD DIRECT, S.L., al haber realizado acciones de marketing utilizando dichos datos, estando éste inscrito en el fichero común de exclusiones publicitarias, habiendo negado la prestación del consentimiento la denunciante y la inexistencia cualquier causa que lo dispense. III.Sobre el estatus las entidades imputadas y la aplicación del régimen sancionador de la LOPD. Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
- a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
- b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
- c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso ha resultado acreditado que UNIVERSALUD DIRECT S.L. realizo una campaña publicitaria cuyos destinatarios eran las personas que constaban en el fichero de MASS MEDIA LASER, S.L. y que tras la instrucción del presente expediente sancionador, ha resultado que no contenía el consentimiento del denunciante. UNIVERSALUD DIRECT, S.L. ha de considerarse responsable del tratamiento de acuerdo con lo dispuesto en el art. 46.2
- a)del RDLOPD, pues ha resultado probado que determina los parámetros identificativos de los destinatarios. A esta conclusión se llega por las propias manifestaciones de sus representantes, tanto en fase de Actuaciones Previas de Inspección como en las alegaciones formuladas al acuerdo de inicio, ya que aunque no tiene acceso a datos personales, a través de la herramienta informatica proporcionada por el proveedor de base de datos y da instrucciones sobre los destinatarios fijando variables como el rango de edad, sexo, población, etc.,. y sobre el resultado que proporciona dicho software, que es comunicado a MASS MEDIA LASER, S.L. ésta extrae de su fichero los destinatarios de la campaña. Es decir, sin la “acotación” de destinatarios que hace UNIVERSALUD DIRECT, S.L. el proveedor de base de datos, MASS MEDIA LASER, S.L. no tendría indicación alguna sobre los destinatarios. La utilización de la herramienta informatica con indicación de determinados “valores” es lo que el art. 46.4 RDLOPD determina parámetros identificativos de los destinatarios que considera como tal las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 Siendo por tanto irrelevante la denominación que conste en el contrato, respecto de los servicios que contrata UNIVERSALUD con MASS MEDIA LASER, y el concepto por lo que se factura, donde consta que la determinación de los criterios de recopilación, segmentación corresponde al proveedor de direcciones, cuando ha sido acreditado que no es así. Por otro lado MASS MEDIA LASER, S.L. es responsable del fichero donde se encuentran los datos del denunciante. De acuerdo con lo dispuesto en el art. 43 de la LOPD que señala que: Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley, ambas entidades ostentan un estatus jurídico susceptible de generar responsabilidad por incumplimiento de la LOPD. IV.Sobre el elemento subjetivo en la comisión de la infracción. Dispone el art. 46.3 del RDLOPD lo siguiente: 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. Por su parte la Sentencia de la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) UNIVERSALUD DIRECT, S.L., no ha acreditado medida alguna que ponga de manifiesto la diligencia prestada en la contratación y ejecución de la campaña publicitaria, siendo insuficiente lo recogido en el contrato tal como señala la Sentencia citada ut supra. MASS MEDIA LASER, S.L. reconoce que los datos del denunciante constan marcados como “Robinson” y que desconoce cómo han sido objeto de tratamiento a pesar de dicha inscripción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 Las entidades imputadas no aportan al expediente elemento alguno que permita enervar el elemento subjetivo de la culpabilidad. V.Sobre el fichero común de exclusión de envíos publicitarios. Dispone el artículo 49 del RDLOPD, lo siguiente: 1. Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado. 2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial. 3. La entidad responsable del fichero común podrá tratar los datos de los interesados que hubieran manifestado su negativa u oposición al tratamiento de sus datos con fines de publicidad o prospección comercial, cumpliendo las restantes obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento. 4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento. El denunciante consta inscrito en el fichero común de exclusión Lista Robinson de AIDIGITAL desde la fecha de 19/07/2012. Por lo tanto, no pueden realizarse acciones de marketing utilizando los datos personales de éste tal como consten inscritos. VI.Sobre la conducta típica. Dispone el artículo 44.3.
- b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” De acuerdo con lo dispuesto en el art. 6 de la LOPD, ni MASS MEDIA LASER, S.L., ni UNIVERSALUD DIRECT, S.L., han acreditado que tenían el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Acreditado el tratamiento de datos personales las entidades denunciadas no han presentado ninguna prueba que pueda evidenciar el origen licito de los datos del denunciante y por tanto que contaban con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. MASS MEDIA LASER S.L., tiene registrado en su fichero automatizado los datos del denunciante, que tras la determinación por parte de UNIVERSALUD DIRECT, S.L. de la localidad donde se realiza el evento comercial, rango de edad, y sexo, genera del fichero principal, otro fichero sobre el que finalmente realizar las acciones publicitarias para lo que someten a tratamiento todos los datos en él contenidos, entre los que se encuentran los del denunciante y cuyo consentimiento no ha podido acreditarse. MASS MEDIA LASER S.L. creo un fichero de datos personales de la localidad de Córdoba, sobre otro del que es titular y por cuenta de UNIVERSALUD DIRECT, S.L.., los sometió a tratamiento utilizando los datos concretándose en nombre y apellidos, dirección con piso y puerta, sin poder acreditar ninguna circunstancia que legitime dicho tratamiento de datos. En el presente caso, respecto del tratamiento realizado por cuenta de UNIVERSALUD DIRECT, S.L. y utilizando el fichero de MASS MEDIA LASER, S.L., se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas al caso concreto, puesto que tal como se ha acreditado el denunciante figura en el fichero común de exclusión “ListaRobinson” y por tanto sus datos no pueden utilizarse para acciones de marketing. VII.Sobre la gravedad de la infracción, la culpabilidad y antijuridicidad de los hechos y la sanción a imponer. El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 VIII.Determinación de la gravedad y cuantía de la sanción a imponer a UNIVERSALUD DIRECT S.L. Caducidad de las Actuaciones Previas. En relación con las infracciones cometidas por UNIVERSALUD y de acuerdo con lo establecido en el art. 122.4 del RDLOPD, se ha de considerar que ha acontecido la caducidad de las Actuaciones Previas respecto de dicha entidad, puesto que el escrito de denuncia tuvo entrada en la AEPD en fecha de 17/01/2015 y el Acuerdo de inicio fue notificado en fecha de 4/02/2016 ( folio 152) por lo habiendo transcurrido más de un año entre ambas fechas circunstancia se ha de declarar la caducidad de dichas actuaciones conforme a lo dispuesto en el citado precepto que señala que: Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. En cuanto a la posibilidad de iniciar Actuaciones Previas de Inspección contra UNIVERSALUD DIRECT, S.L. para, en su caso, iniciar procedimiento sancionador por la infracción cometida (consistente en el tratamiento sin consentimiento de los datos del denunciante, de acuerdo con su estatus de responsable del tratamiento de conformidad con el art. 46.2
- a)del RDLOPD), debe señalarse que la infracción se hallaría prescrita de acuerdo con la fecha de comisión de la misma –abril del año 2014- y el plazo de prescripción de dos años que determina el art. 47 LOPD. IX.Determinación de la gravedad y cuantía de la sanción a imponer a MASS MEDIA LASER S.L. En relación con la infracción cometida por MASS MEDIA LASER, S.L. existen elementos que permitan aplicar lo dispuesto en el art. 45.5 de la LOPD, en concreto ha reconocido la culpabilidad en los hechos imputados, así como que ha regularizado de forma diligente la situación al eliminar los datos del denunciante de su fichero, lo que evitara en el futuro posteriores envíos. Ahora bien, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se determina el importe de la sanción en la cuantía de 3.500 € por la infracción cometida, teniendo en cuenta los apartados c),
- d)y f). El apartado c), en cuanto a que el objeto de su actividad es la explotación de bases de datos para envíos publicitarios, es decir, su actividad está vinculada con el tratamiento de datos personales. El apartado
- d)en cuanto a su actividad, sirva la consideración anteriormente expuesta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 El apartado
- f)respecto del grado de intencionalidad, en la medida en que no puede serle ajena los mandatos de la LOPD y en concreto el principio del consentimiento para el tratamiento de los datos personales. El grado de intencionalidad hay que ponerlo en conexión con el elemento subjetivo de la culpabilidad en la medida que el infractor es conocedor de las obligaciones derivadas de la ley y a pesar de ello no adopta las cautelas necesarias para su cumplimiento. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MASS MEDIA LASER, S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD, una multa de 3.500 € ( tres mil quinientos euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: ARCHIVAR EL PROCEDIMIENTO a la entidad UNIVERSALUD DIRECT SL, por la caducidad de las actuaciones previas de investigación de acuerdo con lo dispuesto en el artículo 122.4 del RDLOPD. TERCERO: NOTIFICAR la presente resolución a MASS MEDIA LASER, S.L., UNIVERSALUD DIRECT SL, y a A.A.A.. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es