REPOSICION-PS-00181-2015

1/8 Procedimiento nº.: PS/00181/2015 ASUNTO: Recurso de Reposición Nº RR/00541/2015 Examinado el recurso de reposición interpuesto por Dª. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00181/2015, y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 2 de junio de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00181/2015, en virtud de la cual se imponía a la entidad Print Laser Spain SL, una sanción de 1.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 10 de junio de 2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00181/2015, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Se ha comunicado a esta Agencia la recepción de un envío publicitario con el nombre y domicilio de la denunciante en el que se la participar en un acto que se celebrará, el día 12 de abril de 2014, excursión crucero romántico por la Sevilla monumental, que incluye una demostración patrocinada por el Grupo Medisalud. En el pie de página consta la siguiente leyenda: "La información utilizada para este envío publicitario procede de ficheros de Print Laser Spain, S.L. Apartado de Correos nº *** – (Madrid) donde Usted podrá ejercer sus derechos de acceso, rectificación, cancelación u oposición". También figura: "Organiza y patrocina Experiencias MEDISALUD. Toda la información en: www.experienciasmedisalud.com". SEGUNDO: Se ha verificado por la Inspección de Datos de esta Agencia que el nombre y apellidos de la denunciante no constan en la guía de servicios de telecomunicaciones, en la página web denominada <blancas.paginasamarillas.es>. Se constata que en el Registro General de Protección de Datos figura inscrito el fichero denominado “COMERCIAL Y MARKETING”, siendo responsable la compañía Print Laser Spain, S.L., cuya finalidad es “publicidad y prospección comercial” y como origen de los datos se detalla “el propio interesado o su representante legal, registros públicos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 fuentes accesibles al público, otras personas físicas, entidad privada”. TERCERO: La compañía Print Laser Spain, S.L. ha comunicado a la Inspección de Datos, que el origen de los datos personales de la denunciante utilizados en la campaña publicitaria fueron sus propios ficheros y la información ha sido tratada exclusivamente por la compañía y no ha sido comunicada al cliente. Que los tratamientos que fueron contratados por MEDISALUD, en los que se utilizaron los datos personales, consistieron en el diseño y ejecución de una campaña de publicidad y, en concreto, los servicios fueron determinación de los destinatarios de la campaña, selección de los datos en sus ficheros, extracción, impresión de las cartas y su envío a los destinatarios. Por tanto, los parámetros identificativos de los destinatarios de la publicidad fueron determinados exclusivamente por Print Laser Spain, S.L. y consistieron en una selección por código postal de residencia. Print Laser Spain, S.L. no acredita el origen de los datos personales de la denunciante. CUARTO: La compañía Grupo Medisalud TV, S.L.U. ha comunicado a la Inspección de Datos, que no constan en sus ficheros datos de la denunciante por lo que no disponen de documentación que acredite el procedimiento de obtención de información asociada a la misma. Para la realización de la campaña publicitaria objeto de la denuncia, MEDISALUD tiene suscrito con la mercantil Print Laser Spain, S.L. un “Contrato de selección de datos carácter personal y personalización de documentos publicitarios”, de fecha 15 de mayo de 2013. Según resulta de los términos de dicho contrato, la sociedad Print Laser Spain tiene la condición de “responsable del fichero”, se encarga de la recopilación y segmentación de los datos de carácter personal que constan en sus ficheros y que son posteriormente utilizados por ella misma para ejecutar la campaña de marketing encargada por MEDISALUD. Por lo tanto, en ningún caso los datos personales de la denunciante constan en los ficheros de MEDISALUD ni han sido recabados ni tratados nunca por la empresa. De hecho, en la medida en que la campaña se diseñó y ejecutó por la mercantil Print Laser Spain, S.L. ni siquiera accedió a los datos utilizados en ella.>> TERCERO: Dª. A.A.A. ha presentado en fecha 25 de junio de 2015, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en que se mantenga la calificación tipificada como grave de la infracción y se aumente la cuantía de la sanción para que sirva como ejemplo y se averigüe la procedencia de la fuente que facilitó los datos a la empresa Print Laser Spain SL. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por Dª. A.A.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al V ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: << II Se imputa a la entidad PRINT LASER SPAIN, S.L. el tratamiento de los datos de la denunciante sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de la denunciante realizado por la entidad PRINT LASER SPAIN, S.L. resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que la denunciante hubiera prestado el consentimiento para el tratamiento de sus datos, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
2. h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
3. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
4. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que la denunciante recibió una comunicación publicitaria por correo postal a su nombre y domicilio sin que se conozca el origen de los datos personales de la denunciante. La entidad denunciada ha manifestado en las alegaciones al acuerdo de inicio del procedimiento sancionador que “hemos comprobado que, aunque los datos de D. A.A.A. efectivamente figuran en nuestro fichero, no podemos precisar su origen, ni la razón por la que se encuentran en nuestra base de datos, en la medida en que no nos consta que aparezcan en fuentes accesibles al público ni que la interesada haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 otorgado su consentimiento. Tal situación hace que debamos reconocer los hechos que nos son imputados en el Acuerdo de Inicio de Procedimiento Sancionador, en la medida en que, aunque desconozcamos la causa por la cual los datos de la denunciante se encontraban en nuestro fichero, la entidad que represento ha tratado dichos datos sin su consentimiento para el envío de la publicidad que ha dado origen a este procedimiento”. Y continúa exponiendo que “En cualquier caso, hemos procedido a corregir diligentemente la situación y hemos cancelado de modo definitivo los datos de la denunciante, para evitar que en el futuro puedan ser tratados de cualquier otro modo.” Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con los datos personales de la denunciante a quien se envió un correo publicitario, sin que se haya acreditado por la entidad denunciada, que contaba con su consentimiento para dicho tratamiento, ni cuál es el origen de sus datos de carácter personal, infringiendo así el artículo 6.1 de la LOPD. IV El artículo 44.3.
5. b)de la LOPD, dispone que es infracción grave: “
6. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma sin ser aplicables las excepciones previstas. V Según el artículo 45.2 de la LOPD, “las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. La acreditación de que con anterioridad a los hechos constitutivos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 j. infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En primer lugar debemos valorar la aplicación de lo solicitado respecto de la aplicación del apartado 6 del artículo 45 de la LOPD que permite no acordar la apertura de procedimiento sancionador y en su lugar apercibir al sujeto responsable. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, en concreto en relación con los apartados
7. c)y
8. e)del precepto, en el sentido de que la creación y explotación de bases de datos que contienen datos de carácter personal, es un elemento fundamental de la base de su negocio, hace a la entidad PRINT LASER SPAIN, S.L. plenamente conocedora de las obligaciones que derivan de la LOPD y su incumplimiento pone de manifiesto la falta de diligencia prestada y el elemento culpabilístico resulta acreditado dotando a la conducta de la citada mercantil de un mayor grado de antijuridicidad. En este sentido conviene recordar lo recogido por la Sentencia de la Audiencia Nacional Recurso 104/2006 señala que “la entidad demandante por la actividad que realiza debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, pues está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales según la STS 292/2000”, en el mismo sentido la Sentencia de la Audiencia Nacional, Recurso 143/2006 señala que ”pues la naturaleza de la actividad desarrollada por la entidad recurrente, y su permanente relación con los datos personales, determina que el comportamiento exigible a quien habitualmente está en contacto con este tipo de datos sea de distinguido y exquisito cuidado sobre el cumplimiento de las exigencias impuestas por la LOPD, porque está en juego la protección de derechos fundamentales- art. 18.4 CE”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 De manera que concurren en el caso analizado las siguientes circunstancias: la vinculación de la actividad del infractor con el tratamiento de datos personales, que no es accidental o excepcional sino que constituye el principal objeto de su negocio; el beneficio obtenido como consecuencia de la comisión de la infracción, por idénticas razones que el anterior motivo, explota económicamente la base de datos de carácter personal; por la intencionalidad en cuanto a elemento subjetivo del tipo infractor, recuérdese que la diligencia prestada ha de ser exquisita atendiendo a las obligaciones que impone a la LOPD a un operador en el “mercado de datos” de la que se deriva especial vinculación. Por todo ello no es posible aceptar lo alegado respecto de la aplicación de lo previsto en el apartado 6 del artículo 45 de la LOPD. Respecto de la aplicación del artículo 45.5 se considera la concurrencia significativa de varios de los criterios enunciados en este apartado como son el b y el d porque la entidad infractora ha regularizado la situación irregular de forma diligente cancelando los datos de la denunciante de su base de datos, y por otra parte la entidad imputada ha reconocido espontáneamente su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, lo que lleva a apreciar la existencia de una cualificada disminución de la culpabilidad y procede imponer una sanción correspondiente a una infracción leve. Por otro lado respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
9. a)la existencia de intencionalidad o reiteración,
10. b)la naturaleza de los perjuicios causados,
11. c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, y teniendo en cuenta que durante la tramitación del presente procedimiento se ha procedido a la regularización de la situación irregular y se ha reconocido la culpabilidad, permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 1.000 euros.>> III El Tribunal Supremo en su sentencia de 26/11/2002, recurso 65/2000, expresa lo siguiente: “el denunciante ni es titular de un derecho subjetivo a obtener una sanción contra los denunciados, ni puede reconocérselo un interés legítimo a que prospere su denuncia, derecho e interés que son los presupuestos que configuran la legitimación, a tenor del artículo 24,1 de la Constitución y del art. 31 de la Ley 30/92, sin que valgan como sostenedores de ese interés los argumentos referidos a que se corrijan las irregularidades, o a que en el futuro no se produzcan, o a la satisfacción moral que comportaría la sanción, o la averiguación de los hechos.” La Audiencia Nacional en su Sentencia de 6 de octubre de 2009, recurso nº 4712/2005 expresa lo siguiente: “El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos- y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. En cualquier caso, los procedimientos se inician de oficio por la AEPD, que es quien determina la responsabilidad de los hechos constatados, independientemente de la intencionalidad del denunciante al presentar su escrito de denuncia. Por lo tanto, en el presente recurso de reposición, Dª. A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, y en lo que concierne a su pretensión con respecto al resultado de procedimiento sancionador mismo, se considera que carece de legitimación activa para ello. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 2 de junio de 2015, en el procedimiento sancionador PS/00181/2015. SEGUNDO: NOTIFICAR la presente resolución a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es