1/5 Procedimiento nº.: PS/00091/2016 ASUNTO: Recurso de Reposición Nº RR/00850/2016 Examinado el recurso de reposición interpuesto por la entidad LOAN CAPITAL SL contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00091/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 4/08/2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00091/2016, en virtud de la cual se imponía a la entidad LOAN CAPITAL SL, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD, una multa de 15.000 € (quince mil un euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 11/08/2016 fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00091/2016, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS Uno.- En fecha de 26/06/2014 INICIATIVAS VIRTUALES, S.A ( ELOGIA en adelante) y MSF firmaron un contrato en virtud del cual ELOGIA realizaría campañas de publicidad de los productos y servicios de MSF mediante la inserción de publicidad en portales, redes de afiliación, envíos a bases de datos de email, a tal efecto, ELOGIA podía subcontratar, en nombre de MSF con terceras empresas el envío de comunicaciones comerciales a bases de datos de email de dichas empresas con el objetivo de atraer usuarios a la landing page de destino de la respectiva campaña. Los datos recabados a través de las campañas publicitarias serían entregados a MSF para la realización de llamadas comerciales. (Folio 9). Dos.- ELOGIA e IBRANDS MEDIOS INTERACTIVOS firmaron un contrato de colaboración de fecha 01/01/2013 en virtud del cual aquella encargara a esta la intermediación con empresas de marketing, (A tal efecto contrató con TRADETRACKER). Tres.- TRADETRACKER (TT en adelante) es una sociedad cuyo objeto social es la comercialización de un software online destinado a la realización de tareas de publicidad y marketing enfocado al “marketing de afiliación”. TT ejerce de intermediario poniendo a disposición de las partes la tecnología. El anunciante –IBRANDS como encargado de ELOGIA – acude a TT (Folios 61 y
- ss)para que éste a través de sus afiliados (en este caso LOAN CAPITAL) inserte un anuncio en páginas web de las que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 sea responsable, para que los usuarios de las mismas al realizar una determinada acción sean destinatarios de la landig page del anunciante principal – en este caso MSF -. Cuatro.- Los datos del destinatario de la acción comercial de MSF son entregados a esta a través de una URL, http://registro.msf.es..............de donde se extrae el origen de los mismos. Cinco.- TT al objeto de explicar el funcionamiento de la campaña manifestó (…)Los afiliados (como LOAN) pueden acceder a estas landing pages porque los anunciantes (o sus agencias, como IBRANDS en este caso) se lo facilitan a través de los materiales que cuelgan en la plataforma de TradeTracker.(…) al conocer las manifestaciones de LOAN CAPITAL , TT manifesto: (…)Afirma LOAN que la información que se recoge a través de los banners publicitarios nunca pasa a formar parte de sus bases de datos. Nuevamente, es posible que la empresa esté en lo cierto, pero es una información irrelevante a efectos del presente procedimiento, principalmente por tres motivos: Porque la campaña no se realizaba a través de banners, sino de plantillas HTML y enlaces de texto, bien para su remisión por correo electrónico, bien para su utilización en redes sociales. Así lo hemos manifestado en nuestro escrito de alegaciones y así se recoge en la denuncia de MSF. Porque, aun usándolos, los banners no permiten el recabado de datos de carácter personal: son simples imágenes con un enlace a una web, y en concreto a una página de aterrizaje ("landing page"). Es en esta página, alojada en los servidores de los se encuentran los formularios de recogida de datos. Anunciantes y sobre la cual TT no ejerce control alguno, en la que se encuentran los formularios de recogida de datos Porque el procedimiento no versa sobre la información recabada de banner alguno, sino de la facilitada un través del formulario presente en la web de MSF, de la que la denunciante aportó copia en su escrito, como documento 3: téngase en cuenta que MSF afirma en su denuncia que los datos del Sr. A.A.A. "aparecían en uno de los formularios que había recibido MSF".(…) Seis.- ELOGIA a raíz de conocer las alegaciones LOAN CAPITAL manifestó lo siguiente (…)la secuencia para hacer llegar leads a la landing page de MSF sólo podía hacerse de la manera siguiente: (
- i)el afiliado de TT, previa adhesión a la campaña, debía enviar un correo electrónico con la creatividad diseñada por MSF (vid. documento nº 2 de los aportados a la denuncia de MSF) a aquellas personas de su base de datos, (
- ii)si el destinatario del e-mail estaba interesado en colaborar con MSF, haciendo clic en la pestaña “Ayúdanos” del contenido publicitario, era dirigido a la landing page de MSF donde podía registrarse rellenando el formulario y aceptando la política de privacidad de MSF. Sin embargo, D. A.A.A. no recibió ningún correo electrónico con la publicidad de MSF sino que fue Loan Capital, quien incumpliendo todas sus obligaciones y vulnerando las prohibiciones que pesaban sobre ella como afiliado de TT, registró directamente al denunciante en la landing page de MSF, haciéndose pasar por el propio denunciante.(…) Siete.- LOAN CAPITAL es un “afiliado” de TT que ha resultado que realizo un “corregistro” del Sr. A.A.A. motivo por el cual fue destinatario de una acción comercial de MSF. El corregistro consistió en rellenar por parte de LOAN CAPITAL el formulario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 que consta en la landing page de MSF para ser receptor de acciones comerciales, lo que incumple los términos de la contratación entre TT y sus afiliados. El corregistro se desprende de las conversaciones aportadas al procedimiento entre los responsables de LOAN CAPITAL y TT generadas a raíz de la reclamación del Sr. A.A.A. a MSF ( folios 198-199, 206-210, 277) Ocho.-LOAN CAPITAL manifestó en su escrito de alegaciones que (…) el Sr. A.A.A. no figura en las bases de datos de la empresa (…) (folio 217). En una comunicación de ELOGIA a MSF al objeto de explicar lo ocurrido se hace constar que el afiliado – LOAN CAPITAL – comunico que el usuario – el Sr. A.A.A. – se registró en la web prestamosolucion.com en fecha de 25/08/2013 y que al registrarse dio el consentimiento para ceder los datos a terceros para campañas de marketing online. Y cita textualmente (…) el afiliado ha procedido a hacer un corregistros, es decir, en lugar de enviarle un email publicitario de MSF para que él se registre lo que ha hecho es autoregistrarlo en la campaña de MSF, porque según ellos, tiene su consentimiento (…)( folios 28-29) Nueve.- A raíz de que los datos del denunciante se incluyeran en el landig page que es remitido a MSF, ésta realizo una llamada comercial al Sr. A.A.A.. LOAN CAPITAL no ha acreditado el consentimiento del Sr. A.A.A. para ser receptor de comunicaciones comerciales. TERCERO: LOAN CAPITAL SL ha presentado en fecha 7/09/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la prescripción de la infraccionó imputada. En la medida en que los hechos por los que se sanciona a LOAN – el corregistros- se produce en el año 2013 y no es hasta el 16/02/2016 cuando se incoa el procedimiento sancionador, por todo ello han trascurridos más de los dos años que prevé el art. 47 de la LOPD para la prescripción de las infracciones graves. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por LOAN CAPITAL SL, debe señalarse que la sanción que se impone en la resolución recurrida es por el tratamiento sin consentimiento de los datos del afectado, lo que no se circunscribe únicamente a la fecha del “corregistros” como pretende poner de manifiesto la recurrente. Determina el art. 3 de la LOPD que se considera tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Por ello, en el presente caso el tratamiento se da desde que los datos se registran por LOAN CAPITAL, S.L. hasta el último acto en el que se tiene conocimiento de su tratamiento, es decir, en la realización de la llamada comercial, estando ante lo que se denomina una infracción de carácter continuado. Pero es que, además de la documentación que obra en el expediente se deduce que LOAN CAPITAL tiene bajo su disposición los datos del denunciante, al menos, hasta la fecha de enero de 2015, en la medida en que en el folio 191-192 del expediente consta él envió de un correo electrónico de la entidad TRADETRACKER a IBRANS en la que se reenvía la información que ha proporcionado LOAN CAPITAL donde constan los datos del afectado. A mayor abundamiento, en el escrito aportado por LOAN CAPITAL en fecha de 28/07/2016 en el seno del procedimiento sancionador PS/00091/2016 aportan la ficha del afectado, lo que prueba que el tratamiento de los datos del denunciante se sigue produciendo. Por ello, en modo alguno puede estimarse la prescripción de la infracción de acuerdo con lo previsto en el art. 47 de la LOPD, dado que se acredita tratamiento de datos por parte de LOAN CAPITAL – con anterioridad al inicio del procedimiento sancionador- al menos hasta la fecha de 2015, por lo que habiéndose iniciado el citado procedimiento en el mes de febrero de 2016, no han transcurrido los dos años que prevé el citado precepto como plazo de prescripción de las infracciones graves. III Por lo tanto, en el presente recurso de reposición, LOAN CAPITAL SL no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por LOAN CAPITAL SL contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de agosto de 2016, en el procedimiento sancionador PS/00091/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad LOAN CAPITAL SL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es