PS-00748-2013

1/28 Procedimiento Nº PS/00748/2013 RESOLUCIÓN: R/01496/2014 En el procedimiento sancionador PS/00748/2013, instruido por la Agencia Española de Protección de Datos a la entidad EDICIONES EL PAIS, S.L. y RAINBOW COMUNICACIONES, S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23/01/2013, tuvo entrada en la sede electrónica de esta Agencia una denuncia de D. A.A.A., en adelante el denunciante, en la que manifiesta lo siguiente: “En una promoción del diario el país para la adquisición de una impresora inalámbrica mediante cartilla, pedían un mensaje de texto con el móvil para la reserva de la impresora, a partir de ese momento empiezo a recibir repetidas llamadas para ofertar suscripciones al periódico de forma cada vez más frecuente. En el mes de octubre, mediante el formulario web del periódico pedí de forma expresa que según mi derecho eliminaran mi número de móvil de su base de datos y recibo un email el 15/10/2012 en el que se me responde que pasan la petición al departamento oportuno. El 26/10/2012 vuelva a enviar otro email detallando el número de llamadas recibidas desde la recepción del último email por parte del periódico y el 29/10/2012 me vuelven a responder diciendo que resolverán la situación. Desde esa fecha hasta la semana pasada no vuelvo a recibir llamadas telefónicas, pero a partir de la semana vuelvo a tener aproximadamente una llamada diaria y en el día de ayer recibo hasta 5 llamadas del mismo teléfono. El número de móvil que realiza las llamadas es el **TEL.1”. El denunciante aporta copia de dos correos remitidos el 15 y 29/10/2012 en los que se responde a su solicitud de cancelación y de un correo remitido por el mismo a “Atención Clientes El País” el 26/10/2012 en el que informa que pese a su solicitud del día 15, continúa recibiendo llamadas. En el correo que “Atención Clientes El País” remite al denunciante en fecha 29/10/2012 se indica “Con reacción a su consulta, le informamos que vamos proceder a realizar las gestiones oportunas para que no se le vuelva a realizar ninguna llamada”. Con fecha 01/04/2013, tuvo entrada en esta Agencia un correo electrónico del denunciante en el que aporta un listado de las llamadas recibidas durante el mes de febrero y en el que manifiesta lo siguiente: 1. La línea que recibe las llamadas es la E.E.E.. 2. No dispone de copia de la solicitud de baja debido a que la realizó a través del formulario web del periódico. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes comprobaciones: 1. En los sistemas de información del operador de telefonía que presta servicio a la línea del denunciante constan registros de un total de 47 llamadas realizadas con origen en la línea **TEL.1 y destino en la línea E.E.E.. La primera llamada se realizó el 19/09/2012 y la última el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/28 22/02/2013: 20 llamadas anteriores al 29/10/2012, una llamada realizada los días 29, 30, 31/10, 03 y 04/12/2012, y 22 llamadas a partir del 16/01/2013 y hasta el 22/02/2013. De todas las llamadas, únicamente dos fueron contestadas. 2. El titular de la línea **TEL.1 es RAINBOW COMUNICACIONES, S.L., en adelante RAINBOW. 3. El 10/10/2013 se realizó una inspección en la sede de EDICIONES EL PAIS, S.L. (en lo sucesivo EDICIONES EL PAIS) en la que los representantes de la entidad manifestaron lo siguiente: . La última promoción de una impresora inalámbrica publicada en el diario EL PAIS lo fue en agosto de 2010. La cartilla utilizada, de la que se aporta copia, muestra que los únicos datos que debían de proporcionar al realizar la reserva eran el número de teléfono móvil, el código del producto y el código del centro en el que se pagaría y recogería el producto. La cartilla informa de que los datos proporcionados durante la reserva serán utilizados para gestionar ésta y establece que dichos datos podrán ser utilizados para la remisión de comunicaciones promocionales por medios electrónicos. . Los datos de los participantes que han autorizado su uso con fines promocionales son utilizados en acciones comerciales en las que se ofrecen, entre otros productos, suscripciones al diario “El País”. Las campañas promocionales son contratadas por EDICIONES EL PAIS a diferentes empresas. Las instrucciones sobre la forma en que deben de ser ejecutadas las campañas son proporcionadas por EDICIONES EL PAIS a dichas empresas. . RAINBOW es una de las entidades con las que EDICIONES EL PAIS tiene contratada la ejecución de campañas en las que se promocionan las suscripciones al diario “El País”. . Las reclamaciones de los clientes de la entidad que solicitan no recibir comunicaciones comerciales de ésta son atendidas por el departamento de Atención al Cliente. Los sistemas de información de la entidad disponen de marcas para indicar aquellos clientes que no desean recibir comunicaciones comerciales. . EDICIONES EL PAIS realiza un seguimiento de la ejecución y el resultado de las campañas. La entidad solicita informes a las entidades contratadas sobre el desarrollo de las mismas y, en ocasiones, visita las instalaciones de la entidad para comprobar in situ la calidad de la atención en las llamadas, por ejemplo. Durante dicha inspección se realizaron las siguientes comprobaciones en el sistema de información de EDICIONES EL PAIS: . Los datos del denunciante no constan en el fichero de suscriptores de la entidad. . En el sistema de información que registra los contactos a través del formulario web consta una solicitud a nombre del denunciante, remitida el 11/10/2012. En el registro de la solicitud consta su nombre, primer apellido y dirección de correo electrónico y en el texto de la solicitud requiere que su número de móvil sea borrado de los ficheros de la entidad ya que no desea recibir comunicaciones comerciales. . Las reclamaciones recibidas a través del formulario web son gestionadas por el departamento de atención al cliente de PRISA DIGITAL. En los casos en que se trata de un potencial cliente de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/28 la versión en papel del diario se remite un correo electrónico al departamento de atención al cliente de la versión en papel que es quien tramita la solicitud. En el registro descrito en el punto anterior consta el 15/10/2012 como fecha de remisión del correo al departamento de atención al usuario de la versión en papel. . El 29/10/2012, EDICIONES EL PAIS remitió un correo electrónico a las empresas que realizan para la entidad labores de prospección comercial con el asunto “Robinson urgente” y el siguiente texto: “ E.E.E.”. Este correo, en el caso de RAINBOW, iba dirigido a las direcciones B.B.B., C.C.C. y D.D.D.. 4. EDICIONES EL PAIS y RAINBOW firmaron un contrato de prestación de servicios el 18/02/2009 que ha sido aportado a las actuaciones. El objeto del contrato era la realización de llamadas telefónicas con objeto de promocionar los servicios de EDICIONES EL PAIS de acuerdo con un protocolo de comunicación elaborado por RAINBOW y aprobado por EDICIONES EL PAIS. En su Cláusula 3, el contrato estipula que EDICIONES EL PAIS deberá proporcionar a RAINBOW “el material y los datos necesarios para la prestación de los Servicios que no requerirán de ninguna revisión o corrección adicional por parte del Proveedor. El Proveedor no tendrá obligación de validar esa información por su contenido, corrección o calidad de diseño”. Por otra parte, en relación con la protección de datos de carácter personal, en la Cláusula 6 se conviene lo siguiente: “6. Protección de Datos de Carácter Personal (…) 6.3 Los datos de carácter personal que el Proveedor aporte para la prestación de los Servicios, provienen de fuentes accesibles al público, no interviniendo el Cliente en la definición de los parámetros identificativos de los destinatarios de los Servicios. El Proveedor realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se derivan de la LOPD. El Proveedor, en todo caso, mantendrá indemne al Cliente de las posibles responsabilidades que pudieran derivarse de la recolección o tratamiento de dichos datos de carácter personal. 6.4 Los datos de carácter personal a los que se refiere la cláusula anterior, podrán pasar a formar parte de un fichero titularidad del Cliente, previa información y consentimiento de los interesados. El Proveedor responderá de las posibles irregularidades en el cumplimiento de las obligaciones establecidas en la LOPD y el RLOPD para esa incorporación, y mantendrá indemne al Cliente de cualquier responsabilidad que le sea exigida. 6.5 En el caso de que un interesado, de los incluidos en las fuentes accesibles al público que facilita el Proveedor con motivo de este contrato, ejerza sus derechos de cancelación o rectificación de sus datos de carácter personal ante el Proveedor, este último, aparte de atender la solicitud en los plazos legalmente establecidos, deberá dar traslado de la misma al Cliente en el plazo máximo de 3 días hábiles, a fin de que pueda cancelar o rectificar los datos afectados por la solicitud. 6.6 Por su parte, el Cliente facilitará al Proveedor un fichero comercial de su titularidad con datos de carácter personal para la prestación de los Servicios. Dicho fichero será de responsabilidad del Cliente, quien garantiza que los datos contenidos en el fichero se hallan debidamente legalizados, legitimados y cumplen con todas las medidas de seguridad previstas en el artículo 9 de la LOPD y en el RLOPD. Respecto del deber de información y consentimiento, obligación del Proveedor, éste se compromete a lo establecido en la cláusula 6.4. En el caso de que el Proveedor recibiese una solicitud de ejercicio de los derechos reconocidos en la LOPD por parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/28 de una persona cuyos datos estén incluidos dentro de este fichero, deberá dar traslado al Cliente en un plazo máximo de 3 días, a fin de que este pueda resolver dicha solicitud en el plazo legalmente estipulado. 6.7 En virtud del objeto del presente documento, el Proveedor destinará los datos de carácter personal que recabe de los Usuarios del Cliente, a los cuales haya tenido acceso en virtud de la prestación de los Servicios objeto de este Contrato (en adelante, los "Datos") exclusivamente a la ejecución de los Servicios, de acuerdo con las instrucciones del Cliente y no los aplicará o utilizará para otro fin distinto del que figura en el presente Contrato ni los comunicará, ni siquiera para su conservación, a terceras personas, salvo en lo previsto en la cláusula 10 de este Contrato. En el caso de que el Proveedor debiera subcontratar servicios para la prestación del regulado en este documento, no lo hará sin el previo y expreso consentimiento por escrito del Cliente, que se anexará a este Contrato, y además se compromete a la firma de un documento análogo a este para regular el nuevo acceso a datos por el subcontratado. Lo anterior será de aplicación para cada nueva subcontratación. 6.8 En el caso de que el Proveedor destine los Datos a una finalidad distinta de la prevista en el Contrato, los comunique o los utilice incumpliendo las estipulaciones de este Contrato o sin una orden expresa del Cliente, responderá personalmente de las infracciones en que hubiera incurrido e indemnizará al Cliente de los perjuicios y responsabilidades que pudieran derivarse de este incumplimiento, manteniéndole indemne. 6.9 El Proveedor adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los Datos y evitarán su alteración, pérdida, tratamiento o acceso no autorizado, conforme a lo dispuesto en el Anexo I al presente Contrato. 6.10 Las obligaciones establecidas para el Proveedor en la presente Cláusula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas del Proveedor, en el bien entendido de que el Proveedor sólo podrá servirse de colaboradores externos y subcontratistas cuando lo autorice expresamente el Cliente. El Cliente tendrá derecho de auditar el cumplimiento de estas obligaciones, mediando un preaviso de 48 horas. 6.11 Una vez cumplida la prestación contractual establecida en virtud del presente Contrato, los Datos deberán ser destruidos o devueltos al Cliente, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto de tratamiento. Adicionalmente, el Proveedor entregará, a solicitud del Cliente, un certificado acreditativo de la destrucción o la devolución de los Datos. 6.12 En el caso de que el Proveedor, en su calidad de encargado de tratamiento, destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. 5. El 10/10/2013 se realizó una inspección en la sede de RAINBOW en la que los representantes de la entidad manifestaron lo siguiente: . La entidad firmó un contrato con EDICIONES EL PAIS para desarrollar campañas de captación de suscriptores utilizando los datos proporcionados para ello por dicha entidad, que son remitidos por correo electrónico mediante un fichero con formato Microsoft Excel. Una vez recibido el fichero, que contiene únicamente el número de teléfono móvil y el identificador de la promoción (el producto que se desea adquirir), el fichero es cargado utilizando un sistema desarrollado por la entidad que permite comprobar si los teléfonos tienen un formato correcto, si aparecen duplicados dentro del fichero o con los datos cargados previamente y también si constatan en la lista robinsón de la entidad. . La entidad dispone de un fichero robinsón que incluye los teléfonos que fueron incluidos en el pasado, cuando RAINBOW sí trabajaba con bases de datos propias, y del servicio de lista C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/28 robinsón (fichero común de exclusión de tratamientos publicitarios). . Tras el proceso de filtrado, que marca los registros en función de las posibles incidencias halladas (duplicados, errores de formato, etc.), el departamento de operaciones, en función de las instrucciones recibidas por su cliente marca esos registros para su uso o no. . Las llamadas telefónicas son realizadas por un sistema automatizado o marcador que cuando uno de los destinatarios descuelga pasa la llamada a un operador humano. . EDICIONES EL PAIS no define la forma en la que se ejecutarán las llamadas. . Las campañas tiene una configuración estándar que hace que los destinatarios de las llamadas no reciban más de 10 intentos de llamadas y el sistema permite configurar la marcación automática de forma que se regula el tratamiento de las distintas incidencias (teléfono que comunica, que no contesta, etc.) . Cuando el destinatario de una llamada expresa su deseo de no recibir más llamadas de la entidad, su teléfono es incluido en la lista robinsón de la entidad. La página web de RAINBOW dispone de información sobre el procedimiento para ejercer los derechos de acceso, rectificación, cancelación y oposición. Cuando se realizan las llamadas dentro de una campaña, el operador se identifica no como parte de RAINBOW sino en nombre del cliente. . Las solicitudes de oposición o cancelación recibidas por EDICIONES EL PAIS son remitidas por correo electrónico a RAINBOW y resueltas por este de forma que no se sigan llamando. Durante dicha inspección se realizaron las siguientes comprobaciones en el sistema de información de RAINBOW: . Se accede al software que gestiona las cargas de los datos enviados por los clientes de RAINBOW y se verifica que el sistema dispone de opciones que permiten la comprobación automática de registros duplicados, con formatos erróneos e incluidos en el fichero robinsón. Se verifica igualmente que existe una campaña denominada “EL PAIS” asociada a la cual se cargan los datos provenientes de ese cliente. . Se realizan varias búsquedas en el fichero que contiene los datos proporcionados por EDICIONES EL PAIS utilizando como criterio el número de línea E.E.E.. La búsqueda realizada en la tabla que contiene los datos de las llamadas realizadas desde el 1 de abril de 2013 hasta el momento actual no tiene registros coincidentes. La búsqueda realizada en la tabla que contiene los datos de los teléfonos utilizados actualmente por el software marcador automático no tiene registros coincidentes. La búsqueda realizada en la tabla que contiene los teléfonos incluidos en la lista robinsón tiene un registro coincidente, es decir, el teléfono E.E.E. se encuentra incluido en el fichero de exclusión de RAINBOW. El registro únicamente dispone de un identificador y el número de línea sin que conste la fecha en la que fue insertado el registro por lo que no es posible constatar la fecha desde la que dicha línea está excluida de los envíos. La búsqueda realizada en la tabla histórica que contiene los datos de las llamadas realizadas antes del 1 de abril de 2013 contiene un total de 25 registros coincidentes. La primera llamada consta realizada el 19 de septiembre de 2012 y la última el 21 de marzo de 2013, 24 de ellas entre el 16/01/2013 y el 21/03/2013 (22 de las 24 figuran en el detalle aportado por el operador de telefonía que presta servicio a la línea del denunciante reseñado en el punto 1 de este Antecedente Segundo). . Se solicita a la entidad que realice una búsqueda en los buzones de correo electrónico B.B.B., C.C.C. y D.D.D. para localizar el correo remitido por EDICIONES EL PAIS con la solicitud de baja sin que llegue a localizarse dicho correo remitido el 29 de octubre de 2012, aunque sí se pudo verificar la recepción otros correos remitidos por EDICIONES EL PAIS con idéntico propósito. . Se consulta en el sistema de información que gestiona el software que realiza las llamadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/28 automáticamente y se observa que, en el caso de las campañas promocionales de EL PAIS, la configuración no es la habitual, que por ejemplo limita a 10 el número máximo de llamadas no contestadas que pueden hacerse a un mismo teléfono. La configuración de las campañas de EDICIONES EL PAIS, denominado “RW-Infinito” permite llamar indefinidamente a un cliente. . Se consulta en la tabla histórica que contiene los datos de las llamadas realizadas antes del 1 de abril de 2013 el número de líneas que han recibido más de 20 llamadas, que asciende a 1.327 y el número de líneas que han recibido 20 o menos llamadas, que asciende a 96.505. Consultados acerca del hecho de que se hayan producido llamadas con posterioridad a la fecha en la que se solicitó la baja de la línea del denunciante, los representantes de la entidad manifiestan que pudo deberse a un mal funcionamiento del sistema que realiza las llamadas. De acuerdo con lo expuesto, en el Informe de Actuaciones Previas de Inspección, los Servicios de Inspección de la AEPD concluyeron lo siguiente: 1. El denunciante facilitó su línea de móvil en agosto del año 2010 para reservar una impresora mediante una promoción de EL PAIS que finalmente no adquirió. 2. EL PAIS remitió a RAINBOW el teléfono del denunciante y dicha entidad, en cumplimiento del contrato firmado, comenzó a llamarle el 19/09/2012 para tratar de convertirlo en suscriptor del diario “El País”. 3. El 11/10/2012 el denunciante comunicó a EL PAIS su deseo de que su número de móvil fuese borrado de los ficheros de la entidad dado que no deseaba recibir comunicaciones comerciales. Hasta ese momento EL PAIS no disponía de otros datos sobre el denunciante pero en la solicitud, realizada a través de un formulario web, consta su nombre, primer apellido y dirección de correo electrónico. 4. Las reclamaciones recibidas a través del formulario web son gestionadas por el departamento de atención al cliente de PRISA DIGITAL que pasó la solicitud al departamento de Atención al Cliente de EL PAIS el 15/10/2012. 5. El 29/10/2012 EL PAIS remitió una solicitud de baja de los datos por correo electrónico a todas las entidades con las que tiene contratos de marketing, incluida RAINBOW. No se ha podido constatar la recepción del correo de baja por parte de RAINBOW. 6. El teléfono del denunciante consta en el fichero de exclusión de llamadas de RAINBOW pero no se ha podido acreditar la fecha desde la cual se encuentra en éste. 7. En los sistemas de RAINBOW consta la realización de 24 llamadas desde el 16/01/2013 hasta el 21/03/2013, pero con los datos disponibles no se puede saber si las llamadas se produjeron porque no se había resuelto la solicitud de baja o porque aunque estaba debidamente resuelta el sistema marcador no funcionó correctamente. TERCERO: Con fecha 14/012/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las entidades EDICIONES EL PAIS y RAINBOW COMUNICACIONES, por la presunta infracción, en cada caso, del artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada cada una de ellas con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad EDICIONES EL PAIS formuló las siguientes alegaciones: . El denunciante, con motivo de una promoción organizada por EL PAÍS en la que participó, fue informado con arreglo al artículo 5 LOPD y prestó su consentimiento para la utilización de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/28 teléfono móvil con fines de publicidad, de acuerdo con lo dispuesto en el artículo 6.1 LOPD. . RAINBOW, en su condición de encargado del tratamiento, sólo trató por cuenta de EDICIONES EL PAIS el dato del teléfono móvil del denunciante, único dato que se recogía en el fichero que EDICIONES EL PAIS entregó a RAINBOW, al amparo del contrato de prestación de servicios de call center suscrito por ambas entidades, que incluye las preceptivas previsiones del artículo 12 de la LOPD. Entre los servicios contratados se encuentra la realización de llamadas telefónicas a los potenciales usuarios de “El País” con objeto de promocionar sus productos o servicios. A tal fin, según prescribe la cláusula 6.6 del Contrato, el Cliente (es decir, EDICIONES EL PAIS) facilitará al Proveedor (léase, RAINBOW) un fichero comercial de su titularidad con los datos de carácter personal para la prestación de los servicio. Una vez recibido el fichero comercial, se carga por RAINBOW a través de un sistema desarrollado para comprobar si el formato de los teléfonos es correcto, aparecen duplicados o constan incluidos en la lista Robinson (vid. f. 114 párrafo segundo el punto 2.2). Por lo tanto, EDICIONES EL PAIS ostenta la condición de responsable del mencionado fichero, y RAINBOW, como encargado del tratamiento, trata los teléfonos móviles incluidos en él por cuenta de EDICIONES EL PAIS para la prestación del servicio de call center con sujeción a las cláusulas del artículo 12 LOPD recogidas en el Contrato. . Con fecha 11/10/2012, el denunciante solicitó la baja de su móvil a través del formulario de contacto de Atención al Cliente dispuesto en la página web de EDICIONES EL PAIS (www.elpais.com), que fue atendida por esta entidad en plazo (15/10/2012), informándole que se había dado traslado al departamento correspondiente. En fecha 26/10/2012, el denunciante envió correo electrónico a la misma dirección atencionclientes@elpais.
2. es)desde la que se le respondió el 15/10 a su petición de cancelación. Dicho correo electrónico de 26/10/2012 fue contestado tres días después en fecha 29/10/2012, informándole que se estaban realizando las gestiones necesarias para que no volviera a recibir más llamadas. El 29/10 se suprimió el teléfono del denunciante del sistema y se informó diligentemente a RAINBOW de dicha baja a efectos de su inclusión en la lista Robinson. De tal manera que EDICIONES EL PAIS desplegó toda la actividad necesaria para que el móvil del denunciante no volviera a utilizarse a partir del lunes 29/10/2013, es decir, el primer día laborable posterior al 26/10. Todo ello, conforme a los procedimientos implantados por la entidad para la atención de los derechos de acceso, rectificación, cancelación y oposición. . El denunciante en su escrito de denuncia manifiesta: "Y el 29/10/2012 me vuelven a responder diciendo que resolverán la situación. Desde esa fecha hasta la semana pasada (16/01/2013) no vuelvo a recibir llamadas telefónicas [...]. Esta manifestación resulta especialmente relevante a la hora de explicar las diferencias que se aprecian entre el listado de llamadas remitido por la entidad Telecable de Asturias, S.A. y la tabla histórica que recogen los sistemas de RAINBOW. En esta tabla se aprecia que la primera llamada desde el número **TEL.1 (RAINBOW) al número del denunciante se realiza el 19/09/2012, es decir, cuando aún no se había solicitado la cancelación; y la siguiente no se efectúa hasta el 16/01/2013. Esta información concuerda con lo manifestado por el denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/28 en su denuncia y evidencia que las dos llamadas que aparecen en el listado de Telecable de Asturias como realizadas en el mes de octubre y diciembre de 2012 no son llamadas realizadas por cuenta de EDICIONES EL PAIS. Recuérdese que RAINBOW presta servicios a otras muchas entidades en cuyas campañas utiliza el teléfono secundario indicado, del que es titular. En consecuencia, resulta evidente que las únicas llamadas que pueden ser objeto de enjuiciamiento en el presente procedimiento sancionador son las que se realizan a partir del 16/01/2013, por ser esta la fecha en que realiza la primera llamada después de la petición de cancelación. Así lo confirma el Acuerdo de Inicio en el punto 7 de las conclusiones que se recogen en el apartado de los Hechos "[...] consta la realización de 24 llamadas desde el 16/01/2013 hasta el 21/03/2013". . Los Servicios de Inspección de la AEPD no discuten el envío del correo electrónico, lo cual comprobaron in situ, pero concluyen que no se ha podido constatar la recepción del mismo por parte de RAINBOW. Sin embargo, las direcciones electrónicas destinatarias son correctas, no consta ningún mensaje relativo a la devolución de dicho correo o error en el envío, las cabeceras aportadas acreditan el envío y la recepción del mismo. La afirmación que hace la Agencia, en el sentido de que no se ha podido constatar la recepción del correo de baja por parte de RAINBOW se funda en que el mismo no fue localizado en los buzones de correo de la entidad. Sin embargo, ello se explica no porque no fuera recibido el citado correo en las citadas cuentas de RAINBOW (.........@rainbow.es, C.C.C. y .........1@rainbow.
3. es)sino porque la búsqueda se refirió a correo remitido por EDICIONES EL PAIS (@elpais.
4. es)cuando, como consta acreditado, el correo se envío desde PRISA NOTICIAS (@prisanoticias.com), entidad encargada de gestionar el Servicio de Atención al Cliente de la www.elpais.com. En cualquier caso, el hecho de que no se localizara el correo electrónico en los buzones de RAINB0W no permite concluir que el mismo no fue recibido ya que pudo ser borrado, guardado o autoarchivado en otra carpeta distinta. Más aún si atendemos a los indicios que existen, es decir, a aquellos hechos acreditados de los que puede fácilmente presumirse, a través de un enlace preciso y directo (ex. artículo 386.1 LEC), que RAINBOW recibió el correo de marras. Habría que añadir que, cuando la entidad RAINBOW fue inspeccionada por la Agencia, el teléfono ya estaba incluido en la lista Robinson. ¿Por qué iba a figurar en la lista Robinson si no es porque EDICIONES EL PAIS envió el citado correo electrónico el 29/10/2012? Además, la propia entidad RAINBOW, cuando es consultada por la Agencia sobre el hecho de que se hayan producido esas llamadas con posterioridad a la fecha en que se solicitó la baja de la línea del denunciante, manifiesta que pudo deberse a un mal funcionamiento del sistema de marcador automático que realiza las llamadas. Cualquier otra conclusión que no sea la de entender que las llamadas se realizaron por un mal funcionamiento del sistema de marcador automático de RAINBOW que no procesó la baja del número vulneraría el derecho a la presunción de inocencia que proclama el artículo 24.2 de la CE y el 137 LRJPAC. Por lo tanto, debe excluirse a EL PAÍS de cualquier responsabilidad y estarse a lo dispuesto en el artículo 12.4 de la LOPD. . Con carácter subsidiario, solicita la aplicación de lo dispuesto en el artículo 45.6 de la LOPD, debiendo considerarse, atendidas las circunstancias expuestas, la imposibilidad que suponen a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/28 efectos de lo dispuesto en el artículo 8.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora. En efecto, sin conocer la responsabilidad concreta que se imputa no es posible proceder, en su caso, a su reconocimiento espontáneo. No obstante, resulta indiscutible la concurrencia de circunstancias que determinan una cualificada disminución de culpabilidad de EDICIONES EL PAIS así como de la antijuridicidad del acto, por aplicación de los apartados 5 y 6 del artículo 45 de la LOPD. En primer lugar, de acuerdo con el relato de los hechos incluido en el Acuerdo de Inicio y en el presente escrito de alegaciones, se observa que las llamadas realizadas desde el 16/01/2013 hasta el 21/03 lo fueron por un fallo en el sistema de marcación automática de RAINBOW. Por tanto, la causa de las llamadas no responde a una falta de diligencia o simple inobservancia de EDICIONES EL PAIS sino a un mal funcionamiento del sistema de RAINBOW que se apartó de las instrucciones remitidas por aquélla. En segundo lugar, debe ponerse de manifiesto el carácter puntual y excepcional de la situación objeto de enjuiciamiento, la ausencia de beneficios, así como la inexistencia de perjuicios causados al denunciante, más allá de la molestia que pueda suponer oír el sonido de su teléfono. Tampoco debe olvidarse que el dato del denunciante que se trata (teléfono móvil) es un dato disociado. En ningún momento se ha tratado asociado al denunciante. Por otra parte, EL PAÍS tiene implantados procedimientos adecuados de actuación en el tratamiento de los datos de carácter personal, no hay reincidencia en la comisión de infracciones de la misma naturaleza ni reiteración por parte de EDICIONES EL PAIS, y procedió de forma diligente a regularizar la situación producida por las llamadas realizadas al denunciante entre los días 15 y 26 de octubre, al enviar el correo electrónico urgente el 29/10, es decir, dentro del plazo disponible para resolver sobre la cancelación. EDICIONES EL PAIS actuó en la confianza legítima de que el email urgente ordenando la baja había llegado a sus destinatarios y, consecuentemente, se había implementado por ellos y no tuvo noticia ninguna que le permitiera pensar lo contrario. Adicionalmente, tanto pronto ha recibido la notificación del Acuerdo de Inicio, ha procedido a adoptar nuevas medidas e implantar controles adicionales dirigidos, por un lado, a limitar las llamadas que puedan realizarse por campaña comercial si no son contestadas por sus destinatarios y, por otro lado, a abreviar los plazos de respuesta y ejecución de las solicitudes de oposición al tratamiento de datos con fines comerciales y a insistir a los empleados responsables de dicha tarea en la necesidad de que los correos electrónicos que envíen ordenando la baja de un teléfono del fichero comercial bajo asunto ROBINSON incluyan la funcionalidad "confirmación de entrega" y "confirmación de lectura", sea confirmada por los destinatarios tanto su recepción como el bloqueo efectivo del dato. Para acreditar este extremo se aporta a este escrito la Circular Interna adoptada el 3/02/2014 como documento n° 5. Asimismo, quedan a disposición de la AEPD, los Anexos a los contratos con los proveedores de servicios de atención al cliente y con las agencias comerciales de telemarketing incluyendo los extremos anteriormente indicados así como una cláusula penal en caso de incumplimiento que contemple la posibilidad de rescisión unilateral del contrato. En conclusión, y a efectos de lo dispuesto en el apartado 5 del artículo 45 de la LOPD, se aprecia una cualificada disminución de la culpabilidad de EDICIONES EL PAIS y la antijuridicidad del hecho que se le imputa como, consecuencia de la concurrencia significativa de varios de los criterios enunciados en su apartado 4 del artículo 45 de la LOPD) y que EDICIONES EL PAIS ha regularizado la situación de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/28 Por lo tanto, toda vez que concurren varios de los supuestos recogidos en el artículo 45.5 de la LOPD, procede aplicar el apartado 6 del citado artículo 45 de la LOPD, según el cual, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el artículo 45.5, el órgano sancionador puede no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran dos presupuestos que sin ningún género de dudas se dan en el presente caso, a saber,
5. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley y
6. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. QUINTO: RAINBOW, por su parte, presentó escrito en el que reconoce voluntariamente su responsabilidad por los hechos denunciados, señalando que asumen la existencia de un fallo involuntario en el sistema del marcador automático, y solicita, en base a ello, la aplicación de lo dispuesto en el artículo 45.5 de la LOPD con la imposición de una sanción por el importe mínimo establecido, considerando la ausencia de beneficios, la falta de intencionalidad, que no ha sido sancionada con anterioridad, que cumple la normativa de protección de datos, tiene implantados procedimientos para el tratamiento de ficheros y el único datos tratado del denunciante ha sido su número de teléfono Añade que en otro supuesto similar, con el número PS/00070/2012, la AEPD aplicó los preceptos invocados por la citada entidad. SEXTO: Con fecha 16/05/2014, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01889/2013. Asimismo, se tuvieron por presentadas las alegaciones formuladas por EDICIONES EL PAIS y RAINBOW al acuerdo de inicio PS/00748/2013 y la documentación que a ellas acompañan. SÉPTIMO: Con fecha 11/06/2014, se emitió propuesta de resolución en el sentido siguiente: 1. Que por el Director de la Agencia Española de Protección de Datos se sancione a EDICIONES EL PAIS con multa de 40.001 euros (cuarenta mil un euros), por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
7. b)de dicha norma. 2. Que por el Director de la Agencia Española de Protección de Datos se acuerde el archivo del procedimiento seguido contra la entidad RAINBOW por la presunta infracción del artículo 6 de la LOPD. OCTAVO: Notificada la citada propuesta, se recibió escrito de la entidad EDICIONES EL PAIS en el que solicita el archivo del procedimiento en base a las mismas alegaciones formuladas a la apertura del mismo: . Señala nuevamente que obtuvo el consentimiento expreso del denunciante para tratar sus datos personales con fines comerciales y que el único dato del denunciante recogido por EDICIONES EL PAIS y facilitado a RAINBOW fue el relativo a su teléfono móvil, registrado de forma totalmente disociada por lo que no ha de considerarse dato personal. . EDICIONES EL PAIS contestó y procedió en plazo a la cancelación efectiva del dato del denunciante en sus sistemas y comunicó urgentemente a sus proveedores de servicios de telemarketing (entre ellos, a RAINBOW) instruyéndoles para no volver a utilizar el teléfono del denunciante con fines comerciales y excluirlo de sus llamadas, mediante correo electrónico urgente el 29/10/2012, según se recoge en los Hechos Probados, estando fuera de toda duda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/28 que dicho correo fue recibido por el personal de RAINBOW, cuyos emails (tres) figuraban entre los destinatarios, como lo demuestran numerosas evidencias ya detalladas en su escrito de alegaciones anterior (los inspectores accedieron al buzón de entrada de aquellas cuentas de email, sin que conste que fuera devuelto por alguno de sus destinatarios; no se aclara cómo se realizó la búsqueda; que el correo electrónico no se localizara en los buzones de RAINBOW no significa que el mismo no fuera recibido, ya que el mismo pudo haberse borrado o archivado en otra carpeta o ubicación distintas; cuando los Servicios de la AEPD inspeccionaron la entidad RAINBOW la tabla que contiene los datos de teléfonos utilizados por el software marcador automático no incluye el número de teléfono indicado, no constan llamadas realizadas desde el 01/04/2013; el teléfono del denunciante figuraba en la lista robinson; las llamadas al denunciante por parte de RAINBOW cesaran justo cuando EDICIONES EL PAIS le remitió el email). La única causa que explica que el dato del denunciante figurara excluido de los teléfonos utilizados por el software marcador automático e incluido en la lista Robinson de los sistemas de RAINBOW es que esta entidad recibió instrucciones de EL PAÍS en este sentido, y las únicas instrucciones dadas por EL PAÍS al respecto fueron a través del email enviado de 29/10. Por otra parte, señala que la Propuesta de Resolución no ha reparado en las diferencias que presentan el listado de llamadas remitido por la entidad Telecable de Asturias, S.A. y la tabla histórica que recogen los sistemas de RAINBOW, que demuestran que las llamadas que aparecen en el listado de Telecable de Asturias como realizadas los dos últimos días del mes de octubre y en el mes de diciembre de 2012 se realizaron por RAINBOW por cuenta de algún otro cliente suyo distinto de EL PAÍS. En definitiva, considera EDICIONES EL PAIS que las llamadas que se consideran constitutivas de infracción administrativa, las efectuadas a partir del 16/01/2013, fueron realizadas por RAINBOW, no como encargado del tratamiento de EL PAÍS, sino por su cuenta y contraviniendo sus instrucciones. RAINBOW dejó de llamar al denunciante el día siguiente de recibir el correo de 29/10 y, sin embargo, reactivó las llamadas más de dos meses y medio después, el 16/01, cesando definitivamente de llamar al denunciante el 22/02. De hecho, cuando se inspeccionaron los sistemas de RAINBOW el dato del denunciante no estaba entre los números utilizados por el marcador automático y estaba incluido en la lista robinson. Además, señala que RAINBOW ha reconocido la responsabilidad espontánea y voluntariamente, y ha declarado que la causa de que la instrucción de EDICIONES EL PAIS no fuera tramitada pudo deberse a una anomalía en el funcionamiento de su sistema de marcado automático. Asimismo, considera EDICIONES EL PAIS que, aún en el hipotético supuesto de que se admitiera que aquél correo electrónico de 29/10/2012 no fue recibido por RAINBOW, resulta innegable que EDICIONES EL PAIS puso todos los medios a su alcance para que el denunciante no volviera a recibir ninguna llamada por su parte: (
8. i)eliminó el dato de sus sistemas y (
9. ii)dio instrucciones a las empresas que prestaban labores de prospección comercial para que no se volvieran a realizar llamadas al número de teléfono del denunciante, mediante operativa que venía aplicándose desde el comienzo de su relación contractual con RAINBOW y que siempre había dado un resultado positivo, como confirma que hasta la fecha no se haya producido incidencia alguna. . Buena prueba de la falta de fundamento de la imputación que se hace a EDICIONES EL PAIS es que se funda su culpabilidad exclusivamente en no haber hecho constar en el contrato la obligación expresa y concreta de RAINBOW consulta de los ficheros de exclusión o no haber comprobado si el encargado cumple la normativa de protección de datos. A este respecto, según EDICIONES EL PAIS, todas las obligaciones relevantes desde el punto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/28 de vista de la normativa de protección de datos correspondientes a RAINBOW están reflejadas en el Contrato (cumplir todas las obligaciones previstas en la legislación, tratar los datos conforme a las instrucciones del responsable del tratamiento o destinar los datos de carácter personal exclusivamente a la ejecución de los Servicios) y que el correo electrónico es el medio acordado para ordenar la exclusión de una línea de teléfono de las llamadas, como pudieron comprobar los servicios de inspección y fue ratificado por RAINBOW, no habiéndose producido incidencia alguna durante más de 5 años. Teniendo en cuenta el sistema de marcador automático de llamadas, para evitar que se realicen llamadas a la persona que no desea que se le llame al teléfono móvil con fines comerciales, lo relevante es que el número sea excluido de la lista de teléfonos a los que se llama o, en su caso, que sean incluidos en fichero robinson, y ello se hizo conforme a la operativa descrita en las actuaciones, establecida de común acuerdo por ambas partes y seguida desde que en febrero de 2009 celebraron el contrato, mediante correo electrónico urgente y marcado para su seguimiento. Además, consta recogido en el Acta de Inspección de EDICIONES EL PAIS que esta entidad realiza seguimiento de la ejecución y el resultado de las campañas, solicita informes a la entidades sobre el desarrollo de las mismas y, en ocasiones, visita las instalaciones para comprobar in situ el cumplimiento de sus obligaciones, entre las que destacan las que impone la normativa de protección de datos. . Subsidiariamente, solicita la aplicación del artículo 45.6 de la LOPD, considerando que no ha sido sancionada con anterioridad, la excepcionalidad de las circunstancias concurrentes y las medidas correctoras adoptadas para que quien ejerce su derecho de oposición deje de recibir llamadas comerciales en el plazo máximo de 48 horas, o, en su defecto, el 45.5 de la misma norma, por la concurrencia significativa de varios de los criterios enunciados en el artículo 45.4 LOPD y la regularización de la situación irregular de forma diligente: . En cuanto al grado de intencionalidad, considera que los hechos evidencian la diligencia de EL PAÍS a la hora de atender la petición de cancelación u oposición del denunciante y destaca nuevamente que la causa de que las llamadas pudo deberse a una anomalía en el funcionamiento de su sistema de marcado automático y que RAINBOW, además, ha reconocido voluntaria y espontáneamente su responsabilidad. Si a pesar de la cancelación efectiva e inmediata del número teléfono en los sistemas de EDICIONES EL PAIS, el email remitido el 29/10 a tres personas RAINBOW (entre otros 16 destinatarios) con instrucciones claras de excluir la línea de teléfono con carácter urgente de las llamadas de prospección comercial, y estar incluido el dato en la lista Robinson de RAINBOW y excluido de los utilizados por el sistema de marcado automático de RAINBOW; se realizaron una serie de llamadas por reactivación entre el 16/01 y el 21/02 de 2013, es innegable que no ha sido por falta de diligencia de EL PAÍS sino por una anomalía en el funcionamiento del software de marcador automático de RAINBOW o por una negligencia clara de esta entidad. EL PAÍS actuó en la confianza legítima de que el email urgente de 29/10 ordenando la baja de la línea del denunciante había llegado a todos sus destinatarios y, consecuentemente, se había implementado por ellos con ese carácter inmediato. Las circunstancias concurrentes en el caso hacían imposible que EL PAÍS pudiera conocer que RAINBOW no había dejado de llamar al denunciante por su cuenta de manera definitiva. . Conforme a lo establecido en la letra
10. j)del artículo 45.4 de la LOPD, al ser relevante para determinar el grado de antijuridicidad de la supuesta actuación infractora tampoco debe olvidarse que el dato del denunciante que se trata (teléfono móvil) es un dato disociado. . Pone de manifiesto el carácter puntual y excepcional de la concreta actuación infractora. . Por lo que se refiere a la letra e), EDICIONES EL PAIS no ha obtenido beneficio alguno de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/28 las llamadas realizadas por RAINBOW entre el 16/01 y el 22/02 de 2013. . Inexistencia de perjuicios causados al denunciante. . EDICIONES EL PAIS tenía implantados procedimientos adecuados de actuación tanto para atender solicitudes de derechos ARCO como para la tramitación de las revocaciones de consentimiento o solicitudes de baja que afecten a números de teléfono comunicados a los proveedores de telemarketing. . No hay reincidencia en la comisión de infracciones de la misma naturaleza ni reiteración. . Por otra parte, de acuerdo con lo dispuesto en la letra
11. b)del artículo 45.5 LOPD – regularización diligente-, indica que las llamadas que se consideran constitutivas de infracción finalizaron de manera definitiva el 22/02 sin que el denunciante hubiera tenido que volver a requerir su cese y antes de que se hubiera conocido la existencia de la denuncia a través de los Servicios de Inspección de la ALPD.EL PAÍS actuó en la confianza legítima de que el email urgente de 29/10 ordenando la baja de la línea del denunciante había llegado a todos sus destinatarios y, consecuentemente, se había implementado por ellos con ese carácter inmediato solicitado. No tuvo noticia ninguna que le permitiera pensar lo contrario. Ni el e-mail fue devuelto ni dio error de envío ni recibió correo adicional del denunciante ni comunicación de RAINBOW. Y además no se produjo ninguna llamada entre el 29/10 y el 16/01. Ni siquiera durante la inspección pudo EL PAÍS sospechar haber omitido una conducta diligente. Es más, al tiempo de aquella, no aparece en sus sistemas ningún dato coincidente con la línea del denunciante. Tan sólo se localiza la petición realizada a través del formulario web y el correo electrónico enviado el 29/10 (que es la medida que se viene adoptando en estos casos desde el año 2009). Asimismo, la línea del denunciante aparece excluida de los números utilizados por el software de RAINBOW e incluido en su lista robinson. Adicionalmente, EDICIONES EL PAIS ha implantado controles adicionales dirigidos a fijar plazos máximos de respuesta y ejecución de las solicitudes de oposición al tratamiento de datos con fines comerciales más reducidos que los fijados legalmente, exige a las agencias confirmación tanto la recepción del correo electrónico solicitando el cese del tratamiento como el bloqueo efectivo del dato. NOVENO: La propuesta de resolución fue notificada a la entidad RAINBOW, concediéndosele plazo para formular alegaciones que transcurre sin que se haya recibido escrito alguno. HECHOS PROBADOS 1. El denunciante es titular de la línea de telefonía móvil número E.E.E.. 2. El denunciante facilitó su línea de telefonía móvil E.E.E. a EDICIONES EL PAIS para participar en una promoción comercial realizada por dicha entidad. La información facilitada a los participantes en dicha promoción advertía que los datos proporcionados podrían ser utilizados para la remisión de comunicaciones promocionales por medios electrónicos. 3. EDICIONES EL PAIS facilitó a la entidad RAINBOW el teléfono del denunciante número E.E.E. en virtud del contrato de prestación de servicios suscrito por ambas entidades en fecha 18/02/2009, por el que la última entidad se obliga a promocionar los productos de EDICIONES EL PAIS (suscripciones al diario “El País”). Ambas entidades han declarado que estas campañas de captación de suscriptores se llevan a cabo con datos personales proporcionados por EDICIONES EL PAIS contenidos en ficheros en formato Excel. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/28 En su Cláusula 3, el mencionado contrato estipula que EDICIONES EL PAIS deberá proporcionar a RAINBOW “el material y los datos necesarios para la prestación de los Servicios que no requerirán de ninguna revisión o corrección adicional por parte del Proveedor. El Proveedor no tendrá obligación de validar esa información por su contenido, corrección o calidad de diseño”. Las estipulaciones relativas a la protección de datos de carácter personal se recogen en la Cláusula 6 de este contrato, según el detalle que consta reseñado en el apartado 4 del Antecedente Segundo, que se declara reproducido en estos Hechos Probados. Cabe destacar las estipulaciones 6.6 y 6.7, en las que se indica lo siguiente: “6.6 Por su parte, el Cliente facilitará al Proveedor un fichero comercial de su titularidad con datos de carácter personal para la prestación de los Servicios. Dicho fichero será de responsabilidad del Cliente, quien garantiza que los datos contenidos en el fichero se hallan debidamente legalizados, legitimados y cumplen con todas las medidas de seguridad previstas en el artículo 9 de la LOPD y en el RLOPD. Respecto del deber de información y consentimiento, obligación del Proveedor, éste se compromete a lo establecido en la cláusula 6.4. En el caso de que el Proveedor recibiese una solicitud de ejercicio de los derechos reconocidos en la LOPD por parte de una persona cuyos datos estén incluidos dentro de este fichero, deberá dar traslado al Cliente en un plazo máximo de 3 días, a fin de que este pueda resolver dicha solicitud en el plazo legalmente estipulado”. 4. RAINBOW, en cumplimiento del contrato reseñado en el Hecho Probado Tercero, comenzó a llamar al denunciante el 19/09/2012 desde el teléfono **TEL.1, cuya titularidad corresponde a dicha entidad, para ofertarle una suscripción al diario “El País”. Por los Servicios de Inspección de la AEPD se accedió al sistema de información de RAINBOW comprobando que contiene una tabla histórica de las llamadas realizadas, en la que figuran 25 registros relativos a las realizadas al teléfono del denunciante E.E.E.: la primera llamada consta realizada el 19 de septiembre de 2012 y la última el 21 de marzo de 2013, 24 de ellas entre el 16/01/2013 y el 21/03/2013. Por otra parte, en los sistemas de información del operador de telefonía que presta servicio a la línea del denunciante constan registros de un total de 47 llamadas realizadas con origen en la línea **TEL.1 y destino en la línea E.E.E.. La primera llamada se realizó el 19/09/2012 y la última el 22/02/2013: 20 llamadas anteriores al 29/10/2012, una llamada realizada los días 29, 30, 31/10, 03 y 04/12/2012, y 22 llamadas a partir del 16/01/2013 y hasta el 22/02/2013 (estas 22 llamadas figuran igualmente en el detalle recogido por la inspección del sistema de información de RAINBOW). 5. Con fecha 11/10/2012, el denunciante comunicó a EDICIONES EL PAIS que sus datos personales, especialmente su número de línea de telefonía móvil, no fuesen utilizados para la realización de llamadas comerciales en nombre de dicha entidad. En respuesta a esta solicitud, efectuada mediante correo electrónico a la dirección atencionclientes@elpais.com, EDICIONES EL PAIS contestó al denunciante en fecha 15/10/2012, también mediante correo electrónico, acusando recibo de la petición e informando que la misma había sido remitida al Departamento correspondientes para su tratamiento. 6. Con fecha 26/10/2012, el denunciante remite un nuevo correo electrónico a EDICIONES EL PAIS advirtiendo que entre desde el día 15/10/2012 y hasta aquella fecha ha recibido 7 llamadas comerciales realizadas desde el número **TEL.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/28 7. Con fecha 29/10/2012, desde la dirección de correo atencionclientes@elpais.com, EDICIONES EL PAIS remite al denunciante un nuevo correo electrónico en el que se indica “Con reacción a su consulta, le informamos que vamos proceder a realizar las gestiones oportunas para que no se le vuelva a realizar ninguna llamada”. 8. Con fecha 29/10/2012, EDICIONES EL PAIS remitió un correo electrónico a las empresas que realizan para la entidad labores de prospección comercial con el asunto “Robinson urgente” y el siguiente texto: “ E.E.E.”. Este correo, en el caso de RAINBOW, iba dirigido a las direcciones B.B.B., C.C.C. y D.D.D.. Las comprobaciones realizadas por los Servicios de Inspección de la AEPD en el sistema de información de RAINBOW no permitieron constatar la recepción de los citados correos electrónicos en las direcciones indicadas. 9. Con fecha 10/10/2013, los Servicios de Inspección de la AEPD comprobaron que los datos personales del denunciante no figuran en el fichero de suscriptores de EDICIONES EL PAIS. 10. Con fecha 17/12/2013, en inspección realizada en los locales de RAINBOW, los Servicios de la AEPD comprobaron que el número de línea del denunciante no figura en la tabla que contiene los datos de los teléfonos utilizados en esa fecha para la realización de llamadas promocionales por el software marcador automático de la entidad; que el número de línea del denunciante se encuentra incluido en el fichero de exclusión de RAINBOW, sin que conste ninguna indicación sobre la fecha en que fue anotado en dicho fichero. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
12. g)en relación con el artículo 36 de la LOPD. II Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. Establece el artículo 6 de la LOPD lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/28 competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Por otra parte, señala el artículo 6.3 LOPD que: El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. Y el artículo 16.1 y 3 de la LOPD que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. (…) 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión…”. Por su parte, el artículo 17, en sus aparados 1, 2 y 3, del RDLOPD establece lo siguiente: “1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. 2. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/28 de diciembre. 3. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmación del cese en el tratamiento de sus datos, éste deberá responder expresamente a la solicitud”. Asimismo, el art. 30 de la LOPD regula “Tratamientos con fines de publicidad y de prospección comercial”: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. A este respecto establece el art. 49.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal que: “Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento.” El tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en el art. 30 de la LOPD, el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público. En el supuesto examinado, los datos personales del denunciante fueron utilizados con fines publicitarios por EDICIONES EL PAIS sin que dicha entidad contase con su consentimiento, considerando el derecho de cancelación ejercitado por el mismo. En el presente caso, se ha acreditado que EDICIONES EL PAIS no tenía el consentimiento del denunciante y no concurre ninguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización del dato personal del denunciante relativo al número de línea de telefonía móvil para la realización de llamadas promocionales con posterioridad a la fecha en la que el mismo solicitó a dicha entidad la cancelación del mencionado dato personal. Tal como reconoce EDICIONES EL PAIS, el denunciante solicitó la cancelación de sus datos personales, que fue recibida por dicha entidad, advirtiendo posteriormente, además, que continuaba recibiendo llamadas telefónicas promocionales a pesar de la solicitud de cancelación, a lo que EDICIONES EL PAIS contestó que procedería a “realizar las gestiones oportunas para que no se le vuelva a realizar ninguna llamada”. Sin embargo, el denunciante continuó recibiendo llamadas, hasta 25, según el detalle que consta reseñado en el Hecho Probado Cuarto, de modo que los datos personales de mismo fueron sometidos a tratamiento para finalidades de prospección comercial sin el consentimiento del denunciante. Así las cosas, el titular de los datos observa cómo éstos son tratados en contra de su expreso deseo de que los mismos fuesen cancelados por EDICIONES EL PAIS, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales, por cuanto sus datos personales continuaron tratándose en contra de su expresa voluntad. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/28 la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas los datos personales del denunciante debieron ser excluidos de las acciones publicitarias realizadas por EDICIONES EL PAIS. No cabe admitir las alegaciones formuladas por la entidad imputada, según las cuales no se produjo un tratamiento de datos personales, considerando que al dato del teléfono móvil del denunciante no puede atribuirse esa naturaleza al haberse registrado de forma disociada. Son numerosos los pronunciamientos de esta Agencia, y también de la Audiencia Nacional, en los que se considera el número de teléfono como un dato personal. Además, en este caso, cuando tuvieron lugar los tratamientos que han determinado la infracción que se analiza, el dato en cuestión figuraba en los registros de EDICIONES EL PAIS asociados a los datos aportados por el denunciante con su solicitud de cancelación, incluidos los datos identificativos del mismo. Del mismo modo, se rechaza la alegación que atribuye dichos tratamientos de datos a un mal funcionamiento del sistema automático de marcación, sobre el que no se ha aportado ningún detalle que justifique cómo se produjo y cómo hubiese podido ocurrir en caso de que el dato del denunciante se hubiera suprimido correctamente del fichero empleado por dicho sistema. Por otra parte, este fallo aparece en las actuaciones como una mera probabilidad manifestada por los representantes de RAINBOW a los servicios de inspección, sin una certeza plena al respecto. Al contrario, las evidencia demuestran que no se disponía de las cautelas y controles precisos para impedir que aquellas llamadas publicitarias fuesen realizadas. Es significativo, al respecto, que EDICIONES EL PAIS haya manifestado en sus alegaciones que actuó en la confianza de que el correo electrónico ordenando la baja había llegado a todos sus destinatarios y que el mismo se había implementado con carácter inmediato. III De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento del titular de los mimos, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
13. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
14. q)del RDLOPD se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/28 otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. Por otra parte, conforme al artículo 3.
15. g)de la LOPD, el encargado del tratamiento es “… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
16. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Conforme al artículo 46.2
17. a)del RDLOPD: “2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
18. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos”. En el presente caso, el responsable del tratamiento es EDICIONES EL PAIS, de conformidad con la definición del art. 3
19. d)de la LOPD y 5.1.
20. q)del RDLOPD, y sus distribuidores o agentes, en este caso RAINBOW, se instituyen en encargado de tratamiento, de conformidad con las definiciones recogidas ut supra. EDICIONES EL PAIS es responsable del tratamiento de los datos personales del denunciante realizado en el marco de las campañas encargadas por dicha entidad, pues el tratamiento acontecido se enmarca en actividades de prospección comercial cuya beneficiaria es la propia entidad citada, que a su vez fija el segmento de destinatarios y los parámetros sobre quienes recae la campaña. EDICIONES EL PAIS es, además, la responsable del fichero de datos personales utilizado por la entidad que lleva a cabo la campaña en nombre de aquella, en el que figuraban registrados los datos del denunciante. Por tanto, de acuerdo con el artículo 43 de la LOPD, EDICIONES EL PAIS ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de la citada norma. RAINBOW, por su parte, interviene en los hechos como encargado del tratamiento, conforme a las definiciones reseñadas. En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD, que establece lo siguiente: “Artículo 12. Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/28 En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. En este caso, según lo indicado, EDICIONES EL PAIS es responsable del tratamiento en las campañas publicitarias en las que se trataron los datos del denunciante, ya que decidió realizar la campaña (finalidad) y delimitó el colectivo de personas a las que debían realizarse las llamadas, es decir decidió sobre el contenido y uso del tratamiento. Sobre este particular decir que interpreta el art. 12.4 de la LOPD la sentencia de 14/03/2007 Recurso 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec.241/2003, establece que lo que determina la LOPD en el mismo es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <<…será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. El término “también” que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del tratamiento no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento, que incumpla lo estipulado, se le atribuya “también” la consideración de responsable del tratamiento…>>. Por lo que el término “también” que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del tratamiento no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento, que incumpla lo estipulado, se le atribuya “también” la consideración de responsable del tratamiento, es decir, el responsable responde de las infracciones que se hubieran cometido con motivo del encargo, aunque el encargado del tratamiento incumpla las instrucciones. Este criterio ha sido reiterado recientemente en SAN de 17/05/2013. A lo anterior añadir que EDICIONES EL PAIS no ha acreditado que realice comprobaciones a fin de constatar si el encargado del tratamiento cumplen las instrucciones que ella indica en orden a la exclusión de datos de personas que han ejercido el derecho de oposición o que han registrado sus datos personales en el Servicio Lista Robinson. Ni siquiera ha acreditado que haya facilitado al encargado del tratamiento que intervienen en las campañas instrucciones precisas sobre cómo actuar en tales casos. En cuanto a las instrucciones del responsable del tratamiento al encargado del tratamiento, que EDICIONES EL PAIS afirma que su distribuidor ha incumplido, esta Agencia ha entrado a valorar las mismas en otros procedimientos, por ejemplo en el que recayó la Resolución nº R/1383/2009 del PS/518/2008, señalando que: “CL está interesada en promover la utilización de sus ficheros para la realización de campañas o acciones publicitarias de terceras empresas o entidades, para lo cual requiere los servicios de Arvato, mediante los contratos aportados al procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/28 En dichos contratos se establece la previsión relativa a las instrucciones precisas que el responsable del fichero, debe dar al supuesto encargado de tratamiento. Éstas no aparecen firmadas por ambas partes tal como exige el propio contrato para poderlas incorporar al contrato como parte integrante del mismo, y en última instancia para “acotar” el tratamiento genérico que recoge el contrato. La cuestión de la hoja de instrucciones firmada no es baladí, tal como se expone y atendiendo a otras Hojas de Instrucciones fiscalizadas por esta Agencia en otros procedimientos, que siempre vienen firmadas. Sin la delimitación precisa del tratamiento se vacía de contenido la relación conforme a la LOPD del responsable del fichero/tratamiento, con el encargado del tratamiento, ya que de la heterogeneidad de la redacción del contrato se establece una “legitimación” excesivamente abierta, ambigua y no concretada, de lo que debe ser el tratamiento que encarga el responsable del fichero/tratamiento al supuesto encargado de tratamiento. La importancia de las Hojas de Instrucciones firmadas por ambas partes, planea sobre el contenido del contrato, sirva a modo de ejemplo, el Pacto Primero, donde se nombran en dos ocasiones y el Pacto Segundo, donde exige que en el citado Anexo (Hoja de Instrucciones) se detalle los trabajos a realizar cuando conlleve tratamiento de datos personales y la obligatoriedad de no tratar los datos para fin distinto al recogido en el citado Anexo. En definitiva, sin la firma de las citadas instrucciones por ambas partes se han de tener por no puestas, conculcando la verdadera naturaleza de las instrucciones del responsable del fichero al encargado, y por tanto sin poder entender la actuación de Arvato dentro de la actuación de un simple encargado del tratamiento. La representaciones de CL y Arvato, manifiestan en sus alegaciones a la Propuesta de Resolución, que no es conforme a Derecho la exigibilidad de la firma de dichas hojas de instrucciones, a que de conformidad con el derecho civil español, existe la libertad de forma y las empresas configuran sus relaciones jurídicas como mejor consideran que convenga a sus intereses. A este respecto hay que señalar que si bien son cuestiones de naturaleza netamente civil, la forma de los contratos, esta Agencia no puede dejar de valorar sus elementos configuradores, cuando de tales contratos se legitima un tratamiento de datos personales. En el mismo sentido, es cierto que el art. 12 LOPD, no impone forma alguna ni elementos configuradores propios, pero en el caso concreto y debido a ese establecimiento de las hojas de instrucciones, sobre las que descansa la verdadera “configuración del tratamiento”, se entiende que son fundamentales para valorar la figura del encargado del tratamiento. La interpretación de la actuación de Arvato, se extrae no sólo del contrato en puridad que sea respetuoso con el art. 12 de la LOPD, sino también de los propios elementos sobre los que descansa el verdadero “encargo”, ya que del contrato aportado, ayuno de otras circunstancias, no se infiere la configuración del tratamiento concreto que se ha de llevar a cabo. En las alegaciones a la propuesta de Resolución, CL y Arvato aportan unas hojas de instrucciones, que ya si vienen firmadas por ambos. No obstante lo anterior, en los anteriores tramites del procedimiento, ambas denunciadas no aportaron las hojas firmadas, ni por parte de una ni por parte de la otra, más aun cuando en las alegaciones a la propuesta manifiestan que con que las firme el que encarga el tratamiento valdría. Así las cosas, de las manifestaciones de CL y Arvato se deduce que las hojas de instrucciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/28 aportadas, tanto en las Actuaciones Previas de Inspección, (folios 65 a 67) y durante la propia instrucción del procedimiento (folios 193 a194), no estaban firmadas y que ficho defecto se ha subsanado aportando en las alegaciones a la propuesta de resolución unas hojas firmadas ad hoc, (pag. 11 de las alegaciones de Arvato), ya que entienden que es una falta formal. No obstante lo anterior, hay que señalar que la exigibilidad de la firma de las hojas, tal como se ha puesto de manifiesto durante la instrucción, obedece a un momento temporal concreto, esto es, con anterioridad a la realización de la campaña para acotar el tratamiento realizado, por lo que ahora y con posterioridad al tratamiento realizado es irrelevante la subsanación que se haga y por tanto no puede verse modificada la interpretación que se ha hecho de la relación entre los denunciados, por un documento constituido ad hoc, sin efectividad alguna en el tratamiento ya realizado.” (El subrayado es de la Agencia). IV A pesar de las alegaciones realizadas por EDICIONES EL PAIS, lo que sí ha quedado acreditado en el presente caso es que los datos personales del denunciante fueron tratados por cuenta de EDICIONES EL PAIS para la realización de las llamadas publicitarias objeto de la denuncia, a pesar de la oposición a este tratamiento de datos manifestada por el mismo ante la citada entidad, y fue el distribuidor RAINBOW quien realizó las llamadas publicitarias por cuenta de EDICIONES EL PAIS, sin que esta entidad hubiese adoptado ninguna cautela para que se eliminasen de los ficheros utilizados en la campaña los datos de las personas que hubiesen solicitada la cancelación o para que previamente se cotejasen los datos personales registrados en los fichero de exclusión propios de la entidad, en los que han de registrase las personas que se han opuesto al tratamiento. EDICIONES EL PAIS pretende excluir su responsabilidad en detrimento de su encargado del tratamiento, RAINBOW, basándose en un incumplimiento de sus mandatos, entendiendo por ello que no tiene culpabilidad en el tratamiento de datos realizado. No pueden ser tenidas en cuenta las alegaciones de EDICIONES EL PAIS, en cuanto al incumplimiento de las instrucciones del responsable por parte del encargado del tratamiento, RAINBOW, por cuanto aquella entidad no ha aportado elementos de juicio suficientes que permitan entender que dio instrucciones precisas para la exclusión del número de teléfono del denunciante en las acciones publicitarias que llevan a cabo. Al contrario, las estipulaciones convenidas en los documentos contractuales formalizados por ambas entidades no contienen previsiones sobre la consulta de la lista de excluidos de EDICIONES EL PAIS y la del propio distribuidor, RAINBOW, y sobre la actuaciones a seguir cuando se formulen solicitudes de oposición. Entre las obligaciones recogidas en el contrato de prestación de servicios aportado no consta ninguna previsión respecto de la exclusión de los registros, ya sea, como en el presente caso, por la solicitud de cancelación de datos del afectado o por el ejercicio del derecho de oposición, o bien porque el mismo figure en ficheros comunes de exclusión del envío de comunicaciones comerciales. El contrato no contiene ninguna indicación al respecto ni mandato alguno sobre la consulta de estas exclusiones, no existe concreción alguna respecto de los plazos de actualización y tampoco la entidad EDICIONES EL PAIS ha aportado cualquier otra documentación en la que se establezca un procedimiento para la gestión de las mismas. Estos detalles tampoco se expresan en los correos electrónicos aludidos por EDICIONES EL PAIS para justificar su actuación como diligente y tales correos, considerando que no consta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/28 obligación expresa y concreta de consulta de los ficheros de exclusión por parte de RAINBOW, no pueden tener los efectos pretendidos por EDICIONES EL PAIS para su exculpación en detrimento de RAINBOW. Ello sin considerar, además, que la recepción de dichos correos por RAINBOW no ha sido constatada (en el Acta de Inspección de 17/12/2013, realizada a RAINBOW, consta al respecto lo siguiente: “Se solicita a la entidad que realice una búsqueda en los buzones de correo electrónico B.B.B., C.C.C. y D.D.D. para localizar el correo remitido por EDICIONES EL PAIS con la solicitud de baja sin que llegue a localizarse dicho correo remitido el 29 de octubre de 2012”) y que no consta que EDICIONES EL PAIS lleve a cabo comprobación alguna a fin de verificar si el encargado del tratamiento cumple la normativa de protección de datos en orden a la exclusión de datos de personas que han ejercido el derecho de oposición o que han registrado sus datos en servicios de lista Robinson. En el citado contrato consta que EDICIONES EL PAIS facilitará a RAINBOW un fichero comercial de su titularidad con datos de carácter personal para la prestación de los Servicios, correspondiendo a EDICIONES EL PAIS garantizar que los datos contenidos en el fichero se hallan debidamente legalizados. En el mismo documento, en relación con las exclusiones del envío de comunicaciones comerciales, tan solo consta que en el caso de que RAINBOW recibiese una solicitud de ejercicio de los derechos reconocidos en la LOPD por parte de una persona cuyos datos estén incluidos dentro de aquel fichero, deberá dar traslado a EDICIONES EL PAIS en un plazo máximo de 3 días, a fin de que este pueda resolver dicha solicitud en el plazo legalmente estipulado. A este respecto, ha de señalarse que la “operativa” aludida por EDICIONES EL PAIS en su escrito de alegaciones, supuestamente convenida por las entidades intervinientes, relativa a la actuación que han de seguir en supuestos de ejercicio de los derechos de cancelación de datos u oposición al tratamiento, se considera insuficiente e inadecuada para el fin pretendido, como es evitar hechos como los que han determinado el expediente. Además, en relación con dicha “operativa”, EDICIONES EL PAIS no ha aportado documentación que justifique su implantación y su obligatoriedad para las partes, y sobre la misma únicamente constan las declaraciones realizadas a los servicios de inspección de la AEPD, sin que aparezca formalmente acreditada en todos sus detalles. En definitiva, no puede concluirse, como pretende EDICIONES EL PAIS, que puso todos los medios a su alcance, como lo prueba el hecho de que haya adoptado mejoras que, aunque insuficientes para cubrir los reparos que se indican, cubren deficiencias en el sistema apreciadas por la propia entidad a su iniciativa. Más allá de las meras manifestaciones realizadas ante los Servicios de Inspección de la AEPD, la entidad EDICIONES EL PAIS, como responsable del fichero utilizado para las campañas publicitarias y de los tratamientos que conllevan, no había previsto ningún mecanismo de depuración del fichero que conste válidamente formalizado y asumido por ambas entidades, ni establecido ningún control al respecto, ni una obligación cierta, expresa y determinada de consulta y actualización de los ficheros de exclusión de envíos de comunicaciones comerciales o comunicación de derechos ARCO. De acuerdo con lo expuesto, y de conformidad con el artículo 46 del RDLOPD, EDICIONES EL PAIS es responsable del tratamiento de los datos del denunciante. Llegados a este punto es preciso analizar la responsabilidad de RAINBOW, que interviene, en su condición de encargado del tratamiento, en nombre y por cuenta de EDICIONES EL PAIS. El artículo 12.4 de la LOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/28 “4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. En el caso analizado, no consta que RAINBOW haya incumplido ningún mandato del responsable del tratamiento, es decir, de EDICIONES EL PAIS. Desde el punto de vista de RAINBOW, sin concretar qué instrucciones ha incumplido o que desvío de finalidad puede imputársele en el tratamiento de datos personales, que encuentra cabida en el artículo 12.4 de la LOPD, no cabe considerarla responsable de la infracción imputada. No obstante lo anterior, debe señalarse que de acuerdo con lo establecido en el artículo 12.4 de la LOPD, donde el término “también”, deja claro que no se establece un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, no puede atribuirse incumplimiento a RAINBOW y menos aun exonerar de toda responsabilidad a EDICIONES EL PAIS. Pues el responsable del fichero no pierde su condición de tal, ni queda exonerado de responsabilidad por el hecho de que su encargado del tratamiento pudiera haber incumplido lo estipulado, circunstancia no probada en el caso analizado. Aunque la inobservancia de los mandatos establecidos en el contrato por parte del encargado del tratamiento hubiese quedado probada, cosa que en este caso no ocurre, ello no significa per se que EDICIONES EL PAIS quede exenta de responsabilidad, sino que es necesario atender a las cautelas que tomó en la contratación de dicho servicio, que a la vista de la documentación aportada carecen de previsiones a ese respecto. Por tanto, es EDICIONES EL PAIS como responsable del fichero y tratamiento a quien corresponde las cautelas para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos personales del denunciante objeto de la denuncia, con independencia de la actuación del encargado del tratamiento. V El artículo 44.3.
21. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de EDICIONES EL PAIS y la exigibilidad del consentimiento viene dada en la norma aplicable. Al tratar los datos del denunciante sin su consentimiento, EDICIONES EL PAIS ha cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable, en todo caso, a la entidad EDICIONES EL PAIS, en su condición de responsable del tratamiento, de conformidad con lo dispuesto en el art. 12.4, y 43 de la LOPD. Dicha infracción, en cambio, no es imputable a RAINBOW, puesto que no ha quedado acreditado que actuaran en contra de lo estipulado en el contrato o de las instrucciones de EDICIONES EL PAIS. Por otra parte, el criterio según el cual podrá atribuirse la responsabilidad tanto del responsable del tratamiento, con independencia de cuál ha sido la actuación del encargado del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/28 tratamiento, se declara en las Sentencias de la Audiencia Nacional reseñadas en el Fundamento de Derecho III (SAN de 13/04/2005, ratificada por la SAN de 17/05/2013), significando, según quedó expuesto, que el término “también” que utiliza el artículo 12.4 de la LOPD deja claro que el responsable responde de las infracciones que se hubieran cometido con motivo del encargo, aunque el encargado del tratamiento hubiese incumplido sus instrucciones. VI El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
22. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
23. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. EDICIONES EL PAIS ha solicitado la aplicación de este artículo, considerando que los hechos acaecidos son producto de un error de programación en una fase de pruebas. No obstante, en el presente caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente la diligencia debida que se exige a las entidades que operan con bases de datos de carácter personal para la realización o envío de comunicaciones comerciales. En base a ello, se desestima el planteamiento formulado por EDICIONES EL PAIS. VII El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
24. a)El carácter continuado de la infracción.
25. b)El volumen de los tratamientos efectuados.
26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
27. d)El volumen de negocio o actividad del infractor.
28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. f)El grado de intencionalidad.
30. g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/28
31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
34. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
36. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
37. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
38. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. EDICIONES EL PAIS solicita la aplicación del artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad INPRO, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
39. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/28 de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el presente caso, EDICIONES EL PAIS ha solicitado la aplicación de lo establecido en el artículo 45.5 de la LOPD. A este respecto, considerando que concurren varios apartados del artículo 45.4 de la LOPD, en concreto, el volumen de tratamientos afectados por la infracción, el grado de intencionalidad apreciado, la ausencia de reincidencia, al no constar otras infracciones similares declaradas por resolución firme, y de perjuicios causados, procede aplicar lo previsto en el artículo 45.5 de dicha norma, es decir, aplicar la escala inferior en gravedad para establecer dentro de ese intervalo la sanción. En cuanto a la graduación de la sanción, se tiene en cuenta, por un lado, que EDICIONES EL PAIS muestra una falta de diligencia en el encargo de tratamiento de los destinatarios de sus campañas publicitarias que no se ajusta, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales, y tampoco presta atención al mandato según el cual los datos personales de una persona que ha ejercido su derecho de oposición o cancelación no pueden ser tratados para fines de prospección comercial, al no haber efectuado ninguna previsión al respecto tanto en el contrato como en la orden de campaña, de modo que se aprecia una falta de diligencia que ha de ser valorada a la hora de la imposición de la sanción; y por otro lado, se tienen en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD y, en concreto, el grado de intencionalidad y la naturaleza de los perjuicios causados por EDICIONES EL PAIS, procediendo una sanción por importe de 15.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EDICIONES EL PAIS, S.L., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
40. b)de dicha norma, una multa de 15.000 euros (quince mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: ARCHIVAR el procedimiento seguido contra la entidad COMUNICACIONES, S.L. por la presunta infracción del artículo 6 de la LOPD. RAINBOW TERCERO: NOTIFICAR la presente resolución a EDICIONES EL PAIS, S.L., RAINBOW COMUNICACIONES, S.L. y a D. A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/28 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es