REPOSICION-PS-00129-2015

1/31 Procedimiento nº.: PS/00129/2015 ASUNTO: Recurso de Reposición Nº RR/00836/2015 Examinado el recurso de reposición interpuesto por la entidad MANCLIC MARKETING, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00129/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de septiembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00129/2015, en virtud de la cual se acordó: “PRIMERO: IMPONER a la entidad MANCLIC MARKETING, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de dicha norma, una multa de 50.000 € (Cincuenta mil euros), de conformidad con lo establecido en los artículos 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: : IMPONER a la entidad MANCLIC MARKETING, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
2. d)de dicha norma, una multa de 1.000 € (Mil euros), de conformidad con lo establecido en los artículos 39.1.
3. c)y 40 de la citada LSSI.” Dicha resolución, que fue notificada al recurrente en fecha 18 de septiembre de 2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00129/2015, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fecha de 16 de octubre de 2014 tiene entrada en esta Agencia un escrito del denunciante poniendo de manifiesto que la entidad MANCLIC vende bases de datos con correos electrónicos, utilizando dicha información para promocionar dicho producto. (folios 1 al 5 bis 17) SEGUNDO: Consta que con fecha 16 de octubre de 2014 se remitió una comunicación comercial desde la cuenta de correo electrónico ...@informadirect.com a la dirección ...@sermesa.es, en la que se ofertan, entre otras, la “Base de Datos Empresas 2014” de la que se publicitan las siguientes características: (folios 1 al 5) “Lanzamos la nueva base de datos de empresas y profesionales de España 2014 con 400.000 registros por 325 € todos con email verificado y testado. Listados de empresas segmentaos por Comunidades, Provincias y Actividades con información completa de las empresas. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/31 Estos listados de bases de datos de empresas permiten satisfacer cualquier tipo de campaña comercial: Telemarketing, Marketing por fax, Campañas de SMS marketing. Campañas de e-mail marketing sin límite de uso” TERCERO: La mencionada comunicación comercial contiene un enlace de baja con el siguiente texto: “Le informamos que los datos utilizados en esta promoción han sido obtenidos de fuentes accesibles al público y/o a través de nuestra relación comercial. Así mismo le informamos que si no desea seguir recibiendo comunicaciones puede hacer un click aquí y procederemos a la atención inmediata de su solicitud.” (folio 4) CUARTO: MANCLIC ha señalado que obtuvo el correo electrónico ...@sermesa.es de la página web http://www.donde......... (folios 14 y 104) En el sitio web www.donde-estamos.com se ofrece un servicio consistente en un directorio de empresas gratuito, orientado a las empresas ubicadas en cualquier Parque Empresarial y Polígono Industrial de España. (folio 264) QUINTO: En los accesos efectuados con fechas 18 de marzo, 28 de abril y 30 de julio de 2015 se constata que en el sitio web www.listadosempresas.com se comercializan diferentes “bases de datos de empresas”, entre la que se encuentra la “base de datos de empresas de España”, que contiene, según aparece en la publicidad del portal, más de 440.000 registros correspondientes a PYMES, autónomos y profesionales, incluyendo dirección de email para poder realizar campañas de email marketing. (folios 21 al 41, 77 al 91, 247 al 252 ) En dicha página web se publicita que las bases de datos de empresas permiten encontrar nuevas oportunidades de negocio, localizar contactos para sus productos o servicios, conseguir más clientes e incrementar sus beneficios y contactar con otras compañías para relaciones B2B. (folios 21, 79 y249) En el apartado de “Información Legal” de las bases de datos ofertadas se indica que: “La información sobre las empresas que figuran en nuestros listados de empresas es relativa a sociedades mercantiles y empresarios individuales en su faceta comercial, no son de carácter confidencial y han sido captadas de fuentes de acceso público, publicado en papel, vía internet, directorios de empresas, catálogos impresos, etc. O facilitados por las mismas empresas. Por lo cual estos datos no atentan contra el honor e intimidad personal quedando fuera del ámbito legislativo en materia de Protección de datos, de acuerdo con el artículo 2 del Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre.” (folios 21, 79, 249) También aparece que todos los listados de la base de datos de empresas tienen la misma estructura de campos de información. Nombre Empresa, Actividad, Dirección, Código Postal, Localidad, Provincia, Comunidad, Teléfono, Fax, Email, Web. (folios 22, 80, 250) SEXTO: En los accesos efectuados con fechas 18 de marzo, 28 de abril y 30 de julio de 2015 también se verifica que en la información ofrecida sobre “Base de datos Empresas” se señala: (folios 19,77 , 247 y 248) “Estos listados de base de datos empresas permiten satisfacer cualquier tipo de campaña comercial. Puede utilizarlos para acciones comerciales telefónicas, por fax, por correo postal y por supuesto para campañas de marketing por email, sin límite de uso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/31 todas las veces que desee. (…) Consulte nuestros precios y descubra por qué nuestros listados de base de datos empresas son la mejor elección para sus campañas comerciales.” SÉPTIMO: Con fecha 23 de febrero de 2015 MANCLIC aporta un disco compacto conteniendo copia del fichero de la base de datos de empresas de España comercializada por dicha entidad en el sitio web www.listadosempresas.com, comprobándose que contiene un total de 421.269 registros. (folios 12 y 15) OCTAVO: En la información contenida en la muestra obtenida el día 4 de marzo de 2015 del citado CD, relativa básicamente a información referente a la actividad de Abogados, y en los ficheros descargados del propio sitio web con fechas 18 de marzo, 28 de abril y 30 de julio de 2015, se constata que en el Listado de empresas de España aparece información de personas jurídicas, empresarios individuales y datos de personas físicas. (folios 15 al 17, 48 al 51, 95 al 100, 261 al 263) NOVENO: En 33 de los 48 registros de la muestra obtenida con fecha 4 de marzo de 2015 de la base de datos aportada por MANCLIC, se comprueba que figuran incluidos los siguientes datos de carácter personal de personas físicas asociados a los campos de la denominación de la empresa, teléfono y email: (folios 15 al 17) A.A.A. ***TEL.1 ...@...1 B.B.B. ***TEL.2 ...@...2 C.C.C. ***TEL.3 ...@...3 D.D.D. ***TEL.4 ...@...4 E.E.E. ***TEL.5 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/31 ...@...5 F.F.F. ***TEL.6 ...@...6 G.G.G. ***TEL.7 ...@...7 H.H.H. ***TEL.8 ...@...8 I.I.I. ***TEL.9 ...@...9 J.J.J. ***TEL.10 ...@...10 K.K.K. ***TEL.11 ...@...11 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/31 L.L.L. ***TEL.12 ...@...12 M.M.M. ***TEL.13 ...@...13 N.N.N. ***TEL.14 ...@...14 Ñ.Ñ.Ñ. ***TEL.15 ...@...15 O.O.O. ***TEL.16 ...@...16 P.P.P. ***TEL.17 ...@...17 Q.Q.Q. ***TEL.18 ...@...18 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/31 R.R.R. ***TEL.19 ...@...19 S.S.S. ***TEL.20 ...@...20 T.T.T. ***TEL.21 ...@...21 U.U.U. ***TEL.22 ...@...22 X.X.X. ***TEL.23 ...@...23 Y.Y.Y. ***TEL.24 ...@...24 Z.Z.Z. ***TEL.25 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/31 ...@...25 A.A.1 ***TEL.26 ...@...26 A.A.2 ***TEL.27 ...@...27 A.A.3 ***TEL.28 ...@...28 A.A.4 ***TEL.29 ...@...29 A.A.5 ***TEL.30 ...@...30 A.A.6 ***TEL.31 ...@...31 A.A.7 ***TEL.32 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/31 ...@...32 A.A.8 ***TEL.33 ...@...33 DÉCIMO: En el fichero descargado con fecha 28 de abril de 2015 del sitio web www.listadosempresas.com aparecen los siguientes datos personales en los campos de nombre de empresa, teléfono y email de dos de los registros pertenecientes a la actividad de “Abogados” contenidos en el mismo : (folios 95 al 99) A.A.10 A.A.11 ***TEL.34 ***TEL.35 ...@...34 ...@...35 DÉCIMOPRIMERO: En la muestra obtenida con fecha 4 de marzo de 2015 del listado presentado por MANCLIC y en el fichero descargado con fecha 28 de abril de 2015 del sitio web www.listadosempresas.com aparecen los siguientes datos personales de contacto profesional de personas físicas asociados a las mercantiles que a continuación se indican: (folios 15 al 17 y 95 al 99) A.A.9* ***TEL.36 ......@wanadoo.es A. XXXX, S.L. , (C/.....1), Murcia, ***TEL.37, ***TEL.38, ....@hotmail.com Bodegas Vinícolas) (Actividad: *En la información que aparece en la web http://guiasgtp.com indicada por MANCLIC, Don A.A.9 figura como Administrador único la mercantil XXX, S.L., perteneciente al sector de aceites y grasas, mostrándose el mismo número de teléfono y cuenta de correo electrónico que los obrantes en la muestra (folios 17, 60 y 194) DECIMOSEGUNDO: En el muestreo de comprobación efectuado con fecha 29 de julio de 2015 en algunas de las páginas web facilitadas por MANCLIC como origen de la información contenida en los registros que aparecen en el Hecho Probado 9) se constata que: En la página web http://www.paginasamarillas.es no figura la dirección del correo electrónico de A.A.12 junto al número de línea ***TEL.31. (folio 192) En las búsquedas realizadas en la página web http://www.donde-estamos.com los datos relativos al número de teléfono y el correo electrónico aparecen incompletos (folios 163, 170, 190, 195) En las búsquedas efectuadas en la página web http://www.infobel.com no aparece la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/31 dirección de correo electrónico del abonado (folios 167, 168,169, 171, 172, 177 al 179, 187,191) En la búsqueda efectuada en la página web http://www.gallego.cybo.com aunque aparece la cuenta de correo electrónico de A.A.7 no figura el número de teléfono contenido en el fichero. (folio 193) En otras páginas web de internet coincide la información del nombre y apellidos de los afectados con el email y número de teléfono asociados a los mismos en el fichero, como por ejemplo las correspondientes a las direcciones web http://www.abogado............com, http://www.abogado-s.es, http://www .bolsamania.com, http://www.es.negotiums.com (folios 175, 176, 180, 182 , 184, 185, 186, 188 ). DECIMOTERCERO: En el muestreo de comprobación efectuado con fecha 29 de julio de 2015 a través del buscador del sitio web www.axesor.es se constata lo siguiente respecto de la información correspondiente a cuatro de los registros que aparecen en el Hecho Probado nº 9 : El nombre y apellidos de A.A.13 y A.A.14 se vinculan a información publicada en el Registro Mercantil en tanto que cargos o dirigentes de alguna sociedad, pero sin proporcionar otra información distinta a dichos datos, debiendo abonarse determinada cantidad en caso de solicitar informe de la trayectoria profesional del cargo consultado. (folios 196 al 201, 217 al 220) No se localiza información de A.A.15 ni de A.A.16 (folios 202 al 227)>> TERCERO: MANCLIC MARKETING, S.L., en adelante la recurrente, presentó con fecha 16 de octubre de 2015 recurso de reposición en la Subdelegación de Gobierno en Castellón, el cual se registró de entrada en esta Agencia Española de Protección de Datos, en lo sucesivo AEPD, con fecha 21 de octubre de 2015. Dicho recurso se fundamenta, básicamente, en los siguientes motivos: En lo que respecta a la infracción de la LOPD, se señala que: - El día 26 de agosto de 2015 se incorporó al procedimiento un listado obtenido al acceder a los sitios y/o páginas web www.conabogados.es, http://abogada-............es, http://www.icaba.es, www.despachosdeabogados.org, www.donde-estamos.com, legalguia.com, paginasamarillas.es, infobel.com, citiservi.es, abogados.es, que permite concluir realizando una búsqueda pormenorizada en los mismos de los registros investigados por la AEPD que: 1) Son fuentes de acceso público; 2) Las personas anunciadas en los mismos lo son en su condición de profesionales, es decir, empresarios individuales, a excepción de uno, a los que no resulta de aplicación la LOPD; 3) No era preciso obtener el consentimiento previo para incorporar dichos datos a un fichero con finalidad comercial. Por lo que, al haber quedado acreditado que todos los datos personales de los registros objeto del muestreo, excepto en uno, se habían obtenido de fuentes de acceso público conforme a las definiciones de las mismas contenidas en los artículos 3.
4. j)de la LOPD y 7 del RDLOPD, ya que proceden de listados de colegios de abogados y buscadores de empresa y profesionales, no es necesario obtener el consentimiento de los afectados para incluir sus datos personales en bases de datos creadas con fines de prospección comercial en virtud de lo dispuesto en el artículo 30 de la LOPD. - Se ha producido indefensión por cuanto no se han tenido en cuenta las alegaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/31 manifestadas por esta parte en fecha 26 de agosto de 2015 en lo que respecta a la prueba documental aportada, toda vez que si se realiza una búsqueda pormenorizada se podrá observar que todos los datos contenidos en la base de datos de MANCLIC se obtuvieron de fuentes de acceso publico. - Aducen anulabilidad del acto administrativo por vulneración del artículo 63.1 de la LRJ-PAC por haber incurrido en infracción del ordenamiento jurídico al no haber resuelto de modo expreso las alegaciones presentadas en su día y haber hecho caso omiso de la documentación aportada. - Vulneración del principio de proporcionalidad fijado en el artículo 131 de la LRJ-PAC ya que la ausencia de intencionalidad y la naturaleza de los hechos no justifican la imposición de una sanción de 50.000 €, cuantía que resulta totalmente desproporcionada y originará tal desequilibrio patrimonial que obligará al cierre de la empresa. En cuanto a la infracción del artículo 21.1 de la LSSI la recurrente se remite a la jurisprudencia señalada en el escrito de alegaciones de 26/08/2015, añadiendo que la doctrina de la Audiencia Nacional en la cuestión del uso de direcciones de correos electrónicos obtenidos en fuentes accesibles al público no es pacífica. Se cita la SAN de 03/10/2007 en la que la Audiencia Nacional estimó un recurso contra resolución de la AEPD por entender que para el envío de comunicaciones comerciales a los correos electrónicos disponibles en fuentes accesibles al público no era necesario el consentimiento en virtud de lo establecido en el artículo 6.2 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJ-PAC). II En relación con las manifestaciones efectuadas por MANCLIC MARKETING, S.L., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del IV al X, ambos inclusive, y XIII de la Resolución recurrida, tal como se transcribe a continuación: << IV Justificado que los datos objeto de análisis incluidos por MANCLIC en el citado listado de empresas de su propiedad son datos de carácter personal, resulta necesario determinar si el tratamiento efectuado por la reseñada entidad con los datos personales objeto de estudio, detallados en los Hechos Probados 9 al 11 de esta resolución, caen bajo la órbita del ámbito de aplicación de la normativa de protección de datos. De los artículos 1 y 2.1 de la LOPD transcritos en el anterior Fundamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/31 Derecho se deduce claramente que el ámbito de aplicación de la LOPD no ampara a las personas jurídicas, que no gozarán de ninguna de las garantías establecidas en dicha Ley, y que tan sólo resulta aplicable al tratamiento de datos de carácter personal relacionados con personas físicas. A este respecto, el artículo 2 del Real decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RDLOPD), establecen respecto del “Ámbito objetivo de aplicación” de dicho Reglamento, lo siguiente: “1. El presente Reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. 2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. “ De este modo, quedarán excluidos de las garantías de la LOPD los datos que se refieran a personas jurídicas en todos los casos, así como los relativos a los profesionales (en aquellos casos en los que organicen su actividad bajo la forma de empresa, ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio) y a los empresarios individuales siempre que su actividad comercial o profesional pueda diferenciarse de manera clara y determinante, en cada caso, de su propio entorno de privacidad como persona física. En sentido contrario, tanto los profesionales como los comerciantes individuales quedarán bajo el ámbito de aplicación de la LOPD y, por tanto, amparados por ella, cuando los primeros no tuvieran organizada su actividad profesional bajo la forma de empresa, no ostentando, en consecuencia, la condición de comerciante (es el caso de los profesionales liberales), y los segundos cuando no fuera posible diferenciar en cada caso, clara y terminantemente, su actividad mercantil del propio entorno de su privacidad como persona física. En estos dos casos deberán aplicarse siempre las garantías y principios reconocidos en la LOPD dada la naturaleza fundamental del derecho a proteger. V Para determinar si los datos personales de las personas físicas que ostentan la condición de profesionales que aparecen detallados en los mencionados Hechos Probados 9 y 10 se encuentran bajo el amparo de la LOPD, resulta ilustrativa la Sentencia de la Audiencia Nacional de fecha14 de febrero de 2007, Rec. nº 186/2005, en la que se señalaba: “Siguiendo en esta línea de argumentación, si los datos personales únicamente son predicables de las personas físicas, como dispone la propia LO 15/1999 y se infiere de la doctrina constitucional, debemos ahora determinar si cuando una persona física C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/31 ostenta también la condición de profesional, en el caso examinado es abogado, esta circunstancia le priva de la protección que regula la LOP de tanta cita. Si cualquier persona física tiene derecho a la protección de los datos “personales”, no parece que puedan ser excluidos de tal protección los datos “personales” de todas aquellas personas físicas que, obviamente conservando tal condición, también tengan la condición de profesionales, pues la adicción de esta circunstancia no les priva de sus derechos como ciudadano, salvo que estos profesionales organicen su actividad bajo fórmulas mercantiles y que se acredite que los datos eran ajenos a su esfera privada y ostentaban una clara vinculación con la actividad mercantil. Requisitos que no concurren en el caso examinado, en el que el contenido del envío publicitario remitido no puede servir de excusa para entender que se envía al ciudadano profesional y no al ciudadano persona física. En este sentido se ha pronunciado esta Sala y Sección en Sentencia 31 de enero de 2003 (recurso nº 564/2001) y de 11 de febrero de 2004(recurso nº 119/2002), señalando que <<la Ley Orgánica 15/1999 tiene por objeto garantizar y proteger, por lo que ahora interesa, los datos personales, entendiéndose por tales, ex artículo 3.
5. a)de la citada Ley, “cualquier información concerniente a personas físicas identificadas o identificables”, debe concluirse que en el caso examinado el dato del afectado, aunque se refiere al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la <Ley Orgánica 15/1999 de tanta cita, como viene declarando esta Sala reiteradamente, por todas , Sentencia de 21 de noviembre de 2002. En efecto, los datos personales son predicables de todos los ciudadanos, sin que pueda excluirse de dicha previsión los relativos a aquellos que realizan una actividad profesional, pues el ejercicio de esta actividad no puede ser equiparado a estos efectos a la de una empresa como parece mantener la parte recurrente>>. “ También a los efectos de dilucidar el alcance de la posible exclusión de los datos referidos a personas físicas con una actividad profesional se reproduce parcialmente la SAN de 12-05-2011, en la que se indicaba que:“No puede concluirse, por tanto que los empresarios individuales y profesionales estén en su conjunto excluidos del ámbito de protección de la LOPD, sino que se hace necesario diferenciar (y la línea divisoria es confusa y difusa) cuando un dato del empresario o profesional, se refiere a la vida privada de la persona y cuando a la empresa o profesión, pues solo en el primer caso cabe aplicar la protección de la LO 15/1999. Labor de diferenciación que puede basarse en dos criterios distintos y complementarios. Uno: el criterio objetivo de la clase y la naturaleza de los datos tratados, según estén en conexión y se refieran a una esfera (la íntima y personal) o a otra (la profesional) de la actividad. Otro: el de la finalidad del tratamiento y circunstancias en que éste se desarrolla, criterio éste que operaría en aquellos casos en que alguno de los datos profesionales coincida con los particulares (por ej. coincidencia de domicilio privado con el de la empresa, o cuando no se pueda acreditar si una deuda es de la empresa o si es personal del interesado.” Pues bien, conforme a la doctrina expuesta, resulta que MANCLIC no ha acreditado mediante ningún medio de prueba que los profesionales de la abogacía titulares de los datos personales detallados en los 35 registros objeto de estudio hayan organizado su actividad profesional bajo la forma de empresa, no ostentando, por tanto, la condición de empresarios individuales (comerciantes, industriales o navieros) que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/31 les hubiera situado al margen del régimen de aplicación de protección de dicha norma conforme a lo previsto en el artículo 2.3 del RDLOPD. En consecuencia, no puede aceptarse como defiende MANCLIC en su escrito de alegaciones a la propuesta de resolución que los datos personales de dichos profesionales constituyan datos relativos a empresarios individuales, no habiéndose justificado tampoco por esa empresa que éstos se anuncien como empresarios individuales en los sitios web que aparecen detallados en los listados aportados. No hay que olvidar que se ha limitado a aportar unos listados que relacionan una serie de URLs sin incorporar impresión del contenido de la información y datos personales exactos asociados a cada una de las páginas web cuyas direcciones se incluyen en los listados aportados, ello a pesar de que la carga de acreditar la veracidad de sus manifestaciones le incumbe a esa sociedad. Además, sucede que el tratamiento efectuado por el responsable del fichero con los datos personales de los profesionales afectados supera el marco de la actividad profesional desarrollada por los mismos (en su mayoría abogados), trascendiendo a su esfera personal y privada en tanto que posibles consumidores individuales finales de cualquier producto o servicio cuya publicidad puedan recibir a través de comunicaciones comerciales enviadas a sus correos electrónicos o llamadas publicitarias a sus líneas de teléfono. Precisamente, estos datos personales se han recopilado e incorporado por MANCLIC al citado fichero para ser comercializados con finalidades publicitarias y de prospección comercial sin fijar, tal y como se observa en la información promocional de la base de datos que aparece en el sitio web www.listadosempresas.com, ningún tipo de límite a los compradores relativo al uso de dichos datos personales en las campañas publicitarias a realizar. Por lo cual, el tratamiento realizado por MANCLIC no diferencia la esfera profesional de la esfera privada o personal de estos profesionales, siendo el sujeto del tratamiento la persona física como tal y no el profesional. No cabe duda que esta misma idea trasciende en la Sentencia de la Audiencia Nacional de fecha 27 de abril de 2005 invocada por MANCLIC, en la que después de puntualizar “que es preciso diferenciar los datos que se refieran a su vida privada o personal de la empresa o profesional, pues solo en el primer caso cabe aplicar la protección de la LO 5/1992” , se continúa indicando que “ una vez efectuada la anterior precisión hay que señalar que el tratamiento de datos efectuado por “Entidad A” respecto del denunciante Sr. JRA está incluido en el ámbito de aplicación de la Ley de Protección de Datos, toda vez que dicho tratamiento no se vincula a una actividad empresarial específica de dicho afectado sino al propio interés comercial y económico de la demandante por cuanto trata indiferenciadamente datos que puedan afectar a la esfera personal o a la empresarial del interesado sin discriminar unos de otros y sin que ello tenga relevancia alguna para el responsable del fichero.”. VI A su vez, para dilucidar si el tratamiento realizado por MANCLIC con los datos personales de contacto de las personas físicas que prestan servicios en las sociedades mercantiles señaladas en el Hecho Probado nº 11 se encuentra bajo la órbita de protección de la LOPD o, por el contrario, está excluido del mismo en virtud de la excepción contemplada en el artículo 2.2 del RDLOPD, resulta conveniente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/31 hacer mención al informe elaborado por el Gabinete Jurídico de la Agencia con fecha 18 de febrero de 2008 en el que se alcanza la conclusión de que su aplicación tendrá lugar siempre y cuando se cumplan dos requisitos, a los que se refiere en los siguientes términos: “ (…) En consecuencia, la Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. Por ello, no se encontrarían excluidos de la Ley los ficheros en los que, por ejemplo, se incluyera el dato del documento nacional de identidad del sujeto, al no ser el mismo necesario para el mantenimiento del contacto empresarial. Igualmente, y por razones obvias, nunca podrá considerarse que se encuentran excluidos de la Ley Orgánica los ficheros del empresario respecto de su propio personal, en que la finalidad no será el mero contacto, sino el ejercicio de las potestades de organización y dirección que a aquél atribuyen las leyes. El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones "business to business", de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, si la relación fuera "business to consumer", siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de fa comunicación, el tratamiento se encontrarla plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto en el artículo 2.2 del Reglamento." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/31 En este caso, de las actuaciones practicadas durante la instrucción del procedimiento, y con arreglo a la finalidad de marketing publicitario con la que se comercializa la totalidad de la información contenida en la base de datos empresarial, resulta que el tratamiento efectuado por la entidad imputada en relación con los datos personales de contacto asociados a las empresas no está directamente vinculado a las funciones profesionales desempeñadas por sus titulares o usuarios dentro de las organizaciones de las que forman parte (“business to business”). Por el contrario, constituye una forma de acceder directamente a la persona física titular o usuaria del dato personal de contacto en su condición de potencial consumidor individual y, por lo tanto, destinatario final de las campañas publicitarias que puedan realizar los compradores de la base de datos (“business to consumer”). De hecho, en la página web de MANCLIC se afirma que las bases de datos de empresas permiten encontrar nuevas oportunidades de negocio, localizar contactos para sus productos o servicios y conseguir más clientes, sin fijar ninguna limitación a este tratamiento comercial y publicitario. (folios 21, 79 y 249) Este criterio resulta coincidente con el mostrado por la Audiencia Nacional en su Sentencia de fecha 16 de diciembre de 2011, Rec. 175/2010, en la que respecto de la aplicabilidad del artículo 2 del RDLOPD se indica que: “Se trata en este apartado de la exclusión de la aplicación de la LOPD a los llamadas datos de contacto o agendas de personas jurídicas; esta exclusión no es general y sólo puede entenderse aplicable cuando se trate de datos relativos a datos de contacto en relación al funcionamiento de personas jurídicas y que estén relacionadas con dicho funcionamiento. En el caso presente se trata de la dirección de correo electrónico de una persona física que se utiliza en su puesto de trabajo pero que incluye su nombre y dos apellidos (no hace mención al cargo ni a su responsabilidad dentro de la empresa) y a la que se dirigen comunicaciones que no tienen nada que ver con sus responsabilidades en la persona jurídica de que se trata, sino que tienen que ver con una cuestión de carácter personal como es la relativa a la actividad sindical personal del destinatario del correo electrónico. No puede mantenerse, como hace la parte recurrente, que esa dirección de correo electrónico no se encuentre protegidas por la LOOPD; antes al contrario, debe entenderse protegida en relación a cualquier función o uso que no tenga relación directa con la actividad profesional del destinatario. ” En definitiva como la inclusión y utilización de dicha información con fines publicitarios por el responsable del fichero trasciende de las actividades desarrolladas por los titulares de los datos de contacto en función de su posición en las empresas, esta Agencia entiende que el tratamiento de los datos personales de contacto reseñados en el Hecho Probado nº 11 está sometido a la normativa de protección de datos por exceder del ámbito empresarial en el que se enmarcan los ficheros de contactos en las empresas a los que se refiere la exclusión del artículo 2.2 del RDLOPD. VII A la vista de lo expuesto, el tratamiento objeto de estudio realizado por MANCLIC se encuentra sometido a las garantías de la normativa de protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/31 datos al afectar al ámbito privado y personal de los sujetos titulares de los datos, requiriendo, en consecuencia, del consentimiento inequívoco de las personas físicas afectadas por el tratamiento de sus datos de carácter personal, conforme lo exigido en el apartado primero del artículo 6 de la LOPD. Dicho precepto recoge uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos como es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Es decir, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, conforme a lo previsto en el artículo 6.1 de la LOPD , excepción hecha de la existencia de legitimación legal para ello como contempla dicho apartado o se produzca alguna de las circunstancias previstas en el apartado 2 del mismo artículo 6 de dicha norma, definiéndose en el apartado
6. h)del artículo 3 de la LOPD como “ Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/31 Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Dado que la información contenida en la base de datos mantenida y comercializada por MANCLIC está destinada a la realización de campañas de marketing publicitario por sus clientes, tal y como figura en su página web, también resulta de aplicación al tratamiento de los datos de carácter personal registrados en el mencionado fichero objeto de análisis lo previsto en los artículos 30.1 de la LOPD y 45 del RDLOPD . El artículo 30.1 de la LOPD, relativo a los “ Tratamientos con fines de publicidad y de prospección comercial” establece que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento” Por su parte, el artículo 45 del RDLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, completa el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
7. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
8. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
9. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ Así, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en las normas citadas, el consentimiento inequívoco de los afectados o que sus datos procedan de fuentes de acceso público. En el supuesto examinado, ha quedado acreditado que MANCLIC, como responsable del fichero y del tratamiento publicitario realizado con la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/31 incluida en el mismo, resulta responsable de la comisión de una infracción a lo previsto en el artículo 6.1 de la LOPD, ya que no ha acreditado contar con el consentimiento previo e inequívoco de las personas físicas identificadas o identificables cuyos datos personales ha incorporado, en su condición de consumidores individuales destinatarios de la publicidad, a la base de datos de empresas españolas que comercializa para la realización de campañas de marketing por terceros. Tampoco ha justificado que dichos datos personales procediesen de fuentes de acceso público, circunstancia que conforme lo previsto en el artículo 6.2 y 30.1 de la LOPD le hubiese permitido prescindir del consentimiento para tratar los datos de carácter personal. Esta conducta ha resultado probada al menos en los casos correspondientes a los 37 registros analizados, sin perjuicio de que resultaría también imputable al resto de casos no incluidos en la muestra estudiada con las mismas características. VIII Fijado lo anterior resulta preciso estudiar si a dicho tratamiento le resultaría de aplicación la excepción al consentimiento recogida en el artículo 6.2 de la LOPD, toda vez que en el apartado de “Información Legal” de la página web de MANCLIC se indica que las bases de datos ofertadas “han sido captadas de fuentes de acceso público, publicado en papel, vía internet, directorios de empresas, catálogos impresos, etc. O facilitados por las mismas empresas. Por lo cual estos datos no atentan contra el honor e intimidad personal quedando fuera del ámbito legislativo en materia de Protección de datos, de acuerdo con el artículo 2 del Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre.” En relación con dicha información legal, se reiteran las consideraciones en virtud de las cuales se entiende que el uso de los datos de contacto empresarial incorporados a la base de datos por MANCLIC excede de las meras relaciones empresariales de contacto entre personas jurídicas contempladas en el artículo 2.2 del RDLOPD. En relación con la posible procedencia de dichos datos de fuentes accesibles al público, el artículo 3
10. j)de la LOPD entiende como tales “ aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. “. Esta definición debe completarse con lo previsto en el artículo 7 del Reglamento, por el que se desarrolla la LOPD, según el cual: “1. A efectos del artículo 3, párrafo
11. j)de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
12. a)El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
13. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/31
14. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
15. d)Los diarios y boletines oficiales.
16. e)Los medios de comunicación social. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. “ En el presente caso, a pesar de que en el período de práctica de pruebas se requirió a MANCLIC para que acreditase que los datos incluidos en el Anexo adjuntado al acuerdo de inicio procedían de fuentes de acceso público o que contaba con el consentimiento inequívoco de los afectados para la inclusión de sus datos en la reseñada base de datos con fines de comercialización publicitaria, dicha entidad no ha justificado mediante ningún medio de prueba que la totalidad de los datos personales objeto de estudio procedieran de alguna de las fuentes que la normativa de protección de datos considera como accesibles al público. De hecho, en el acceso efectuado con fecha 29 de julio de 2015 al repertorio telefónico de GUIAS AMARILLAS asequible en formato electrónico a través de la página web http://www.paginasamarillas.es se constata que el dato personal del correo electrónico de A.A.12 no podía proceder de ese repertorio (fuente de acceso público) al no aparecer incluido junto al nombre, apellidos y teléfono de dicha persona (folio 163), sin que MANCLIC tampoco haya probado la condición de empresario individual de dicha persona. Ocurre la misma circunstancia con el dato del correo electrónico de A.A.A. que tampoco aparece reflejado en la página web http://www.paginasamarillas.es facilitada en la relación incorporada a las alegaciones a la propuesta de resolución. (folios 347 y 370) De la misma manera que en las búsquedas realizadas en la guía telefónica INFOBEL accesible en formato electrónico a través de la página web http://www.infobel.com se constata que en dicha guía (fuente de acceso público) no aparecen las direcciones de correo electrónico de los titulares de los teléfonos consignados en la misma. (folios 167 al 169, entre otros). Por otra parte, MANCLIC no señala la fecha de acceso a la información que pudiera proceder de fuentes de acceso público, cuestión relevante a los efectos del cómputo del plazo de vigencia durante el cual se considerará mantiene la naturaleza de fuente de acceso público, conforme a lo previsto en el artículo 28.3 de la LOPD que al regular los Datos incluidos en las fuentes de acceso público, establece: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/31 contado desde el momento de su obtención.” Se insiste en que la mera aportación de varias relaciones de direcciones de páginas web de Internet de las que supuestamente se obtuvieron los datos detallados en la muestra obtenida del CD no prueba, por sí misma, el contenido exacto de la información que puedan mostrar ni su coincidencia con los datos personales de los profesionales afectados por el tratamiento objeto de estudio, ya que para ello dichas relaciones tendrían que haber ido acompañadas de impresión de la información accesible a través de esas direcciones web. Sin perjuicio de lo cual, en las comprobaciones efectuadas en algunas de las páginas web facilitadas por MANCLIC como origen de los registros obtenidos en el muestreo, se ha detectado que los datos personales de los afectados , en caso de coincidir o figurar, debían proceder de varias de esas páginas web. Confirma lo anterior, que en la búsqueda efectuada con fecha 29 de julio de 2015 en la página http:// www.gallego.cybo.com, única facilitada durante el período de práctica de pruebas, sólo aparecía la cuenta de correo electrónico de A.A.7, sin constar el número de teléfono, dato que, según se desprende de lo indicado en las alegaciones a la propuesta de resolución, debió obtenerse de la página web http://www.citiservi.es. (folios 193 y 375) Igualmente, al acceder a la información obrante en las páginas web http://www.infobel.es (folio 187), http://www.conabogados.es (folio 362), http://abogada-............es (folio 366) sobre A.A.17 se constata que en ninguna de ellas aparece el dato del correo electrónico. En el portal de infobel.es y en la página http://abogada-............es aparece el número de teléfono ***TEL.39, que es distinto del número ***TEL.25 obtenido en el muestreo del fichero (folio 18), el cual si aparece en la segunda de las páginas web citadas. La página web http://www.icaba.es, también facilitada, permite acceder al listado de abogados del Ilustre Colegio de Abogados de Badajoz, si bien la información que aparece en dicha fuente de acceso público sobre esa colegiada (folio 365) no incluye tampoco el dato de su dirección de correo electrónico y muestra el número de teléfono ***TEL.39, que ya se ha indicado no coincide con el que figura en la base de datos. Es decir, el origen de los datos personales asociados a la misma no puede ser el mencionado listado. Por otro lado, de haberse adjuntado impresión por esa empresa de la información supuestamente obtenida a través de la página web de Internet http://www.donde-estamos.com se hubiera podido evitar el error de considerar que no facilitaba el número de teléfono y el correo electrónico completos de los profesionales, ello al margen de la coincidencia o no de los datos. (folio 336) Puntualizado lo anterior, y visto que la información de los registros analizados que pudiera proceder de repertorios telefónicos (Infobel y Páginasamarillas) no contenía la totalidad de los datos de los afectados supuestamente procedentes de dicha fuente de accesibles al público, ni acreditado por MANCLIC que en otros registros los exactos datos estudiados pudiesen tener su origen en los listados de los Colegios Profesionales, se recalca que conforme a la relación cerrada que aparece en los artículos 3.
17. j)de la LOPD y 7 del RDLOPD las páginas web de Internet, como tales, no tienen la consideración de fuentes accesibles al público, lo que no debe confundirse con la forma de acceso al contenido de las fuentes de acceso público editadas en formato electrónico a través de Internet. En consecuencia, C/ Jorge Juan, 6 28001 – Madrid el tratamiento de los datos personales procedentes de www.agpd.es sedeagpd.gob.es 21/31 páginas web de Internet no está eximido del deber de contar con el consentimiento inequívoco de los afectados al que se refiere el artículo 6.1 de la LOPD, que además, si el tratamiento es publicitario estará condicionado a la previa información a los afectados de los sectores específicos y concretos de actividad respecto de los que podrían recibir información y publicidad. Con arreglo a lo expuesto, debe rechazarse que los sitios web que aparecen en las relaciones aportadas por MANCLIC (buscadores de empresas y profesionales, sitios web de prospección comercial, etc), y de los que supuestamente se ha obtenido la información de carácter personal de los afectados que aparece detallada en los Hechos Probados 9 al 11, puedan ser considerados fuentes accesibles al público, motivo por el cual su incorporación a la base de datos comercializada por MANCLIC con fines publicitarios sin el consentimiento de sus titulares vulnera el principio del consentimiento. Se recuerda que MANCLIC en su calidad de responsable del fichero en cuestión debe estar en condiciones de acreditar que cuenta con el consentimiento inequívoco de los afectados o que concurre alguna de las excepciones fijadas en el artículo 6.2 de la LOPD a dicho requisito. En este sentido se recuerda lo establecido en los apartados 1 y 3 del artículo 12 del RDLOPD respecto del principio general del consentimiento para el tratamiento de los datos, en los que se señala que: “ 1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ Por ello, una vez acreditado por la Agencia el tratamiento de los datos personales objeto de procedimiento corresponde a MANCLIC demostrar que contaba con cobertura legal para realizar el repetido tratamiento, esto es que disponía del consentimiento inequívoco de los titulares y usuarios de dichos datos para su inclusión en dicha base de datos con fines de comercialización publicitaria o que no lo precisaba con arreglo a alguno de los supuestos de excepción del artículo 6.2 de la LOPD. En este sentido, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” Con arreglo a lo previsto en los artículos 6.1 y 30.1 de la LOPD la mercantil MANCLIC ha tratado los datos personales de los afectados en una base de datos empresarial que comercializa con fines de publicidad y de prospección comercial sin contar con el consentimiento inequívoco de los mismos para ello, no habiéndose acreditado por dicha entidad que el tratamiento se haya llevado a cabo con datos de carácter personal procedentes de fuentes accesibles al público cuyos titulares, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/31 además, no hayan ejercido el derecho de oposición a este tipo de tratamiento ni consta, tampoco, que hayan sido facilitados por los propios interesados con el fin publicitario al que responde su inclusión en el fichero de tanta cita. Por todo lo cual, MANCLIC no está legitimada para incluirlos sin limitación alguna en una base de datos empresarial cuyo destino es el uso publicitario de la información contenida en la misma sin cumplir con el principio general del consentimiento de la LOPD. IX El artículo 44.3.
18. b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso, MANCLIC, al tratar los datos personales de los afectados sin su consentimiento con fines publicitarios, resulta responsable de la comisión de la infracción tipificada en dicho artículo, toda vez que, conforme se ha razonado en los anteriores Fundamentos de Derecho, no ha justificado haber tratado los diferentes datos de carácter personal de los profesionales y de los titulares de los datos de contacto empresarial afectados por el tratamiento estudiado mediando el consentimiento inequívoco de los mismos para su incorporación en una base de datos empresarial cuya información se comercializa con fines publicitarios, de tal modo que la información personal estudiada incumbe ámbito personal y particular de todos ellos al afectar a su condición de personas físicas consumidoras. X El artículo 45 de la LOPD, en sus aparatados 1 a 5, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
19. a)El carácter continuado de la infracción.
20. b)El volumen de los tratamientos efectuados.
21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
22. d)El volumen de negocio o actividad del infractor.
23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
24. f)El grado de intencionalidad.
25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/31 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello, considerando las previstas expresamente en dicho apartado y la concurrencia significativa de varias de las circunstancias recogidas en el apartado 4 anterior, así como cualquier otra “que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Es decir, su aplicación deberá efectuarse ponderando de forma individualizada las circunstancias del caso analizado, sin que en el presente supuesto se considere que concurran los presupuestos a los que el mencionado precepto anuda esta minoración cualificada de la cuantía de la multa. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Así, no se aprecia la disminución de la culpabilidad de la imputada a la vista de la falta de diligencia mostrada en su conducta, en especial si se valora que MANCLIC es una entidad habituada al tratamiento de datos de carácter personal en razón de su actividad, por lo que le resulta exigible un especial cuidado a los efectos de cumplir con las exigencias impuestas por la LOPD, lo que conlleva adoptar mecanismos y medidas de prevención y control tendentes a asegurarse del origen de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/31 información personal tratada y de la legitimidad del tratamiento efectuado con la misma. Esta falta de diligencia, imputable a esa entidad, es lo que determina el elemento culpabilístico de la infracción administrativa analizada. En este orden de ideas, tampoco consta que la entidad haya adoptado ninguna cautela en orden a introducir en la publicidad incluida en la página web de su titularidad, a título informativo y preventivo, advertencias sobre la procedencia de restringir al ámbito estrictamente empresarial de las campañas publicitarias dirigidas a las personas de contacto de las empresas como forma de relacionarse con éstas. Igualmente, no se recuerda a los potenciales clientes que las campañas publicitarias realizadas con los datos de las personas físicas incluidos en el fichero deben cumplir, en función del medio utilizado para la realización de las campañas publicitarias (medios de comunicación electrónica, teléfono, Fax o vía postal), las exigencias que la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, la Ley 9/2014, de 9 de agosto, General de Telecomunicaciones y la LOPD fijan para este tipo de actuaciones publicitarias. Por ello procede imponer una multa cuyo importe se encuentre entre 40.001 y 300.000 euros, conforme el rango de sanciones previstas en el apartado 2 del citado artículo 45 para las infracciones graves a la LOPD. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOP, se entiende que operan como agravantes de la conducta que ahora se analiza los siguientes criterios:
34. a)El carácter continuado de la infracción, ya que MANCLIC viene tratando los datos de carácter personal de los afectados con los fines señalados en su página web como mínimo desde que esta Agencia pudo comprobar el contenido de la base de datos en febrero de 2015 cuando se aportó una copia de la misma en formato CD a las actuaciones previas de inspección ;
35. b)El volumen de los tratamientos efectuados sin el consentimiento de los afectados que alcanzaría, como mínimo a los titulares de los datos de carácter personal contenidos en los 37 registros relacionados en los Hechos Probados, si bien afecta también a todos los registros que tengan con las mismas características que los estudiados ;
36. c)la vinculación de la imputada con actividades que comportan el tratamiento de datos personales de contacto profesional;
37. f)la falta de intencionalidad en su conducta, entendiendo la misma como como grado de culpabilidad, y no en su sentido literal que equivaldría a dolo, puesto que ya se ha justificado la grave falta de diligencia mostrada al no observar las cautelas requeridas para tratar los reseñados datos personales con una finalidad que requería el consentimiento de los afectados. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se tiene en cuenta, que operan como atenuantes los supuestos e),
38. h)y
39. g)del mismo, ante la falta de constancia de la existencia de beneficios a raíz de la comisión de la infracción imputada, la inexistencia de perjuicios probados a los afectados distintos del derivado de la utilización no consentida de sus datos personales profesionales o de contacto empresarial con fines ajenos al marco de sus actividades profesionales, es decir, a los que resultan de la propia infracción imputada, y, por último, la falta de reincidencia por la comisión de infracciones de la misma naturaleza. En cuanto a la falta de consideración del volumen de negocio del infractor como posible atenuante hay que señalar que en el procedimiento no figuran elementos fácticos a partir de los cuales evaluar esta circunstancia invocada por MANCLIC, al margen de que la comercialización de la base de datos con fines C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/31 publicitarios es el objeto del negocio de la actividad desarrollada por esa empresa. En definitiva, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, se considera proporcionado a la gravedad de los hechos imputados imponer a MANCLIC una sanción por importe de 50.000 € como responsable de la infracción al principio del consentimiento. (…) XIII En el presente caso de las actuaciones practicadas y de la documentación obrante en el procedimiento, en especial, de las cabeceras de Internet del correo electrónico comercial objeto de denuncia y del cuerpo del mismo aportados por el denunciante, así como de las alegaciones efectuadas por MANCLIC respecto del origen de las señas utilizadas para la realización del envío en cuestión, se evidencia que con fecha 16 de octubre de 2014 se remitió desde la dirección de correo electrónico ...@informadirect.com una comunicación comercial a la cuenta de correo electrónico ...@sermesa.es del denunciante que incumplía las exigencias recogidas en el artículo 21.1 de la LSSI. Téngase en cuenta que la propia entidad remitente ha reconocido en su escrito de alegaciones al acuerdo de inicio que la dirección de correo electrónico utilizada se obtuvo de una página web de Internet, manifestación que por sí misma prueba dicho incumplimiento por las razones que a continuación se indicarán y, con arreglo a la cual, tampoco resulta de aplicación la excepción al consentimiento contenida en el primer párrafo del artículo 21.2 de dicha norma por evidenciar que no existe una relación contractual previa entre la entidad remitente y el destinatario del envío en cuestión. El hecho de que MANCLIC obtuviera la cuenta de correo electrónico del denunciante de una página web prueba que la comunicación comercial objeto de análisis no había sido solicitada previamente por su destinatario y pone de manifiesto, también, la inexistencia de autorización expresa del mismo para poder usar con fines publicitarios las señas electrónicas que pudieran aparecer en la página web http://www.donde-estamos.com asociadas a la empresa SERVICIOS MEDICINA PREVENTIVA, S.A. (SERMESA), responsable del dominio sermesa.es en el que se integra la cuenta de correo en la que se recibió la comunicación comercial denunciada Conviene añadir, además, que en dicha página web se promociona el registro de las empresas en dicho directorio como un medio de aumentar sus ventas y potenciar su imagen de marca, circunstancia que, evidentemente, no conlleva ningún tipo de consentimiento al uso de los datos de contacto para recibir publicidad de terceros. Dicho lo cual, la remisión de la comunicación comercial denunciada constituye una acción que ha respondido únicamente a la voluntad de MANCLIC de dar un uso publicitario a dicha información sin mediar para ello el consentimiento previo y expreso del denunciante. En relación con esta cuestión, es importante señalar que esta Agencia se ha pronunciado en innumerables ocasiones en que cuando se trata de comunicaciones comerciales a las que le resulta de aplicación lo previsto en el artículos 21.1 de la LSSI no opera la dispensa de la obtención del consentimiento recogida en el artículo 6.2 de la LOPD respecto de los datos personales que procedan de fuentes accesibles al público. De esta forma, en supuestos como el analizado, la posesión o conocimiento de una dirección de correo electrónico de un tercero no implica, incluso cuando aparezca difundida en páginas web de Internet o figure incluida en bases de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/31 empresariales o tenga su origen en fuentes accesibles al público, considerando como tales exclusivamente las contempladas en los artículos 3.
40. j)de la LOPD y 7 del RDLOPD ya transcritos, una autorización del titular de la dirección de correo electrónico en cuestión para recibir publicidad a través de medios de comunicación electrónica o similares, pues precisamente ese derecho a no recibir comunicaciones comerciales por esa vía que no hayan sido previamente solicitadas o expresamente autorizadas es el que protege el artículo 21 LSSI. Conforme a lo antedicho, debe rechazarse que las páginas web de Internet tengan la consideración de fuentes accesibles al público al no estar contempladas como tales en la relación tasada que aparece en los artículos de la LOPD anteriormente reseñados, motivo por el cual, con independencia de lo previsto en el artículo 19.2 de la LSSI, no resulta de aplicación para el envío de comunicaciones comerciales electrónicas comprendidas en el artículo 21 de la LSSI la excepción al consentimiento incluida en el artículo 6.2 de la LOPD. En este sentido conviene traer a colación la SAN 371/2012 de 23/07/2013, que al referirse a datos obtenidos de una página web, resulta plenamente aplicable al caso ahora analizado: “Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de “contacto” y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la Información». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». La desestimación del recurso por el fundamento que se acaba de analizar debe llevarnos también a la misma consecuencia con respecto a la afirmación de la obtención de aquella información (los datos de la empresa) de una fuente accesible al público (la página web de la denunciante). Y es que, con independencia de que se trate o no en efecto de una fuente accesible al público en los términos del art. 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, lo cierto es que aquella obtención pudiera legitimar, sin expreso consentimiento, el tratamiento de los datos de que se trate, pero no hacerlo con la remisión de comunicaciones comerciales. Esto entraña una actividad singular y diferente, que es requerida de consentimiento autónomo por el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico .” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/31 Consecuentemente, resulta irrelevante que la dirección de correo electrónico del denunciante estuviera accesible en páginas web de Internet, toda vez que el tratamiento con fines publicitarios de las señas electrónicas de los destinatarios de este tipo de envíos requiere solicitud previa del destinatario o autorización expresa de los mismos. En definitiva , a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que la denunciada incumplió la prohibición recogida en el artículo 21.1 de la LSSI al enviar un correo electrónico de tipo comercial al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma al no existir una relación contractual previa entre remitente y destinatario del envío en cuestión. .>> III En lo que afecta a las alegaciones realizadas en el recurso de reposición relación con la infracción del artículo 6.1 de la LOPD se indica lo siguiente: en En primer lugar, en cuanto a la anulabilidad planteada se señala que el artículo 63.1 de la LRJ-PAC dispone que: “1. Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder.” En este caso, la recurrente se limita a indicar que la AEPD ha incurrido en infracción del ordenamiento jurídico por no haber resuelto de modo expreso las alegaciones presentadas a la propuesta de resolución y haber hecho caso omiso de la documentación aportada, aunque no concreta las normas supuestamente infringidas cuya vulneración respaldarían tal alegación. Contrariamente a lo mantenido por la recurrente, en el Antecedente de Hecho Undécimo de la resolución recurrida consta que con fecha 26 de agosto de 2015, es decir con posterioridad al 25 de agosto de 2015 que tuvo entrada el escrito de alegaciones al que se refiere la recurrente, se incorporó al procedimiento la siguiente documentación: Informe 0258/2008 del Gabinete Jurídico de la AEPD e impresión del resultado de la información obtenida al acceder a los sitios web y/o páginas web www.conabogados.es, http://abogada-............es, http://www.icaba.es, www.despachosdeagobados.org, www.donde-estamos.com, legalguia.com, www.paginasamarillas.es, www.infobel.com, www.citiservi.es, http://abogado-s.es El informe fue invocado por MANCLIC para apoyar sus alegaciones relativas a que todos los datos que constaban en los muestreos se habían obtenido de fuentes de acceso público. A su vez, la incorporación del resultado obtenido al visitar el 26 de agosto de 2015 los sitios web anteriormente reseñados enerva que no se hayan tenido en cuenta las alegaciones y documentación adjuntada en su día a la propuesta de resolución, máxime cuando tales alegaciones se contestan en los Fundamentos de Derecho V y VIII de la resolución impugnada. Cuestión distinta es que la recurrente no comparta las consideraciones efectuadas por la AEPD al respecto. De esta forma en el Fundamento de Derecho V se justifican tanto los motivos por los que no se considera que los registros analizados constituyan datos relativos a empresarios individuales como, también, la causa por la que se entiende que el listado de los sitios y págínas web incorporado a las alegaciones a la propuesta de resolución no prueba qué datos personales concretos de los incluidos en el fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/31 pudieran proceder de cada una de las URLs citadas de las que supuestamente fueron obtenidos, circunstancia que en todo caso debería haber probado la recurrente a fin de acreditar que los 37 registros analizados en los Hechos Probados Noveno, Décimo y Decimoprimero tenían, efectivamente, el origen alegado y , además, procedían de fuentes accesibles al público desde la perspectiva de la normativa de protección de datos o mediaba el consentimiento de los titulares afectados para la realización de un tratamiento publicitario de los mismos . Téngase en cuenta que la veracidad de sus alegaciones debe ser probada por la recurrente, no correspondiendo a la AEPD realizar una búsqueda de los datos personales de los afectados que aparecen en las URLs del listado presentado, máxime cuando tal resultado podía haber sido adjuntado a la relación aportada. Todo ello sin perjuicio de que tal y como consta en el Fundamento de Derecho VIII se realizaron las comprobaciones de los registros que se citan en el mismo con los resultados también descritos, los cuales, junto con el resto de elementos de prueba obrantes en el expediente, sirvieron para justificar que la información de los registros analizados que pudiera proceder de los repertorios telefónicos en formato electrónico indicados no contenía la totalidad de los datos de los afectados reflejados en la base de datos supuestamente procedentes de dichas fuentes accesibles al público, no habiéndose tampoco acreditado por MANCLIC que en otros registros los datos estudiados pudieran proceder de listados online de los Colegios Profesionales. Igualmente, se motivaba que las páginas web de Internet no tienen la consideración de fuentes accesibles al público por aparecer en dicha red, sino únicamente cuando se refieren a los supuestos enumerados en los artículos 3.
41. j)de la LOPD y 7 del RDLOPD con el exclusivo contenido referido en dichos preceptos, y entre las que no se incluirían los buscadores de empresas y profesionales o los sitios web de prospección comercial. En este mismo orden de ideas, el Servicio Jurídico de esta Agencia emitió el Informe 3420/2008, señalaba que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados.(…) A mayor abundamiento se reitera lo dispuesto en el artículo 12 del RDLOPD respecto de la prueba de la existencia de consentimiento de los afectados para el tratamiento de sus datos personales en un fichero comercializado por la recurrente con fines de publicidad y prospección comercial, en especial cuando, como en este supuesto, la recurrente no ha acreditado que los datos objeto de estudio procedieran de fuentes accesibles al público. En todo caso, se señala que el procedimiento se ha instruido de conformidad con lo dispuesto en los artículos 134 y 135 de la LRJ-PAC, que establecen en cuanto a los principios del procedimiento sancionador que a continuación se citan lo siguiente: “Artículo 134. Garantía de procedimiento. 1. El ejercicio de la potestad sancionadora requerirá procedimiento legal o reglamentariamente establecido. 2. Los procedimientos que regulen el ejercicio de la potestad sancionadora deberán establecer la debida separación entre la fase instructora y la sancionadora, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/31 encomendándolas a órganos distintos. 3. En ningún caso se podrá imponer una sanción sin que se haya tramitado el necesario procedimiento. Artículo 135. Derechos del presunto responsable. Los procedimientos sancionadores garantizarán al presunto responsable los siguientes derechos: A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así como de la identidad del instructor, de la autoridad competente para imponer la sanción y de la norma que atribuya tal competencia. A formular alegaciones y utilizar los medios de defensa admitidos por el Ordenamiento Jurídico que resulten procedentes. Los demás derechos reconocidos por el artículo 35 de esta Ley.” Además, de lo ya indicado hay que resaltar que el procedimiento se ha tramitado conforme a lo establecido en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, y, supletoriamente, en lo no establecido en el capítulo III del título IX del RDLOPD, con arreglo al Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, en virtud de la Disposición Final Única del propio RDLOPD. En segundo lugar, en lo que respecta a la indefensión alegada, el de la Constitución Española establece que: artículo 24 “1. Todas las personas tienen derecho a obtener la tutela efectiva de los jueces y tribunales en el ejercicio de sus derechos e intereses legítimos, sin que, en ningún caso, pueda producirse indefensión. 2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia. La ley regulará los casos en que, por razón de parentesco o de secreto profesional, no se estará obligado a declarar sobre hechos presuntamente delictivos.” Sobre esta cuestión conviene observar que , entre otras, en las Sentencias del Tribunal Constitucional 155/1988, de 22/07, 212/1994 de 13/07, 137/1996, de 16/09, se señala que “se debe tener en cuenta que para que la indefensión tenga eficacia invalidante, es preciso que no se trate de meras irregularidades procedimentales, sino que los defectos causen una situación de indefensión de carácter material, esto es, que la misma haya originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo”. En ese supuesto no ha existido indefensión material dado que la recurrente ha conocido en todo momento de los derechos y garantías previstas en el ordenamiento jurídico para la defensa de sus derechos, habiéndosele informado en el acuerdo de inicio de su derecho a formular alegaciones y proponer pruebas y concedido en la propuesta de resolución plazo para formular alegaciones en su defensa y notificado la relación de documentos obrantes en el procedimiento. De hecho, consta en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/31 procedimiento que la recurrente formuló alegaciones al acuerdo de inicio y a la propuesta de resolución, al igual que ha ejercido su derecho a la defensa interponiendo recurso de reposición contra la resolución acordada en el procedimiento PS/00129/2015, en la que también se le informaba de su derecho a interponer, potestativamente, dicho recurso en el plazo de un mes a contar desde el día siguiente a la notificación de la resolución. En tercer lugar, en cuanto a la vulneración del principio de proporcionalidad establecido en el artículo 131 de la LRJ-PAC se considera que la sanción impuesta resulta proporcionada a la gravedad de los hechos imputados, tratándose de una cuantía situada en la horquilla inferior del rango de sanciones contempladas en el artículo 45.2 para las infracciones graves de la LOPD, y cuya fijación resulta de ponderar en la forma que se expone los criterios del artículo 45.4 de la LOPD que se citan en el Fundamento de Derecho X de la resolución recurrida. Se significa, también, que la recurrente no ha justificado mediante ningún medio de prueba que la sanción impuesta “provocará tal desequilibrio patrimonial que obligará al cierre de la empresa.” En lo que afecta a las alegaciones realizadas en el recurso de reposición en relación con la infracción del artículo 21.1 de la LSSI se indica que aunque en la Sentencia de la Audiencia Nacional citada, de fecha 3 de octubre de 2007, se consideró que al haber quedado acreditado que los datos del destinatario se habían recogido de una fuente accesible resultaba aplicable la dispensa a la exigencia del consentimiento al que alude el tipo sancionador aplicado “ex” artículo 21 y 38.4.
42. d)de la Ley 43/2002, no es menos cierto que en la SAN 371/2012 de 23/07/2013 citada en el Fundamento de Derecho XIII de la resolución impugnada se defiende la postura contraria en atención a la exigencia del consentimiento previo y expreso contemplada en el artículo 21.1 de la LSSI. IV Por lo tanto, en el presente recurso de reposición, MANCLIC MARKETING, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MANCLIC MARKETING, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de septiembre de 2015, en el procedimiento sancionador PS/00129/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad MANCLIC MARKETING, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/31 previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es