REPOSICION-PS-00156-2016B

1/8 Procedimiento nº.: PS/00156/2016 ASUNTO: Recurso de Reposición Nº RR/00748/2016 Examinado el recurso de reposición interpuesto por la entidad MULTIGESTION IBERIA 2014, S.L.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00156/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de septiembre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00156/2016, en virtud de la cual se imponía a la entidad MULTIGESTION IBERIA 2014, S.L.U., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

1. b)de la LOPD, una multa 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 06/10/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00156/2016, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- Mediante resolución 23/02/2009 recaída en el Procedimiento PS/0629/2008, se declaró la inmovilización del fichero DOMICILIOS que se explotaba por las entidades SABERLOTODO INTERNET, S.L., TRUMBIC e INFORMACION PRIVILEGIADA, respecto de las que A.A.A. ha sido administrador, apoderado y representante en distintas actuaciones de esta Agencia. DOS.- MEGAINFORMES ONLINE, S.L. y IIGC son conocedoras de la resolución de inmovilización del fichero DOMICILIOS, de acuerdo con la vinculación de A.A.A. con las citadas entidades (ex administrador, domicilios de contacto de los servicios de telecomunicaciones coincidente, líneas de teléfono y otros servicios contratados por las citadas empresas) TRES.- Resulta acreditado que a través de la página web www.inglobaly.com se ofrece un servicio de consulta de datos personales. La estructura de la información, la página principal y los menús y submenús de la citada web, coinciden con el servicio ofrecido por TRUMBIC en la explotación del fichero DOMICILIOS. CUATRO.- Resulta acreditado que hasta al menos el 8/08/2016 intentado el acceso a la web www.trumbic.com la navegación es redireccionada a www.inglobaly.com. CINCO.- En un acceso a la web www.inglobaly.com se ha encontrado que aparece C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 como responsable INFORMATION INTERNATIONAL GLOBAL CORP., con domicilio en (C/...1) | British Virgin Islands, dicha sociedad tiene CIF y domicilio fiscal en España. Aparece como teléfono de contacto 902****** y como dirección electrónica de contacto .....@inglobaly.com. Según ha informado la operadora el número 902****** ha sido contratado por IIGC con domicilio de contacto en (C/...1) que coincide con el domicilio aportado por MEGAINFORMES ONLINE en la inscripción en el RGPD. SEIS.- www.inglobaly.com Informa que los servicios on-line que presta son, entre otros, Localización de viviendas y sus residentes, que coincide exactamente con los datos que recoge el fichero inmovilizado DOMICILIOS. SIETE.- En la dirección IP ***IP.1 que aloja el servidor web www.inglobaly.com estuvo alojado anteriormente www.trumbic.com y actualmente también está alojado el servidor web www.megainformes.com. la citada dirección IP aloja un servicio de hosting dedicado que significa que la información que contiene es únicamente gestionada por el titular del servicio, en este caso MEGAINFORMES ON LINE S.L. OCHO.- En el Informe de Actuaciones Previas de Inspección consta que el sitio web www.megainformes.es aparecía redirigido a www.inglobaly.com. Una consulta al DNS arroja como resultado que el titular del dominio megainformes.es es MEGAINFORMES. Posteriormente esta redirección se ha quitado y aparece una web cuyo responsable declarado es MEGAINFORMES. NUEVE- MEGAINFORMES ONLINE S.L., tiene declarado en el RGPD el fichero GUIA ELECTRONICA TELEFONICA que coincide en cuanto a los datos que tiene y la finalidad, con el que fue inscrito por SABERLOTODO como “DOMICILIOS” y que fue objeto de inmovilización. DIEZ.- MULTIGESTION IBERIA SAU ha sido sancionada en la resolución R/00537/2014 de fecha 13/03/2014 en relación con el tratamiento de datos procedentes del fichero DOMICILIOS en ejecución se su contrato con TRUMBIC. ONCE.- Resulta acreditado que MULTIGESTION IBERIA SAU contrato el servicio de localización de personas con TRUMBIC, accediendo a dicha información a través de la página web de ésta – www.trumbic.com , cuyas características constan en el folio 973 y coinciden con el servicio que presta IIGC a trasvés de la página web de esta – www.inglobaly.com- a MULTIGESTION IBERIA 2014, SAU en cuanto a estructura de la información, interface, menús, y submenús. DOCE.- MULTIGESTION IBERIA 2014 S.A.U sucedió en derecho y obligaciones a MULTIGESTION IBERIA S.A.U., (con los mismos administradores, domicilio social y asesoría jurídica) resultando probado que tuvo acceso a la web www.inglobaly.com como cliente. TRECE.- En ejecución del contrato de fecha 1/10/2014 entre MULTIGESTION IBERIA 2014, SAU e IIGC (folio 304 y siguientes), aquella accedió a 100 registros –nombre, apellidos y DNI – (folio 312). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 TERCERO: MULTIGESTION IBERIA 2014, S.L.U. ha presentado en fecha 28/10/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en -Caducidad del procedimiento Sancionador. El procedimiento se inició en fecha de 30/03/2016 y la resolución final del mismo fue notificada a esta parte en fecha de 6/10/2016, por tanto han transcurrido más de 6 meses que es el plazo máximo según la legislación aplicable. -Reiteración de indebida imputación a MULTIGESTION IBERIA 2014 S.L.U.- non bis in ídem-. -Reiteración de vulneración del principio de proporcionalidad. Indebida aplicación del Art. 45.4 y 5 LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por MULTIGESTION IBERIA 2014, S.L.U., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del 4 a 7 ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<0.4 Sobre el incumplimiento del art. 6 de la LOPD y la conducta típica prevista en el art. 44.3
2. b)de la LOPD. Se imputa a MGI2014 la infracción del art. 6 de la LOPD que determina: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” MGI2014 sostiene, en sus alegaciones formuladas al acuerdo de inicio y en las formuladas a la propuesta de resolución, que es una persona jurídica distinta de MULTIGESTION IBERIA, S.A. y que por tanto la vinculación de MGI2014 con el procedimiento sancionador incoado por la relación jurídica entre TRUMBIC y MULTIGESTION IBERIA, S.A., les es del todo ajena y no tienen elementos para deducir que la contratación con IIGC tiene por objeto la explotación del fichero que tenía TRUMBIC para su objeto de negocio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Frente a ello cabe señala que si bien MGI2014 y MULTIGESTION IBERIA, S.A., son personas jurídicas distintas, no puede obviarse que una se subrogó en la otra y que los responsables de ambas entidades son las mismas personas, y comparten objeto social y domicilio. Además tal como se expondrá a continuación, MGI2014 no puede alegar que no tenía elementos que hicieran sospechar que el fichero de TRUMBIC es el mismo al que accedía a través de IIGC, en concreto: -En el contrato obrante en el folio 947 y siguientes, entre TRUMBIC y MULTIGESTION IBERIA, S.A.U constan como apoderados de ésta última, las mismas personas que en el contrato de fecha 1/10/2014 obrante en el folio 304 y siguientes que hace referencia al contrato entre IIGC y MGI2014, - B.B.B. y C.C.C.- en idénticos términos consta en contrato de fecha 1/04/2015 obrante en el folio 308 entre dichas entidades. Si bien la otra parte, formalmente no es la misma – IIGC y TRUMBIC- no puede serle ajeno a MGI2014 que el contrato de 2009 y los que firmo en 2014 y 2015, tiene prácticamente la misma estructura formal, el mismo objeto, ofrecen las mismas garantías, etc.,. Además en el folio 973 consta incorporado una captura de pantalla de los accesos que realizaba MULTIGESTION al fichero de TRUMBIC, donde puede observarse con claridad que la estructura, el servicio ofrecido, e incluso color de la página web, es idéntica, a la que le presta el servicio IIGC y cuyas capturas de pantalla obran en los folios 318 y siguientes. Siendo especialmente relevante la comparación de la captura de pantalla que obra en el folio 327 (IIGC) con la que obra en el folio 973 (TRUMBIC) pues permite observar que incluso los submenús desplegados coinciden plenamente y que donde figura INGLOBALY en el encabezado de la web, antes constaba TRUMBIC, y que en el pie de página donde consta la información completa de IIGC (logotipo, dirección y medios de contacto) antes constaba la de TRUMBIC. Asimismo tampoco puede obviarse que en el PS/500/2013, MULTIGESTION IBERIA SAU es sancionada por resolución de 13/03/2014, en relación con datos personales que constaban en el fichero DOMICILIOS – el proporcionado por TRUMBIC-. Esta circunstancia acredita que MGI2014 tenía pleno conocimiento de la ilegalidad de dicho fichero y su uso, a la fecha en que firma los contratos con IIGC – pues uno es de 1/10/2014 y el otro de 1/04/2015. En conclusión, ha resultado probado que al suceder MGI2014 a MULTIGESTION en activos y pasivos, y sobre todo en idénticas personas (apoderados e incluso abogadas) es conocedora de la ilegalidad del fichero de TRUMBIC, y a su vez, es conocedora de que aunque nominalmente TRUMBIC y IIGC son distintas, materialmente ofrecen el mismo servicio, con el mismo objeto, es decir, el fichero inmovilizado por resolución del Director de la AEPD. La vulneración del art. 6 de la LOPD está acreditada cuando ejecuta el contrato de prueba piloto y es receptora de 100 registros por parte de IIGC, comunicación obrante en el folio 312 y siguientes, puesto que no consta que tenga en consentimiento de los titulares de dichos datos, ya que dicho fichero fue declarado ilegal y se procedió a su inmovilización. MGI2014 manifiesta en sus alegaciones formuladas al acuerdo de inicio y en las formuladas a la propuesta de resolución, la conculcación de la prohibición del non bis in ídem, haciendo referencia a que ya fue sancionada por el tratamiento de unos datos obrantes en el citado acceso de 100 registros. Frente a ello cabe señalar que en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 procedimiento que cita – el PS/00651/2015- no fue objeto de sanción por el tratamiento sin consentimiento de los datos contenidos en dicho acceso, sino por la vulneración del art. 4.3 de la LOPD, en concreto el principio de calidad, en la citada resolución se acredita por parte de MGI2014 la conculcación de (…)Requisitos de exactitud y veracidad de los datos personales, establecidos en la repetida LOPD, que son exigibles al titular del fichero o tratamiento, según deriva del propio artículo 4.3,(…) y se hace constar lo siguiente (…)En la base de datos de la denunciada, esta, motu propio agregó a los datos de nombre y apellidos casi coincidentes con los de la persona deudora, (solo se diferencian en la última letra del segundo apellido), una dirección producto de una búsqueda que contrata con IIGC. Si bien la denunciada no da detalles ni explicaciones de cuál es el origen de los datos que obtiene, de cómo esa empresa contratada procede a la búsqueda de tales datos, se acredita que esa dirección y ese nombre sirven para dirigir una carta de requerimiento al denunciante que no es deudor, incurriendo en un uso de datos que revela falta de calidad, veracidad y realidad en esos datos, y que identifican a una persona que no es la deudora.(…) Y en el presente procedimiento la imputación es por la vulneración del art. 6 de la LOPD, esto es el tratamiento sin consentimiento, la tenencia de los datos obrantes en los folios 312 y siguientes. Lo que de acuerdo con las definiciones del art. 3 de la LOPD, constituye tratamiento de datos personales. 05. Elemento subjetivo en la comisión de las infracciones. MGI2014 tiene suficientes elementos para conocer que los datos a los que va a acceder en ejecución del contrato con IIGC pueden no ser legales ni por tanto adecuarse a la LOPD. En los contratos de 2014 y 2015 que firma con el proveedor de base de datos, IIGC, consta idéntica cláusula de garantía que en el de TRUMBIC. Además la garantía de legalidad de datos ofrecida contractualmente se estima insuficiente para eliminar el elemento subjetivo en la comisión del a infracción, en este sentido la Sentencia la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En conclusión, MGI2014 no tomo diligencia alguna para verificar que contrataba la explotación de una base de datos que cumplía con la LOPD, es más, tenía elementos suficientes para deducir precisamente lo contrario y que el servicio era sucesión del que MULTIGESTION IBERIA, SAU contrato con TRUMBIC. Además MGI2014 fue sancionada mediante Resolución R/01320/2015 en relación con el tratamiento de los datos de un afectado por vulneración del art. 4.3 LOPD, cuyos datos constaban en el fichero – que según declaro- proporcionado por IIGC, donde se le solicito el origen de los datos tratados, sin que pudiera demostrar el mismo. Respecto de A.A.A. y de IIGC no se analiza el elemento subjetivo en la medida en que han caducado las actuaciones previas. Respecto de MEGAINFORMES ONLINE, S.L es plena conocedora de la prohibición de explotación del fichero DOMICILIOS y a pesar de ello proporciona acceso a sus clientes a través de usuario, es decir, es el objeto de su negocio. 06. Sobre la gravedad de la infracción, la culpabilidad y antijuridicidad de los hechos y la sanción a imponer. El artículo 45 de la LOPD, establece, en sus apartados 2 a 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
3. a)El carácter continuado de la infracción.
4. b)El volumen de los tratamientos efectuados.
5. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
6. d)El volumen de negocio o actividad del infractor.
7. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
8. f)El grado de intencionalidad.
9. g)La reincidencia por comisión de infracciones de la misma naturaleza.
10. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
11. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
12. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
13. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8
14. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
15. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
16. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
17. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Respecto de MEGAINFORMES ONLINE, S.L. no constan elementos que permitan aplicar la degradación prevista en el art. 45.5 de la LOPD. Y en aplicación de los criterios de graduación previstos en el art. 45.4 de la LOPD, procede determinar el importe de la sanción propuesta en la cuantía de mínima que permite el precepto, esto es 300.001 €. Respecto de MULTIGESTION IBERIA 2014 S.L.U. debe tenerse en cuenta determinadas circunstancias que permiten aplicar la degradación prevista en el art. 45.5 de la LOPD de acuerdo con su apartado a), esto es, la concurrencia de varias circunstancias previstas en el apartado 4 (como son las previstas en los apartados e, y
18. h)y de acuerdo con su aparado b), respecto a la regularización diligente de la situación. Procede determinar la cuantía de la sanción en el intervalo de las infracciones leves. En aplicación de los criterios de graduación previstos en el art. 45.4 de la LOPD, procede determinar el importe de la sanción propuesta en la cuantía de 20.000 €.>> III En relación con la caducidad del procedimiento sancionador, debe señalarse que consta en el expediente, que además de notificarse la Resolución en la fecha que manifiesta en el presente recurso, también se notificó la citada Resolución en fecha de 29/09/2016 (como reza en la debida documentación con sello de fecha de entrada y de MULTIGESTION IBERIA, 2014 S.L.U,) y por tanto, se ha de entender producida dentro del plazo de seis meses- que finalizaba en fecha de 30/09/2016- que prevé el art. 48.3 de la LOPD que establece que Los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 IV Por lo tanto, en el presente recurso de reposición, MULTIGESTION IBERIA 2014, S.L.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MULTIGESTION IBERIA 2014, S.L.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de septiembre de 2016, en el procedimiento sancionador PS/00156/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad MULTIGESTION IBERIA 2014, S.L.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es