← España

REPOSICION-PS-00353-2017

1/27 Procedimiento nº.: PS/00353/2017 ASUNTO: Recurso de Reposición Nº RR/00060/2018 Examinado el recurso de reposición interpuesto por la entidad AGME DIRECT, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00353/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 19/12/2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00353/2017, en virtud de la cual se imponía a AGME DIRECT, S.L., una sanción de 60.000 euros (sesenta mil euros), por la vulneración de lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo previsto en el artículo 30 de la misma norma y en los artículos 45 y 46 de su Reglamento de desarrollo (RDLOP), tipificada como Grave en el artículo 44.3.

  1. b)de la LOPD, y de conformidad con lo establecido en el artículo 45.1, 2 y 4 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 26/12/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00353/2017, quedó constancia de los siguientes: <<1. AGME Direct tiene como objeto social, entre otras actividades, la prestación de servicios auxiliares de marketing. 2. GAES y AGME Direct suscribieron un contrato de prestación de servicios, de fecha 09/01/2009, en virtud del AGME Direct se encarga de la realización de campañas publicitarias de productos y servicios de GAES mediante envíos postales. En dicho contrato se estipula lo siguiente: <<EXPONEN 1.- Que EL PROVEEDOR es una empresa que se dedica a la recopilación de direcciones, prospección comercial, publicidad directa y la gestión y contratación de medios publicitarios directos por cuenta de terceros. (…) III.- Que EL CLIENTE está interesado en que EL PROVEEDOR le facilite el servicio de realización de campañas publicitarias tanto en relación de los ficheros de los que dispone de autorización por parte de los titulares como de LOS FICHEROS de titularidad propia, gestionando y contratando por sí mismo los medios publicitarios necesarios y asumiendo la elaboración de los criterios de segmentación aplicables en cada campaña para la mejor efectividad de las mismas. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 2/27 (…) CLÁUSULAS Primera: EL PROVEEDOR elaborará listados de destinatarios para la realización de campañas publicitarias, tal y como se detalla en el anexo al presente contrato. Los datos personales que se incluirán en el referido listado contendrán la siguiente información: nombre, apellidos, domicilio y, en su caso, número de teléfono. Segunda: EL PROVEEDOR declara que el origen de los datos personales que serán utilizados para la elaboración de los listados de destinatarios de las campañas será: ficheros de datos personales, recogidos directamente de fuentes accesibles al público o facilitados por los propios afectados u obtenidos con su consentimiento, ficheros cuya titularidad corresponde a terceras personas o entidades de las cuales se ha obtenido manifestación expresa de dichas terceras personas o entidades de que tales ficheros cumplen con todos los requisitos exigidos en la normativa legal sobre protección y tratamiento de datos personales en orden a su eventual utilización con fines de publicidad o prospección comercial. (…) SEXTA.- El PROVEEDOR garantiza que cuando los datos personales utilizados para la elaboración del listado de direcciones procedan de ficheros titularidad de terceras, estas empresas los han recabado del propio interesado y cuentan con el consentimiento para su tratamiento con los fines previstos en este contrato según la legislación vigente en materia de protección de datos personales. EL PROVEEDOR verifica en los mencionados ficheros la inclusión en sus documentos o formularios de captación de los datos personales de la frase tendente a obtener el consentimiento debido y si esta se ajusta a la mencionada legislación. El PROVEEDOR exonera, en consecuencia, de cualquier responsabilidad al CLIENTE respecto de dicha utilización, siempre y cuando éste, por su parte, dé cumplimiento a cuantas obligaciones se derivan para el mismo de lo dispuesto en el presente contrato En todo caso, EL CLIENTE deberá incluir en cualquier envío o comunicación que pudiere dirigir a los destinatarios la información de que el responsable del tratamiento es Godirect, S.L., y la información necesaria para que el interesado conozca el origen de los datos tratados (empresa titular de los mismos) y los medios para ejercer sus derechos de acceso, rectificación y cancelación. En este sentido, EL PROVEEDOR indicará en el anexo correspondiente a cada campaña la información que deberá incluir EL CLIENTE en cada envío publicitario que pudiere dirigir a los destinatarios. Igual información será facilitada, en su caso, a los destinatarios de cualquier clase de campaña publicitaria. En concreto, cuando se trate de una campaña de marketing telefónico, EL CLIENTE se compromete a poner a disposición de los teleoperadores el correspondiente argumentarlo que recoja la información precedente, a fin de que puedan ser informados los consumidores que así lo reclamen>>. 3. La empresa AGME Direct suscribió un contrato con la entidad Comunicación Personal B.P.G., S.L., de fecha 30/07/2013, en virtud del cual AGME Direct adquiría todos los activos relativos a la línea de negocio de marketing directo de la citada compañía. Entre los activos adquiridos se encuentra la base de datos de usuarios. En los exponendos cuarto y quinto del contrato se establece lo siguiente: “IV. Que BPG desea transmitir a AGME la línea de negocio de marketing directo, en concreto todos los activos que se enumeran: Base de Datos de Clientes (personas jurídicas), Base de Datos de Usuarios, Know how de la compañía en la citada línea de negocio así como el software de segmentación. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 3/27 V. BPG es titular de un Fichero de datos de carácter personal denominado FICHERO DE CLIENTES registrado en el Registro General de la Agencia de Protección de Datos con el número…. Este fichero cumple los requisitos necesarios para su utilización en la realización de campañas de marketing, según lo dispuesto en la legislación sobre Protección de Datos Personales vigente. Los datos personales que integran este fichero fueron recabados de los interesados para remitirles información de los productos de BPG o de terceras empresas”. Dicho contrato contiene los siguientes acuerdos: “Primero: BPG transmitirá los activos descritos en el exponendo IV… Los datos integrados en el fichero constan de los campos de nombre y apellidos, domicilio completo, teléfono y fecha de nacimiento. Estos dos últimos datos presentes solo en una parte de la totalidad. Igualmente se hace constar que la información puede contener errores de transcripción al haberse transcrito de documentos manuscritos. Segundo: La información integrante del fichero corresponde a datos recabados de los propios interesados por lo que dieron su consentimiento para el tratamiento. BPG manifiesta que ha cumplido con el deber de información según Indica la legislación vigente… Cuarto: Por su parte, AGME manifiesta de acuerdo al artículo 19 del Reglamento antes citado y de acuerdo a la normativa de protección de datos asumir la obligación de informar a los interesados integrantes del fichero de usuarios objeto de transmisión del presente contrato, de la finalidad del nuevo tratamiento y de los medios para que puedan ejercerse en particular el derecho de oposición a la cesión y en general los restantes derechos que la legislación prevé para las personas…”. 4. Con fecha 31/05/2017, por la Inspección de Datos se comprobó que los datos personales de la denunciante 1 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 5. La denunciante 1 ha manifestado que nunca se ha dirigido a la entidad GAES ni a sus asociados. 6. La denunciante 1 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, constando la indicación de piso y puerta, la cual contiene una oferta publicitaria de los servicios y productos de GAES. En la misma se informa a la denunciante 1 sobre una cita reservada para efectuarle una revisión de audición (“Tiene una cita con su audición”; “Cita reservada para… (nombre y apellidos de la denunciante 1) del 20 de abril al 14 de mayo”) y se indica la dirección postal del centro GAES al que debe dirigirse. En el pie de página consta el texto siguiente: “los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal B.P.G., S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores de ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONGs. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose, por escrito, a AGME, ***DIRECCIÓN.1, 08760 Martorell o llamando al ***TLF.1”. 7. Los Servicios de la AEPD verificaron el planning de campañas publicitarias realizadas. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 4/27 Según los datos verificados, en marzo de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada PRIMAVERA 2016 “Tiene una cita con su audición”, la cual dio origen a la comunicación comercial recibido por la denunciante. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 16/03/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña PRIMAVERA 2016. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado a la denunciante el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña PRIMAVERA 2016 fue de 2.819.305, siendo el fichero “ASTRO” el origen de los datos de 1.490.504 destinatarios. 8. La Inspección de Datos ha verificado que los datos de la denunciante 1 no constan en los sistemas de información de la compañía GAES. Si bien, en el registro denominado “incidencias” figura información asociada a la denunciante 1 referente al ejercicio del derecho de acceso y cancelación. 9. La denunciante 1 añade que solicitó el acceso a sus datos personales y su procedencia a la entidad AGME Direct, que respondió mediante escrito de 12/05/2016, informando que los datos que disponen son: nombre, apellidos y domicilio postal completo, “como consta en la carta publicitaria que recibió” (incluye la indicación de piso y puerta). Añade que los datos fueron facilitados por la empresa Comunicación Personal B.P.G., que no incorporan los mismos a ningún fichero y que proceden a su cancelación. 10. Con fecha 05/07/2017, por la Inspección de Datos se comprobó que los datos personales de los denunciantes 2 a 5 no constan en el repertorio de los servicios de telecomunicaciones denominado “PáginasBlancas.es”. 11. Los denunciantes 2 a 5 no han tenido relación alguna con la entidad GAES. 12. En septiembre de 2016, el denunciante 2 recibió de la entidad GAES una carta dirigida a su domicilio, con detalle de su nombre, apellidos y domicilio postal, la cual contiene una oferta publicitaria de los servicios y productos de GAES. En la misma se indica “Campaña de detección precoz de la pérdida auditiva 2016. Dirección General de la OGAU”… “Estudio Auditivo Gratuito: Sr…. (nombre y apellidos del denunciante 2). Fechas reservadas para su revisión del 5 al 30 de septiembre. Centro GAES: D.D.D.”, así como la dirección postal y el teléfono del centro GAES al que debe dirigirse. En el pie de página consta la leyenda siguiente: “Los datos utilizados en esta campaña publicitaria han sido elaborados por la empresa AGME C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 5/27 Direct, S.L. y se han incorporado a su fichero por la cesión de la empresa Comunicación Personal, BPG, S.L. Su nombre, domicilio y teléfono serán tratados si presta su consentimiento, con la finalidad de remitirle publicidad y ofertas de empresas de los sectores del ocio, formación, telecomunicaciones, financiero, seguros, automoción, productos de gran consumo, salud, cosmética, electrónica, editorial y ONG´s. Usted puede oponerse a la cesión o cualquier tratamiento posterior así como ejercer sus derechos de acceso, rectificación y cancelación en todo momento dirigiéndose a AGME al teléfono gratuito ***TLF.1 al ***DIRECCIÓN.1 Martorell o a ***EMAIL.1”. En el anverso del sobre utilizado para el envío denunciado consta: “DIRECCIÓN GENERAL DE LA OGAU. Campaña de detección precoz de la pérdida auditiva 2016”; y en el reverso, como remitente, “GAES, S.A. Apartado de Correos 867 – 08080 Barcelona”. 13. En septiembre de 2016, el denunciante 3 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de A.A.A. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 14. En enero de 2017, el denunciante 3 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, en el que se contienen los mismos datos personales relativos al mismo. Corresponde a una campaña denominada “Campaña GAES de subvención de ayudas auditivas 2017” y ofrece al denunciante las fechas del 14 de febrero al 8 de marzo para su revisión en el mismo centro de GAES de A.A.A. indicado en la carta anterior. Incluye la misma leyenda informativa sobre los datos utilizados en la misma. 15. En septiembre de 2016, el denunciante 4 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 5 y el 30 de septiembre de 2016 en el Centro GAES de B.B.B. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 16. En septiembre de 2016, el denunciante 5 recibió un envío postal publicitario de la entidad GAES, dirigido a su domicilio, correspondiente a la misma campaña reseñada en el Hecho Probado Tercero. Incluye la misma leyenda informativa sobre los datos utilizados en la misma, y su estructura y contenido es similar al descrito (se reserva de cita para revisión entre el 3 y el 22 de octubre de 2016 en el Centro GAES de C.C.C. que se menciona). Este envío detalla la dirección postal del destinatario con la indicación de piso y puerta. 17. Los Servicios de la AEPD verificaron el planning de campañas publicitarias realizadas. Según los datos verificados, en junio de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada “Detección precoz de la pérdida auditiva 2016 Dirección General de la OGAU”, la cual dio origen a las comunicaciones comerciales recibidas por los denunciantes 2 a 5 en septiembre de 2016. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 13/06/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña. Se dispuso que dicha campaña se C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 6/27 realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado a los denunciantes 2 a 5 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña citada fue de 4.390.655, siendo el fichero “ASTRO” el origen de los datos de 2.477.231 de destinatarios. Las fechas de personalización de la publicidad fueron del 05/09 al 31/10/2016. 18. En noviembre de 2016, AGME Direct recibió el encargo de emisión de la campaña publicitaria denominada “Campaña GAES de subvención de ayudas auditivas 2017”, la cual dio origen a la comunicación comercial recibida por el denunciante 3 en enero de 2017. Para la formalización de este encargo, GAES y AGME Direct suscribieron, con fecha de 14/11/2016, un Anexo al Contrato suscrito con fecha de 9 de enero de 2009 en el que se detallan las características específicas de la campaña. Se dispuso que dicha campaña se realizara mediante envíos personalizados, encargando a AGME Direct la elaboración de los listados de destinatarios, a partir de ficheros cuya titularidad es de dicha entidad, de GAES y de otras entidades, según los criterios siguientes: personas de una edad estimada entre los 55 y 90 años, presentes en las áreas geográficas cubiertas por las tiendas GAES en toda España. En el pie de página de cada una de las cartas publicitarias consta un texto en el que se informa sobre la procedencia de los datos personales de los destinatarios (fichero y empresa titular del mismo). En el caso del envío realizado al denunciante 3 el fichero se denomina “ASTRO” y la titularidad del mismo corresponde a la empresa AGME Direct. El total de envíos realizados en la campaña citada fue de 4.839.798, siendo el fichero “ASTRO” el origen de los datos de 2.856.451 de destinatarios. Las fechas de personalización de la publicidad fueron del 09/01 al 24/03/2017. 19. La Inspección de Datos ha verificado que los datos de los denunciantes 2 a 5 no constan en los sistemas de información de la compañía GAES. 20. En enero de 2016, el denunciante 3 solicitó a GAES el acceso a sus datos personales, recibiendo respuesta de la citada compañía, fechada el 21/01/2016, en la que le informa que “sus datos de carácter personal, no forman parte de ningún fichero del Grupo GAES. Informarle igualmente, que hemos comunicado el ejercicio de cancelación de sus datos a nuestros proveedores externos, encargados de la realización de comunicaciones comerciales”. 21. El denunciante 5 se dirigió a AGME Direct solicitando información sobre el origen de sus datos personales registrados en los ficheros de la misma, recibiendo respuesta de 05/10/2016, en la que informa al afectado que ha procedido a la cancelación de sus datos personales, para evitar que reciba comunicaciones publicitarias en el futuro>>. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 7/27 TERCERO: Con fecha 26/01/2018, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad AGME DIRECT, S.L. (en lo sucesivo la denunciada o recurrente), en el que solicita que se anule y deje sin efecto la resolución de 19/12/2017, conforme a las consideraciones siguientes: 1. En primer término, alega que dicha resolución debe ser revocada al causar indefensión por una errónea apreciación de la diligencia desplegada por la recurrente, haciendo caso omiso a las actuaciones llevadas a cabo por la misma. A este respecto, reitera que obtuvo los datos personales utilizadas en las campañas publicitarias objeto de las actuaciones en virtud de un contrato adecuado a derecho, suscrito con Comunicación Personal B.P.G., S.L., de 30/07/2013, en el que consta que esta última entidad garantizó que el “fichero de clientes” cumplía los requisitos necesarios para su utilización con fines de marketing; y señala nuevamente las comprobaciones realizadas por AGME DIRECT, S.L. para asegurarse de la regularidad del tratamiento de los datos, además de haber informado debidamente a los destinatarios sobre el origen de los datos en todas las comunicaciones enviadas. Por ello, considerando la actuación diligente desarrollada por dicha entidad, ésta considera que no puede exigírsele la responsabilidad de la prueba del consentimiento e invoca el principio de presunción de inocencia. Asimismo, refiere que la resolución no aprecia el interés legítimo invocado en el escrito de alegaciones a la Propuesta de Resolución, el cual se rechaza por la falta de diligencia de AGME DIRECT, S.L., sin considerar los antecedentes antes expuestos relativos a la relación contractual suscrita con Comunicación Personal B.P.G. S.L, antigua titular y responsable de los datos de los interesados denunciantes. En este caso, considera que el cumplimiento de ese contrato, que conlleva la venta de la línea de Negocio que la empresa Comunicación Personal BPG, SL realizó a AGME Direct,, se encuentra entre las condiciones que regula el artículo 6 del Reglamento UE 2016/679, de 27 de abril de 2016, a efectos de determinar que el tratamiento sea lícito: (
  2. i)que el tratamiento sea necesario para la ejecución de un contrato en el que el interesado sea parte; (
  3. u)que el tratamiento sea necesario para el cumplimiento de una obligación legal; (iii) que el tratamiento sea necesario para proteger intereses vitales del interesado o de otra persona física; (
  4. iv)que el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público, y (
  5. y)que el tratamiento sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses, derechos o libertades del interesado. Dicho Reglamento incluye entre los supuestos en que el tratamiento de datos puede ser realizado para cumplir el interés legítimo de las empresas (sin consentimiento), el tratamiento de los mismos con fines de marketing. El propio considerando 47 del Reglamento General de Protección de Datos establece que “El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. A todo ello, cabe añadir que en ninguno de los supuestos denunciados se han visto afectados los derechos y libertades de los interesados, por el contrario, tal y como hemos puesto de manifiesto anteriormente, en todas las comunicaciones remitidas por AGME Direct a los denunciantes se informaba con detalle del origen de los datos, de las finalidades del tratamiento y de la posibilidad de ejercitar sus derechos. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 8/27 2. En segundo término, invoca el principio de proporcionalidad en la graduación de la sanción impuesta, por importe de 60.000 euros (sesenta mil euros), que no se ajusta a la gravedad del hecho constitutivo de infracción, alegando que no se han tenido en cuenta los criterios establecidos en el artículo 45.4 de la LOPD. Entiende que la sanción debería imponerse en su grado mínimo, en consideración al principio de proporcionalidad, que se rige por las reglas de la moderación, de modo que se impongan las sanciones estrictamente necesarias para que se cumpla la doble finalidad represiva y preventiva; y la discrecionalidad limitada, que obliga a ponderar las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida. En definitiva, las sanciones deben graduarse según criterios objetivos para que ello no suponga un incorrecto ejercicio de discrecionalidad por parte del órgano sancionador. En el presente caso, se cumplen los criterios señalados por el referido artículo 45.4, y ello, por cuanto así lo ha entendido la AEPD en el Acuerdo de inicio del presente Procedimiento Sancionador al afirmar que: “se entiende que se produce una cualificada disminución de la culpabilidad al concurrir en forma significativa los apartados
  6. d)y
  7. h)del artículo 45.4 de la LOP: volumen de negocio, al tratarse de una microempresa, y la ausencia de perjuicios distintos de los que derivan propiamente de la infracción. (...)’. Asimismo, esta parte considera que en la evaluación de la graduación de la sanción la Administración no ha apreciado la ausencia de intencionalidad por parte de AGME Direct, que, como se ha expuesto, vendría originada por la adquisición de la rama de actividad de una tercera Sociedad “Comunicación Personal B.P.G. S.L”, la ausencia de ninguna otra incidencia relacionada con los hechos objeto de este procedimiento sancionador, la ausencia de perjuicios de los afectados que, en ejercicio de sus derechos, han visto cancelados sus datos de carácter personal, y por último la ausencia de perjuicios a terceras personas. Las anteriores circunstancias ponen de relieve, a juicio de la recurrente, que la multa de 60.000 impuesta resulta excesiva y desproporcionada en cuanto a la infracción cometida y a sus mínimas consecuencias. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por la recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a IX de la Resolución recurrida, R/03354/2017, de 19/12/2017, en la que se considera que el mismo incumplió lo dispuesto en el artículo 6 de la LOPD y se detallaba suficientemente la valoración C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 9/27 de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo. En dichos Fundamentos de Derecho se indica lo siguiente: <<II El presente procedimiento se circunscribe a determinar la existencia de consentimiento de los destinatarios de los envíos publicitarios para el tratamiento de sus datos personales con ocasión de las acciones publicitarias de productos de GAES realizadas por AGME Direct. La vigente LOPD, en su artículo 43, atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por tanto, ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
  9. q)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
  10. g)de la LOPD, define la figura del encargado del tratamiento como “…la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
  11. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Paralelamente, la LOPD concreta en su artículo 2 que su ámbito objetivo de aplicación se circunscribe a “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento automatizado, y a toda modalidad de uso posterior a estos datos (...)”. De acuerdo con esta delimitación, la LOPD establece la definición del fichero y diferencia las figuras de responsable del fichero y de responsable del tratamiento conforme se establece en las definiciones recogidas en los apartados
  12. d)y
  13. g)de ese artículo 3 de la LOPD anteriormente transcritos. Ello es congruente con las exigencias de la Directiva 95/46/CE, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que la LOPD incorpora a nuestro ordenamiento jurídico, y conforme a ella, en el caso de los datos personales susceptibles de tratamiento automatizado, se aplica no sólo cuando existe un conjunto organizado (fichero) de dichos datos, sino también cuando se realizan operaciones y procedimientos que permitan la recogida, grabación, conservación, elaboración, bloqueo y cancelación de aquellos, aunque el responsable de ese tratamiento carezca de bases de datos de su titularidad que, de acuerdo con los términos legales, se incluyen en la definición de fichero. Por otra parte, el artículo 46 del RDLOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 10/27 “Artículo 46. Tratamiento de datos en campañas publicitarias. 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  14. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  15. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  16. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. En el presente caso, se ha producido un tratamiento de los datos personales de los destinatarios para enviarles un folleto de publicidad, en el que figuraban su nombre, apellidos y domicilio postal. Esta acción se realizó por encargo de GAES, que era la empresa cuyos productos se promocionaban en los envíos postales remitidos, para cuya remisión se utilizaron los datos personales de los afectados registrados en un fichero titularidad de la mercantil AGME Direct, empresa a la que GAES encargó la realización de la campaña publicitaria de sus productos y la selección del público objetivo o destinario de la misma mediante la fijación de parámetros, si bien de lo actuado ha quedado probado que ambas empresas participaron en la fijación de los parámetros identificativos de los destinatarios de la campaña. Conforme a las normas expuestas y las reseñadas en los Fundamentos de Derecho siguientes, la entidad GAES interviene como responsable de los tratamientos de los datos personales realizados en el marco de las campañas encargadas por dicha entidad, pues el tratamiento acontecido se enmarca en actividades de prospección comercial cuya beneficiaria es la propia GAES. Aunque GAES no haya realizado materialmente el envío de la comunicación postal promocional denunciada, decidió sobre la finalidad, el contenido y uso del tratamiento de los datos personales utilizados para la realización de la misma, por lo que es responsable del tratamiento efectuado con los datos personales en las acción de marketing reseñadas en los Hechos Probados, ya que determinó realizar dicha campaña encargándosela a su distribuidor AGME Direct, intervino en la delimitación del colectivo de personas a las que debía dirigirse y la forma en que debían tratarse los datos. AGME Direct actúa, en relación con los envíos, como responsable del fichero utilizado para la campaña, conforme a las definiciones reseñadas y en virtud del contrato suscrito con GAES, en el que se estipula que las acciones publicitarias de ésta serán efectuadas sobre C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 11/27 ficheros de datos de carácter personal de la exclusiva responsabilidad de AGME Direct. Y actúa, asimismo, como responsable del tratamiento, de conformidad con la definición del artículo 3.
  17. d)de la LOPD y 5.1.
  18. q)y 46 del RDLOPD, considerando lo estipulado en los Anexos al contrato de prestación de servicios suscritos en fechas 16/03/2016, 13/06/2016 y 14/11/2016, por los que GAES encarga a AGME Direct la realización de las tres campañas que constan reseñadas en los Hechos Probados. En estos Anexos se establecen los criterios para determinar los destinatarios de la misma. Se fijan variables como la edad y áreas geográficas, y de acuerdo con ello AGME Direct extrae de sus ficheros y del resto de ficheros que se indican los destinatarios de la campaña. La indicación de determinados “valores” es lo que el artículo 46.4 del RDLOPD denomina parámetros identificativos de los destinatarios, considerando como tal las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. Es, por tanto, irrelevante que el contrato suscrito por GAES y AGME Direct indique que corresponde a esta última elaborar los listados de destinatarios. En definitiva, de acuerdo con el artículo 43 de la LOPD, AGME Direct ostenta una posición jurídica susceptible de generar responsabilidad por el incumplimiento de dicha norma. De la exposición precedente, se evidencia que el sistema de protección de la LOPD resulta exigible a los responsables del tratamiento aunque carezcan de ficheros, así como a los responsables de los ficheros utilizados e, incluso, a los meros encargados de aquél que incumplan las instrucciones fijadas en el contrato o destinen los datos a otra finalidad o los comunique a terceros (ex. artículo 12.4 de la LOPD). Una interpretación contraria llevaría a que el sistema de protección de datos pudiera quedar vacío de tutela respecto de un número cada vez mayor de tratamientos que se externalizan. III Uno de los principios básicos de la normativa reguladora del tratamiento de datos personales, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 12/27 en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El derecho fundamental a la protección de datos, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, la jurisprudencia y el propio artículo 6 de la LOPD exigen que el tratamiento de los datos personales cuente con el consentimiento de su titular, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD: Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 13/27 tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho”. En el presente caso, se analiza la utilización de los datos personales de los denunciantes para la realización de acciones publicitarias a favor de GAES, y se imputa una infracción de lo dispuesto en el artículo 6 de la LOPD citado. En relación con los tratamientos para actividades de publicidad y prospección comercial, también resulta de aplicación en este caso lo dispuesto en el artículo 30 de la misma Ley Orgánica y el artículo 45 de su Reglamento de desarrollo (además del ya citado artículo 46 de este Reglamento), al haber realizado dicho tratamiento de datos sin haber obtenido previamente el consentimiento de los afectados y sin que exista causa que lo dispense. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
  19. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
  20. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 14/27 el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
  21. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Así pues, tanto la LOPD como, más en concreto, su RLOPD, establecen que el tratamiento de datos personales con fines comerciales sólo es posible cuando exista consentimiento del afectado para ese tipo específico de tratamiento, y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad o, en su caso, sean datos personales procedentes de fuentes accesibles al público. IV En definitiva, el tratamiento de datos con fines publicitarios requiere el consentimiento de los afectados o que sus datos procedan de fuentes de acceso público y los afectados no hayan manifestado su oposición a dicho tratamiento. En el presente caso ha resultado acreditado que GAES realizó una campaña publicitaria cuyos destinatarios eran las personas que constaban en ficheros de AGME Direct, los denunciantes entre ellos. Asimismo, consta acreditado que AGME Direct realizó los envíos postales dirigidos a los domicilios de los destinatarios de la campaña para la promoción de los productos y servicios de GAES, sin que aquella entidad haya aportado justificación alguna para acreditar que disponía del consentimiento de las personas registradas en su fichero “ASTRO”. Por tanto, los datos personales fueron utilizados con fines publicitarios sin que AGME Direct contase con su consentimiento. Y tampoco ha acreditado que concurra alguno de los supuestos que dispensan éste y legitiman el tratamiento de datos acreditado, esto es, la utilización de los datos personales relativos al nombre, apellidos y dirección postal para la realización de envíos promocionales. Así las cosas, los titulares de los datos observan cómo éstos son tratados sin su consentimiento, lo que parece escapar del poder de “disposición y control” que, en palabras del Tribunal Constitucional (STC 292/2000), configura la base del principio de consentimiento al tratamiento de datos personales. Por su parte, el literal del artículo 6 LOPD goza de una claridad palmaria: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por ello, de conformidad con lo previsto en las normas transcritas, los datos personales de los denunciantes debieron ser excluidos de las acciones publicitarias realizadas por AGME Direct en nombre de GAES. De acuerdo con los preceptos transcritos en el anterior Fundamento de Derecho, incumbe al responsable del tratamiento de los datos estar en disposición de probar que cuenta C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 15/27 con el consentimiento inequívoco de su titular, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD, o, al menos, probar que adoptó las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD en su artículo 6.1. En esta línea, se trae a colación la Sentencia de la Audiencia Nacional, de fecha 1 de febrero de 2006, que en cuanto a la prueba de la existencia de un consentimiento inequívoco, señalaba lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. En este mismo sentido se pronunciaba la Audiencia Nacional en su Sentencia de fecha 4 de marzo de 2009, señalando que el consentimiento “tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3.
  22. h)y 6.1 de la LOPD”. El Grupo de Protección de Datos del Artículo 29, creado en virtud del artículo 29 de la Directiva 95/46/CE, como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad (Comité Europeo de Protección de Datos, de acuerdo con el considerando 139 y el artículo 68.1 del Reglamento General de Protección de Datos de la Unión Europea), en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. Acreditado por esta Agencia el uso por parte de la inculpada de los datos personales de los denunciantes con fines de marketing directo, corresponde a AGME Direct estar en condiciones de probar que había obtenido el consentimiento inequívoco de los mismos para el tratamiento con fines de publicidad de sus datos personales, pues, salvo que se encuentre legalmente amparado o se produzca alguna de las excepciones establecidas en el artículo 6.2 de la LOPD, únicamente el consentimiento inequívoco justifica y legitimaría el tratamiento del que se la inculpa. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 16/27 Sin embargo, en las actuaciones efectuadas en el procedimiento no consta que la inculpada haya probado contar con el consentimiento inequívoco de los destinatarios para tratar sus datos personales con fines publicitarios, bien por haber sido facilitados por el propio afectado o por haberse obtenido con su consentimiento para tal finalidad. Tampoco ha justificado la inculpada que concurriera alguno de los supuestos que dispensarían de tal consentimiento, recogidos en los artículos 6.2 y 30.1 de la LOPD legitimando tal tratamiento. Consecuentemente, los datos personales de los afectados fueron utilizados con fines publicitarios por la entidad citada, sin que ésta contase con su consentimiento inequívoco para ello, por lo que se considera infringido el artículo 6.1 de la LOPD por parte de AGME Direct, entidad que resulta responsable de la comisión de dicha infracción. V AGME Direct pretenden excluir su responsabilidad señalando que los datos personales de los afectados utilizados en las campañas fueron correctamente recabados y trasladados por Comunicación Personal B.P.G., S.L. a AGME Direct en virtud de una contrato de fecha 30/07/2013, por el cual esta última entidad adquirió mediante contraprestación los activos de la línea de negocio de marketing directo de aquella compañía, incluida la base de datos de carácter personal. Esta Agencia considera que, a los efectos de la diligencia que resulta exigible a AGME Direct, no basta con dar por ciertas las declaraciones realizadas por Comunicación Personal B.P.G., S.L. en dicho contrato, en el que ésta aseguraba que la información obrante en el fichero se había obtenido de conformidad con lo previsto en la normativa de protección de datos, procediendo, según Comunicación Personal B.P.G., S.L., de los propios interesados medando su consentimiento para su uso con fines comerciales. Para analizar esta cuestión es necesario considerar, además, que AGME Direct no adoptó ninguna cautela para asegurarse de que el fichero adquirido cumplía las exigencias previstas para su utilización posterior con la finalidad expresada, no resultando bastantes a estos efectos, como se ha dicho, las meras manifestaciones de la entidad Comunicación Personal B.P.G. recogidas en el contrato según las cuales los datos incluidos en dicho fichero se recabaron con el consentimiento de los afectados. Sería tanto como admitir que estas manifestaciones son suficientes para obviar el cumplimiento de la normativa aplicable. En relación con esta exigencia de diligencia, AGME Direct no ha probado haber realizado con anterioridad a la firma del mencionado contrato algún tipo de comprobación para verificar el origen de los datos del fichero y que su obtención se había producido con arreglo a lo dispuesto en los artículos 6 y 30.1 de la LOPD y 45.1 del RLOPD respeto al principio del consentimiento. Esta omisión de la inculpada demuestra su absoluta falta de diligencia en el cumplimiento de la normativa de protección de datos. AGME Direct, como responsable del tratamiento, debió adoptar las cautelas necesarias para el cumplimiento de los mandatos de la LOPD y su inobservancia le hace responsable del tratamiento de datos personales de los denunciantes, con independencia de las indicaciones señaladas en el contrato sobre la regularidad del fichero. La culpabilidad de dicha entidad ha quedado acreditada en atención al tratamiento de datos de los denunciantes sin su consentimiento, pues no consta en el procedimiento actuación C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 17/27 alguna tendente a valorar si contaban con su legitimación, habida cuenta de que ni son clientes de GAES, ni constan los datos en fuentes accesibles al público. Tampoco ha aportado ningún indicio del que pueda inferirse que los titulares de los datos personales registrados en su fichero prestaron el consentimiento para su tratamiento con fines publicitarios en los términos recogidos en el artículo 45.1.
  23. b)del RLOPD Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada por el sujeto. En el supuesto analizado, se considera que AGME Direct mostró una evidente falta de diligencia ante la falta de adopción de medidas tendentes a asegurarse de la regularidad del tratamiento de los datos personales de los destinatarios de la campaña publicitaria. De acuerdo con lo dispuesto en el artículo 6 de la LOPD, AGME Direct no ha acreditado que tuviese el consentimiento para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Por las mismas razones expuestas, no cabe apreciar la existencia de interés legítimo, invocado por AGME Direct al amparo del citado contrato por el que adquirió la línea de negocio de Comunicación Personal B.P.G., S.L. El interés legítimo, por otra parte, no opera cuando prevalecen los derechos y libertades de los interesados. VI En el presente caso, ha quedado acreditado que AGME Direct resulta responsable del tratamiento de los datos personales con fines de publicidad y prospección comercial, vulnerando de este modo lo dispuesto en el artículo 6.1 de la LOPD, ya que el uso de los datos de los afectados por dicha empresa se produjo sin mediar el consentimiento de los mismos ni existir habilitación legal para ello, no siendo tampoco aplicables a este supuesto las excepciones previstas en el artículo 6.2 de la LOPD al no producirse ninguna de las circunstancias recogidas en el mismo. Dicha conducta se encuentra tipificada como infracción grave en el citado artículo 44.3.
  24. b)de dicha norma, que establece como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales por parte de AGME Direct, y la exigibilidad del consentimiento viene dada en la norma aplicable. La citada entidad, al tratar los datos sin consentimiento de sus titulares, ha cometido la infracción tipificada en dicho artículo. En este caso la infracción es imputable a AGME Direct en su condición de responsable del tratamiento y como responsable del fichero utilizado en la campaña de publicidad. AGME Direct creo un fichero de datos personales de destinatarios de la campaña publicitaria sobre otros de los que es titular, y por cuenta de GAES los sometió a tratamiento utilizando los datos para la realización de una comunicación postal publicitaria, no habiéndose acreditado ninguna circunstancia que legitime dicho tratamiento de datos. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 18/27 En el presente caso, respecto del tratamiento de datos realizado por cuenta de GAES, se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales para el que era exigible el consentimiento de los afectados, no siendo aplicable ninguna de las excepciones previstas al caso concreto, de modo que los datos personales de los denunciantes no podían utilizarse para acciones de marketing. Por tanto, AGME Direct ha vulnerado el principio del consentimiento regulado en el artículo 6.1 de la LOPD, en relación con lo dispuesto en el artículo 30.1 de la misma norma y con lo previsto en el artículo 45 del RLOPD, conducta que encuentra su tipificación en este artículo 44.3.
  25. b)de la citada Ley Orgánica. VII La entidad imputada ha invocado el principio “non bis in idem”, por cuanto en los dos expedientes de referencia concurren los mismos interesados, hechos y fundamentos. En ambos se pretende imponer una sanción a la entidad AGME Direct por la infracción del artículo 6 de la LOPD por razón de los servicios que presta a GAES. Cabe señalar, en relación con la invocación del principio “non bis in idem” realizada por la entidad imputada, que el mismo no resulta vulnerado cuando se imponen dos sanciones por hechos distintos, aunque estos sean de naturaleza similar y por el mismo infractor. El artículo 31 “Concurrencia de sanciones” de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece que “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los caso en que se aprecie identidad del sujeto, hecho y fundamento”; que coincide con lo que dispuesto en el artículo 133 “Concurrencia de sanciones” de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en vigor hasta el 30/09/2016. Estos preceptos consagran la imposibilidad de que la potestad sancionadora de la Administración pueda desplegarse sobre aquellos ilícitos que con anterioridad hubieran sido objeto de una sanción irrogada por los órganos administrativos. Tal imposibilidad, englobada tradicionalmente en el axioma “non bis in idem”, sucederá cuando entre los hechos ilícitos imputados en un procedimiento administrativos sancionador y los reprimidos con carácter previo se aprecie una triple identidad objetiva o fáctica (iguales hechos), subjetiva (mismo infractor) y causal (identidad de fundamento punitivo) o, como dice la STS 2ª 3 de diciembre de 1991, identidad subjetiva, identidad de objeto e identidad de acción. En el presente caso, no puede ser tenida en cuenta la alegación citada en relación con el citado principio, porque no se aprecian las identidades requerida en los artículos citados, ya que en los procedimientos señalados se analiza el tratamiento de datos personales realizado por AGME Direct correspondientes a campañas publicitarias distintas en cada caso. Los hechos, aunque de similar naturaleza, afectan a tratamientos realizados en distintas campañas publicitarias y en distintas fechas, lo que supone que se trata de hechos distintos. A este respecto, ha de tenerse en cuenta que la efectiva punición de un hecho antijurídico determinado no exonera a su autor, al amparo del “non bis in idem”, de nueva responsabilidades si vuelve a incurrir con posterioridad en la misma conducta. Es, en último término, el supuesto de la “reincidencia penal” solventada de forma adecuada por la jurisprudencia. Así la STS 3ª 7ª 14 de diciembre de 1992 o la STS 3ª 4 de noviembre de 1980: “la permanencia de una infracción observada y sancionada no puede constituir una causa de impunidad que ponga a cubierto al infractor de posibles y sucesivas sanciones si no se corrigen C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 19/27 aquéllas.” Además, advierte sobre lo dispuesto en el artículo 63.6 de la LPACAP, que prohíbe la apertura de nuevos procedimientos sancionadores en supuestos de infracción continuada, “en tanto no haya recaído una primera resolución sancionadora, con carácter ejecutivo”, y entiende que se pretende sancionar mediante los procedimientos de referencia una infracción continuada, a la que se refiere el artículo 29.6 de la misma Ley 40/2015. En este artículo se establece que “será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejante precepto administrativo, en ejecución de un plan preconcebido o aprovechando idéntica ocasión”. La aplicación de estos preceptos sólo podrá considerarse cuando los hechos o conductas tipificados como infracciones infrinjan los mismos o semejantes preceptos administrativos y se realicen aprovechando idéntica ocasión o en ejecución de un plan preconcebido. Sin embargo, AGME Direct no justifica la concurrencia de los elementos subjetivos y objetivos que conforman la infracción continuada. En cualquier caso, los supuestos analizados en los procedimientos de referencia presentan algunas características similares, que resultan de la propia actividad desarrollada por la citada entidad, pero no concurren los elementos necesarios para determinar que las infracciones analizadas en cada caso resulten de la “ejecución de un plan preconcebido por dicha entidad o aprovechando idéntica ocasión”. Se trata de hechos diferenciados que determinan la comisión de varias infracciones. En relación con la infracción continuada y con lo dispuesto en el citado artículo, el Tribunal Supremo, en Sentencia de 07/03/2006, ha declarado que “No basta, por lo tanto, para apreciar la existencia de infracción continuada con la simple reiteración de conductas semejantes, como es el caso de la realización por la recurrente de diversas campañas publicitarias en razón de la actividad a que se dedica, es preciso que esa reiteración de conductas, además de infringir el mismo precepto u otro semejante, responda al mismo proceso psicológico y material, que no es el caso de distintas actuaciones profesionales desarrolladas en el tiempo en razón de las oportunidades comerciales que se plantean y en la medida que, atendiendo a las circunstancias concurrentes que se valoran en cada caso, se van aceptando y contratando de manera independiente y en las condiciones que en cada caso se negocien”. VIII El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 20/27 b Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. AGME Direct ha solicitado la aplicación de este artículo al no existir ninguna sanción anterior. En este caso, se cumplen los presupuestos establecidos en dicho artículo. Sin embargo, la previsión contenida en el mismo se declara expresamente como excepcional y su ponderación corresponde al órgano sancionador, atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. No cabe, por tanto, su aplicación como regla general por el sólo hecho de que se cumplan los presupuestos reseñados. En este caso, atendida la naturaleza de los hechos, y considerando la actividad que desarrolla habitualmente AGME Direct, que obliga a la misma a extremar las cautelas y la diligencia que ha de aplicar en esta materia, no se estima aplicable el citado artículo. IX El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  26. a)El carácter continuado de la infracción.
  27. b)El volumen de los tratamientos efectuados.
  28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  29. d)El volumen de negocio o actividad del infractor.
  30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. f)El grado de intencionalidad.
  32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  36. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  37. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  38. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 21/27
  39. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  40. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La entidad imputada solicita la aplicación del artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  41. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se considera, de conformidad con el art. 45.5 LOPD, que no procede aplicar la escala C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 22/27 de sanciones prevista para las infracciones leves considerando que los hechos denunciados se refieren a envíos postales realizados en el marco de tres campañas publicitarias distintas con un total de destinatarios obtenidos del fichero “ASTRO” de 1.490.504 para la campaña “Primavera 2016”, 2.477.231 para la campaña “OGAU 2016” y 2.856.451 para la “Campaña Europea 2017”. A este respecto, AGME Direct advierte que el acuerdo de apertura del procedimiento consideró la aplicación de lo establecido en el artículo 45.5 de la LOPD, por unas circunstancias que no han cambiado (volumen de negocio de la entidad y ausencia de perjuicios). Pero no tiene en cuenta dicha entidad que se resuelven en este acto los procedimientos acumulados que constan reseñados en los antecedentes, y que en el acuerdo de apertura del procedimiento señalado con el número PS/00378/2017 no se consideró procedente la aplicación de aquel artículo en atención a las circunstancias antes expresadas. Por otra parte, entiende la entidad interesada que procede tener en cuenta la circunstancia prevista en el apartado
  42. e)del artículo 45.5 de la LOPD, teniendo en cuenta que la adquisición de la rama de negocio de la entidad Comunicación Personal B.P.G., S.L. es análoga a la fusión por absorción a la que se refiere dicho precepto. Sin embargo, no cabe apreciar esta circunstancia por cuanto los hechos causantes de la infracción no devienen de una actuación causada por Comunicación Personal B.P.G., S.L., previa a la adquisición de la línea de negocio de marketing por AGME Direct. Para la graduación de la multa correspondiente a este procedimiento, tras las evidencias obtenidas, se tiene en cuenta la vinculación de la actividad de AGME Direct con el tratamiento de datos de carácter personal (criterio c); su actividad de prestación de servicios de marketing (criterio d); los beneficios obtenidos como consecuencia de la comisión de la infracción (criterio e); el volumen de tratamientos de datos que conlleva la campaña realizada por el gran número de destinatarios de la misma (criterio b). Asimismo, se considera que AGME Direct ha mostrado una falta de diligencia en la adopción de medidas adecuadas para gestionar el seguimiento del tratamiento de los datos personales de los destinatarios de sus campañas publicitarias, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cuidado en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD y, sin embargo, su conducta no se ha ajustado, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales (criterio f); y, finalmente, la ausencia de procedimientos de gestión adecuados para impedir la comisión de infracciones de similar naturaleza (criterio j). AGME Direct invoca el principio de proporcionalidad para solicitar la imposición de una multa por el importe mínimo previsto, sin tener en cuenta las circunstancias expuestas, sobre las que no realiza ninguna consideración a pesar de que ya fueron valoradas en la propuesta de resolución que le fue notificada. Teniendo en cuenta los criterios de graduación expresados y las tres campañas publicitarias realizadas, procede la imposición de una sanción en la cuantía de 60.000 euros por la infracción del artículo 6 de la LOPD>>. III C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 23/27 En su escrito de recurso, AGME Direct se limita a reproducir los argumentos puestos de manifiesto en los escritos de alegaciones presentados durante la tramitación del procedimiento que dio lugar a la resolución impugnada, sin considerar los hechos constatados y los fundamentos que determinaron el acuerdo adoptado, en los que se analizan ampliamente las circunstancias puestas de manifiesto por la misma. AGME Direct expone, básicamente, que la resolución impugnada valoró erróneamente la diligencia desplegada por dicha entidad y que no apreció el interés legítimo invocado por esa falta de diligencia. Y ambas cuestiones las fundamenta en el contrato suscrito por la misma con Comunicación Personal B.P.G., S.L., de 30/07/2013, en virtud del cual AGME Direct adquirió la base de datos utilizada para la realización de las campañas de marketing objeto de las actuaciones. Sin embargo, tales alegaciones fueron ampliamente analizadas, y desestimadas, en la resolución impugnada, como puede apreciarse a la vista de los Fundamentos de Derecho antes reproducidos, los cuales no se tienen en cuenta por AGME Direct al formular su recurso. En relación con el citado contrato, se estima conveniente reiterar lo indicado en el Fundamento de Derecho V: “Esta Agencia considera que, a los efectos de la diligencia que resulta exigible a AGME Direct, no basta con dar por ciertas las declaraciones realizadas por Comunicación Personal B.P.G., S.L. en dicho contrato, en el que ésta aseguraba que la información obrante en el fichero se había obtenido de conformidad con lo previsto en la normativa de protección de datos, procediendo, según Comunicación Personal B.P.G., S.L., de los propios interesados medando su consentimiento para su uso con fines comerciales. Para analizar esta cuestión es necesario considerar, además, que AGME Direct no adoptó ninguna cautela para asegurarse de que el fichero adquirido cumplía las exigencias previstas para su utilización posterior con la finalidad expresada, no resultando bastantes a estos efectos, como se ha dicho, las meras manifestaciones de la entidad Comunicación Personal B.P.G. recogidas en el contrato según las cuales los datos incluidos en dicho fichero se recabaron con el consentimiento de los afectados. Sería tanto como admitir que estas manifestaciones son suficientes para obviar el cumplimiento de la normativa aplicable”. “…pues no consta en el procedimiento actuación alguna tendente a valorar si contaban con su legitimación, habida cuenta de que ni son clientes de GAES, ni constan los datos en fuentes accesibles al público. Tampoco ha aportado ningún indicio del que pueda inferirse que los titulares de los datos personales registrados en su fichero prestaron el consentimiento para su tratamiento con fines publicitarios en los términos recogidos en el artículo 45.1.
  43. b)del RLOPD”. “Por las mismas razones expuestas, no cabe apreciar la existencia de interés legítimo, invocado por AGME Direct al amparo del citado contrato por el que adquirió la línea de negocio de Comunicación Personal B.P.G., S.L. El interés legítimo, por otra parte, no opera cuando prevalecen los derechos y libertades de los interesados”. En relación con el interés legítimo, señala AGME Direct que la venta de la línea de negocio que conlleva el contrato suscrito con Comunicación Personal B.P.G., S.L. se encuentra entre las condiciones que regula el artículo 6 del Reglamento UE 2016/679, de 27 de abril, a efectos de determinar que el tratamiento es lícito. A este respecto, cabe señalar, por un lado, que el citado Reglamento no es aplicable al presente caso por razones temporales obvias (de C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 24/27 acuerdo con su artículo 99.2, dicho Reglamento “será aplicable a partir del 25 de mayo de 2018”); y por otro lado, que no es cierto que el mencionado contrato figure entre las causas que legitiman al tratamiento (cabe apreciar interés legítimo cuando el tratamiento de los datos personales sea necesario para el cumplimiento de un contrato en el que sea parte el titular de tales datos). El citado artículo 6 del Reglamento UE 2016/679, referido a la “Licitud del tratamiento”, expresamente se refiere en su apartado 1, letra b), al tratamiento “necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. Sobre esta misma cuestión, alega también AGME Direct que procede apreciar el interés legítimo en los supuestos contemplados en la letra
  44. f)del mismo artículo 6.1 del mencionado Reglamento UE, referido a tratamientos necesarios “para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento”, advirtiendo al respecto que el mismo Reglamento General de Protección de Datos, en su Considerando 47, incluye expresamente entre estos supuestos “El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. El Considerando 47 señala lo siguiente: “El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. Del contenido de este Considerando interesa destacar, especialmente, que el interés legítimo constituye una base jurídica para el tratamiento teniendo en cuenta las expectativas razonables del interesado, según la relación que mantiene con el responsable o si el mismo pudo prever el tratamiento de que se trate en el momento de la recogida de los datos, también de “forma razonable”, de modo que si no concurrieron circunstancias que permitieran al interesado esperar que se realice un tratamiento ulterior, prevalecerán sus intereses y derechos fundamentales. En modo alguno puede estimarse que la utilización de los datos personales con fines de mercadotecnia puede realizarse sin ninguna limitación y sin establecer garantías para el C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 25/27 afectado. Aquellas previsiones no concurren en el presente supuesto, en el que los afectados no tienen relación alguna con la recurrente, ni ésta recabó los datos directamente de los mismos. Ni siquiera en este caso se conoce el origen delos datos utilizados para la realización de las campañas publicitarias. Siendo así, los destinatarios del a publicidad no esperan que AGME Direct trate sus datos personales con fines publicitarios ni concurre ninguna circunstancias que les permitiera tener alguna expectativa al respecto. Esta misma cuestión ha sido analizada por el Gabinete Jurídico de la AEPD en su Informe número 0195/2017. Según este informe, la causa legitimadora contenida en el artículo 6.1
  45. f)del Reglamento UE 2016/679, en casos de tratamientos de datos para fines de mercadotecnia no realizados a través de medios electrónicos, a los que no es de aplicación la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la información y comercio electrónico (LSSI), puede ser apreciada cuando se traten datos personales de clientes de la entidad responsable y se publiciten productos y servicios similares a los que inicialmente fueron adquiridos o contratados por el mismo, teniendo en cuenta siempre, en el juicio de ponderación que procede realizar para determinar qué ha de considerarse “producto o servicio similar”, la expectativa razonable del cliente. Y añade que la ponderación “no operaría cuando se tratase de publicidad u oferta de productos o servicios que no guardan relación con la actividad de la entidad, sino que la acción publicitaria deriva de la existencia de un determinado acuerdo con el anunciante al que se refiriese la publicidad”. Por otra parte, señala el Informe reseñado que “la ponderación que acaba de realizarse sería aplicable a los supuestos en que el interesado mantuviera una relación con la entidad, sin afectar a aquéllos en que el cliente hubiese cesado en esa relación”. Y concluye que, “siempre partiendo de que las entidades darían pleno cumplimiento a sus obligaciones de transparencia, conforme a los artículos 13 y 14 del Reglamento general de protección de datos, estableciendo además un procedimiento sencillo para el ejercicio del derecho de oposición, cabría considerar que el tratamiento podría ampararse en el artículo 6.1
  46. f)del citado Reglamento cuando las acciones se llevasen a cabo por medios no electrónicos, el afectado siguiese siendo cliente de la entidad y los productos o servicios ofertados puedan considerarse “similares” a los contratados por el cliente”. IV Por otra parte, tampoco en cuanto a la graduación de la sanción se aporta ninguna razón que justifique estimar el recurso, que reproduce una vez más las alegaciones anteriores, casi de forma literal, tanto en relación con la aplicación del artículo 45.5 como en relación con los criterios de graduación del artículo 45.4. A este respecto, se estima suficiente con remitir la respuesta a lo argumentado en el Fundamento de Derecho IX de la resolución impugnada. No obstante, se reproducen a continuación los criterios tenidos en cuenta para determinar la cuantía de la multa, para destacar que no han sido referidos por AGME Direct, a pesar de su notoriedad: C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 26/27 “Para la graduación de la multa correspondiente a este procedimiento, tras las evidencias obtenidas, se tiene en cuenta la vinculación de la actividad de AGME Direct con el tratamiento de datos de carácter personal (criterio c); su actividad de prestación de servicios de marketing (criterio d); los beneficios obtenidos como consecuencia de la comisión de la infracción (criterio e); el volumen de tratamientos de datos que conlleva la campaña realizada por el gran número de destinatarios de la misma (criterio b). Asimismo, se considera que AGME Direct ha mostrado una falta de diligencia en la adopción de medidas adecuadas para gestionar el seguimiento del tratamiento de los datos personales de los destinatarios de sus campañas publicitarias, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cuidado en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD y, sin embargo, su conducta no se ha ajustado, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales (criterio f); y, finalmente, la ausencia de procedimientos de gestión adecuados para impedir la comisión de infracciones de similar naturaleza (criterio j)”. En consecuencia, en este caso, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución de 19/12/2017, en la que se acordó imponer a la misma una sanción por la infracción de lo establecido en el artículo 6 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AGME DIRECT, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de diciembre de 2017, en el procedimiento sancionador PS/00353/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad AGME DIRECT, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  47. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 27/27 desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.