REPOSICION-PS-00110-2017

1/7 Procedimiento nº: PS/00110/2017 ASUNTO: Recurso de Reposición Nº RR/00660/2017 Examinado el recurso de reposición interpuesto por la entidad SERVIOCIO, MADRID SUR S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00110/2017, y en base a los siguientes, HECHOS PRIMERO: Con fecha 19 de julio de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00110/2017, en virtud de la cual se imponía a la entidad SERVIOCIO, MADRID SUR S.L., una sanción de 3.000 €, por la vulneración de lo dispuesto en el artículo 37.1.

1. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.i), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 27/07/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00110/2017, quedó constancia de los siguientes: procedimiento sancionador, <<…PRIMERO: Con fecha 29 de agosto de 2016 la Directora de la Agencia Española de Protección de Datos resolvió: “APERCIBIR (A/00179/2016) a SERVIOCIO, MADRID SUR S.L. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, por la denuncia de la infracción de los artículos 6.1 y 5.1 de la LOPD, tipificadas como grave y leve en los artículos 44.3.
2. b)y 44.2.
3. c)de la citada Ley Orgánica.” En el mismo acuerdo la Directora resolvió “REQUERIR a SERVIOCIO, MADRID SUR S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que en el plazo de un mes desde este acto de notificación: 2.1.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando:
4. a)Certificación de la cancelación de datos del denunciante de su base de datos para envíos promocionales, de prospección o acciones comerciales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7
5. b)Respecto de la cláusula que se contenía en la carta denunciada, deberá certificar que o bien ya no se utiliza, o se ha modificado conteniendo los requisitos de validez examinados en esta resolución, aportando copia de la misma.” En la resolución se le advirtió que en caso de no atender el citado requerimiento, para cuya comprobación se abrió el expediente de investigación E/03932/2016, podría incurrir en una infracción del artículo 37.1.
6. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
7. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”, tipificada como grave en el artículo 44.3.
8. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Esta Resolución fue notificada al denunciado. SEGUNDO: Mediante resolución de 4/11/2016 la Directora de esta Agencia acordó Desestimar el Recurso de Reposición presentado frente a la citada Resolución de Apercibimiento. En la misma se recoge: “SERVIOCIO, MADRID SUR S.L. (en lo sucesivo el recurrente) ha presentado en fecha 3/10/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en 1. Aporta copia de certificado mediante el que informa de la cancelación de datos del denunciante. 2. Han implementado la dirección a efectos de la sede ante la que ejercer los derechos en la carta que envían y que contiene la cláusula informativa de tratamiento de datos. 3. En cuanto a que la cesión de los datos contiene fines inespecíficos y las entidades destinatarias se desconocen al constar “Sociedades que en cada momento integren el grupo SERVIOCIO”, debiendo concretar el tipo de actividad de las entidades a las que se cederán sus datos, manifiestan que en la cláusula se contenía: -La recopilación de los datos de los clientes obedece a: -Mantenimiento de la relación comercial -Prestación de servicios deportivos. -Análisis y formación de perfiles -Realización de acciones comerciales, de promoción y/o marketing por cualquier medio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Todo ello relacionado con su objeto social, y con otras relacionadas con: -Sectores del ocio, salud, bienestar, comunicaciones, finanzas y banca, formación, gran consumo, transporte, seguros, inmobiliario y otros servicios de valor añadido. Aclaran que la cesión sería sola para las mismas finalidades que las establecidas para el tratamiento por parte del responsable del fichero. Indica que los fines no son inespecíficos, y que las finalidades de la recogida de datos serían la de la gestión de los abonados y remisión de publicidad sobre sectores ya actividades relacionadas con la cláusula…” “III En cuanto al término usado en la cláusula para identificar un sector en el que se pueden usar los datos, el referente a:”otros servicios de valor añadido”, recordando su inserción: En cumplimiento de la legislación vigente sobre protección de datos de carácter personal, el abonado y/o usuario (“el abonado”) autoriza que sus datos personales se incorporen a los ficheros propiedad de SERVIOCIO, MADRID SUR S.L., que tienen como finalidad el mantenimiento de la relación comercial, prestación de servicios deportivos, análisis y formación de perfiles, y la realización de acciones comerciales, de promoción y/o marketing por cualquier medio (incluidos los electrónicos, que expresamente consiente), relacionadas con su objeto social, y otras relacionadas con los sectores del ocio, salud, bienestar, comunicaciones, finanzas y banca, formación, gran consumo, transporte, seguros, inmobiliario y otros servicios de valor añadido. La identificación de los sectores, se refiere a los que menciona, y serían válidos: ocio, salud etc., si bien no entraría en dicha categoría, “otros servicios de valor añadido” que es como si se añadiera el indefinido: otros “productos y servicios”. Sobre dicha indeterminación distintas sentencias entre otras, la arriba mencionada, interpretó que no cumple con la identificación de la información sobre los sectores. La extensión de los ámbitos que se abarcan con la expresión “otros servicios de valor añadido” son tan genéricos que prácticamente el tratamiento se puede hacer para cualquier o casi cualquier aspecto o actividad desarrollada en la vida de una persona. Este extremo pues ha de ser corregido…” TERCERO: Con objeto de constatar el cumplimiento de lo requerido, por la Directora de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación con la referencia E/03932/2016. En este expediente figura la diligencia de fecha 22 de febrero de 2017 en la que se expone que, en el transcurso de las actuaciones practicadas por la Inspección con referencia E/03932/2016 se ha puesto de manifiesto que la entidad SERVIOCIO, MADRID SUR S.L., no ha remitido documentación alguna para acreditar el cumplimiento de las medidas correctoras requeridas…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 TERCERO: SERVIOCIO, MADRID SUR S.L. ha presentado en fecha 11/08/2017, en esta Agencia Española de Protección de Datos recurso de reposición contra la resolución de 19/07/2017 citada en el Hecho Primero, reiterando las alegaciones manifestadas a lo largo del procedimiento sancionador y comunicando: <<…Esta Agencia de Protección de Datos procede a la apertura del expediente de actuaciones previas de investigación E/03932/2016. En el referido expediente figura una diligencia de fecha 22 de febrero de 2017 en la que se expone que, en el transcurso de las actuaciones practicadas por la Inspección se ha puesto de manifiesto que la entidad SERVIOCIO, MADRID SUR, S.L. no ha remitido documentación alguna para acreditar el cumplimiento de las medidas correctoras requeridas. En primer lugar, es necesario señalar que a esta parte no le ha sido notificada diligencia alguna dentro del expediente de actuaciones previas de investigación E/03932/2016. Sí es cierto que el 22 de mayo de 2017 fue notificada a esta parte el inicio del trámite de audiencia donde se notifica la relación de documentos obrantes en el procedimiento a fin de que pueda obtener las copias de los que estime convenientes…>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por SERVIOCIO, MADRID SUR S.L., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<…II Se imputa a SERVIOCIO, MADRID SUR S.L. la infracción del artículo 37.1.
9. f)de la LOPD que señala: “son funciones de la Agencia de Protección de Datos:
10. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento sancionador ha quedado acreditado que la Agencia Española de Protección de Datos requirió al denunciado: <<…para que en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 plazo de un mes desde este acto de notificación: 2.1.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando:
11. a)Certificación de la cancelación de datos del denunciante de su base de datos para envíos promocionales, de prospección o acciones comerciales.
12. b)Respecto de la cláusula que se contenía en la carta denunciada, deberá certificar que o bien ya no se utiliza, o se ha modificado conteniendo los requisitos de validez examinados en esta resolución, aportando copia de la misma…>> En la Sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección 1, recurso 330/2012, de 12 de junio de 2013, en un caso similar al aquí cuestionado por la comisión de una infracción tipificada en el artículo 44.3.
13. i)se expone: “Sentado lo anterior y analizados los hechos objeto del expediente sancionador que nos ocupa concluye esta sala que resulta acreditada la concurrencia de culpabilidad respecto de la comisión por el demandante de la infracción administrativa por cuya autoría ha sido sancionado. Debe concluirse que no obró con la diligencia que le resultaba exigible en el cumplimiento del requerimiento de que fue objeto, cuyos términos no dejaban lugar a dudas acerca de su objeto y el plazo concedido para su cumplimiento.” En esta ocasión es evidente la existencia de, al menos, una falta de diligencia plenamente atribuible al denunciado por la falta de atención al requerimiento de la Agencia Española de Protección de Datos. III El artículo 44.3.
14. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que por parte del denunciado no se ha atendido el requerimiento efectuado por la Agencia Española de Protección de Datos. IV El artículo 45 de la LOPD, en sus aparatados 1 a 5, establece que: «1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Se considera, de conformidad con el art. 45.5.
30. a)de la LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, dado el volumen de negocio de la entidad al tratarse de un Pyme y la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción. Asimismo, se considera que procede graduar la sanción a imponer, teniendo en cuenta como circunstancia agravante, al amparo de lo dispuesto en los apartados
31. f)del art. 45.4 de la LOPD, por el grado de intencionalidad al haber desatendido conscientemente lo instado en la resolución de fecha 29/08/2016 y como atenuante la naturaleza de los perjuicios causados y que durante la tramitación del procedimiento sancionador ha adaptado la cláusula informativa a lo requerido en la resolución de fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 4/11/2016. Por todo ello procede imponer la sanción en el importe de 3.000 euros…>> III Por lo tanto, en el presente recurso de reposición, SERVIOCIO, MADRID SUR S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SERVIOCIO, MADRID SUR S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de julio de 2017, en el procedimiento sancionador PS/00110/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad SERVIOCIO, MADRID SUR S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es