← España

REPOSICION-PS-00435-2015

1/8 Procedimiento nº.: PS/00435/2015 ASUNTO: Recurso de Reposición Nº RR/00166/2016 Examinado el recurso de reposición interpuesto por la entidad PLENISAN, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00435/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 29 de enero de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00435/2015, en virtud de la cual se imponía a la entidad PLENISAN, S.L., una multa de 40.001 euros (cuarenta mil un euro) por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la LOPD, de conformidad con lo establecido en el artículo 45 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 03/02/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00435/2015, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- En fecha de 05/09/2014 la denunciante recibe en su domicilio una comunicación comercial por vía postal en la que se invita a un evento que se realizara en el Hotel Zenit Conde Orgaz de Madrid en fecha de 09/05/2014 de PLENISAN, S.L. informando que los datos utilizados provienen de un fichero propiedad de MACRO SELECT PRINT, S.L., (Folio 5) DOS.- PLENISAN S.L., tiene un contrato con MACRO SELECT PRINT, S.L. en cuya ejecución corresponde a esta la determinación de las direcciones en un fichero de su titularidad, y tras las comprobaciones realizadas se acredita que la determinación de direcciones se realiza previa elección por parte de aquella de la localidad donde se realizara el evento comercial que consta en la publicidad enviada. (Folios 31-34, 102, 110). TRES.- PLENISAN, S.L. determina los destinatarios de la acción comercial dirigiéndose a MACRO SELECT PRINT, S.L. para que genere un fichero con registros de una determinada localidad y tras el diseño de la creatividad publicitaria, remite a MEYDIS, S.L. las piezas publicitarias para su puesta en envío en correos. (Folios 31-34, 102, 110 CUATRO.- PLENISAN S.L., tiene un contrato con MEYDIS, S.L. en virtud del cual esta empresa realiza labores de ensobrado de piezas publicitarias y envío a través de correos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 CINCO.- En fecha de 03/07/2014 PLENISAN, S.L. reservo el Hotel Zenit Conde Orgaz para la realización en fecha de 04/09/2014 del evento comercial que promociona sus productos y cuya pieza publicitaria contenía los datos personales de la denunciante. ( folios 94 a 97) SEIS.- Desde principios del año 2014 PLENISAN, S.L. recibe en sus cuentas de correo electrónico comunicaciones de destinatarios de la carta invitación de sus eventos comerciales en el que comunican que los destinatarios corresponden a personas fallecidas, y otras tienen por objeto negar el consentimiento para utilizar sus datos solicitando la baja de sus envíos. (Folios 120 y siguientes) SIETE.- Mediante escrito de fecha 27/10/2015 se comunicó a MACRO SELECT PRINT, S.L. la realización de una inspección presencial en la sede de ésta al objeto de examinar el fichero sobre el que realiza la segmentación de direcciones previa a instancias de PLENISAN, S.L., sin poder realizarla dado que nadie se encontraba en el lugar. Se realizó una llamada al teléfono del administrador de la entidad sin ser contestada. (Folio 105 a 106) y se acudió al domicilio del mismo al objeto de concertar otra fecha para la inspección, sin poder contactar. OCHO.- En la inspección realizada en la sede de PLENISAN, S.L. se solicitó la identidad de personas de contacto de MACRO SELECT PRINT, S.L. y esta informo que se relacionan a través de dos personas ***NOMBRE.1 y ***NOMBRE.2, que tras las comprobaciones realizas consta que prestan servicios en MEYDIS, S.L. (Folio 111, y 170 bis, ter, quater, cinco, seis y siete). En concreto la segunda persona mediante conversación telefónica asegura que trabaja en MEYDIS, S.L., (folio 168) NUEVE.- MEYDIS, S.L. tiene disposición y control sobre el fichero de MACRO SELECT PRINT, S.L. ya que a petición de PLENISAN, S.L. remitió una muestra de registros de la provincia de LEON para su aportación por PLENISAN, S.L. en otro procedimiento instruido por la Agencia Española de Protección de Datos por hechos similares. (Folios 153 a 154). TERCERO: PLENISAN, S.L. ha presentado en fecha 03/03 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en: Indefensión por vulneración del art. 46.2 RDLOPD. No se ha acreditado que se determinen parámetros por Plenisan. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 II En relación con las manifestaciones efectuadas por PLENISAN, S.L., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho IV, de la Resolución recurrida, tal como se transcribe a continuación: (….) Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
  2. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  3. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  4. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso ha resultado acreditado que PLENISAN, S.L. realizó una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 campaña publicitaria cuyos destinatarios eran las personas que constaban en el fichero de MACRO SELECT PRINT, S.L. y que tras la instrucción del presente expediente sancionador, ha resultado que no contenía el consentimiento del denunciante. Las alegaciones de PLENISAN, S.L., la documentación aportada ( contrato y factura con MACRO SELECT PRINT, S.L. ) así como la prueba testifical solicitada, persiguen excluir del régimen de responsabilidad por incumplimiento de la LOPD a PLENISAN, S.L. en la medida en que no ha intervenido en el tratamiento de los datos, ya que la determinación de los parámetros la realizo MACRO SELECT PRINT, S.L. y además tomo las cautelas debidas para conocer la legalidad del fichero como muestreo de comprobaciones del citado fichero. Sin embargo, tras la prueba practicada se deduce que no es tal como ha alegado PLENISAN, S.L. y MACRO SELECT PRINT, S.L. en sus escritos la participación de ambas en el modo de realización de la campaña. A saber: La participación de PLENISAN, S.L. como responsable del tratamiento de acuerdo con el art. 46 del RDLOPD ha resultado acreditada tras la prueba practicada y su valoración conjunta. PLENISAN, S.L. determina el lugar dónde va a realizarse el evento al contratar con el establecimiento hotelero en cuestión, y sobre esa elección solicita a MSP en ejecución del contrato, la selección de los registros destinatarios de la acción publicitaria. La entidad denunciada insiste en sus alegaciones formuladas a la propuesta de resolución en que la prueba documental aportada y la testifical practicada conducen a la afirmación de que PLENISAN, S.L. no interviene en el tratamiento denunciada. Sin embargo tanto a PLENISAN, S.L. como a MACRO SELECT PRINT, S.L. han tenido sendas oportunidades de probar, con algo más que manifestaciones, una factura y un contrato estandarizado de los que no se deriva sin asomo de dudas campaña concreta, los hechos que aducen. Si bien MACRO SELETC PRINT, S.L., aportó una versión que coincidía, en principio, con lo alegado por PLENISAN, S.L., el Instructor del procedimiento mediante escrito de fecha 29/10/2015 obrante en los folios 98 a 101, requirió la subsanación y acreditación de los manifestado, sin que se hubiera podido notificar, por causas ajenas a la AEPD. Es más, si bien el Instructor realizó esa solicitud de aclaración a MACRO SELECT PRINT, S.L., las cuestiones solicitadas, en caso de existir tal como habían manifestado ambas entidades, podría haberlas acreditado la propia PLENISAN, S.L. cuando tuvo conocimiento de la notificación infructuosa a MACRO SELECT PRINT, S.L. y nada ha hecho en ese sentido a pesar de que el resultado de lo requerido hubiera jugado en apoyo a sus alegaciones respecto de quién y cómo se realizan sus campañas de las que deriva el tratamiento de datos analizado. Asimismo debe tenerse en cuenta que la “versión” de la participación en los hechos que aduce PLENISAN, S.L. en sus escritos, es contraria a lo manifestado por sus representantes cuando se realiza la Inspección presencial en su sede, en las que reconocen expresamente: (…) b. Respecto del funcionamiento de la entidad con MSP, informan que: -la entidad elige una localidad y contrato un hotel en la misma, donde se realizara la demostración comercial y captación de clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 -concertado el hotel, se comunica a MSP el lugar y fecha en que se realizara el evento, ya sea por teléfono, correo electrónico o fax. -MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS. (…). En el mismo sentido, contradice la “versión” de cómo suceden las campañas publicitarias que dieron tanto MACRO SELECT PRINT, como PLENISAN, S.L. la prueba practicada respecto de la elección del lugar de celebración del acto y cuya trascendencia es esencial en el tratamiento de datos personales denunciado. Ya que es PLENISAN, S.L. y no MACRO SELECT PRINT, S.L. (Como ambos afirmaban) quien reserva el establecimiento y fija, por tanto, la localidad y localidades a las que es necesario remitir la carta de invitación que recoge los datos personales y que va a determinar someter a tratamiento los datos personales de los vecinos de una localidad o de otra. En conclusión, es cuanto menos sorprendente que cuando PLENISAN, S.L. y MACRO SELECT PRINT, S.L. son conocedores de los trámites próximos que les corresponden en el procedimiento ( alegaciones y una prueba testifical) y por tanto con antelación y en su caso, asesoramiento legal en el ejercicio legítimo de su derecho de defensa, manifiestan una cosa, y sin embargo cuando se practica una Inspección sin previo aviso, o no se tiene conocimiento de la solicitud de subsanación de lo manifestado por una de ellas a preguntas de la otra ( folios 98 a 101), o bien se practica una testifical a un tercero no interesado en el procedimiento ( establecimiento Hotelero FOLIOS 102 A 104) el resultado es radicalmente opuesto: PLENISAN, S.L. selecciona el lugar ( localidad y hotel) y sobre esa elección comunica a MACRO SELECT PRINT, S.L. la extracción/creación de un fichero de esa localidad y colindantes. Estos hechos determinan que los parámetros identificativos de los destinatarios, es decir, las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma, se realiza por PLENISAN, S.L., o dicho de otro modo, sin la elección del lugar y por tanto de la localidad donde se va a realizar el evento por parte de PLENISAN, S.L, el titular del fichero, esto es, MACRO SELECT PRINT, S.L. no tendría indicación alguna sobre qué registros extraer un fichero ya depurado de su base de datos general, para realizar la campaña en cuestión. PLENISAN S.L., tiene pleno control sobre los actos que conlleva la realización de la campaña y el sometimiento a tratamiento de los datos personales de los destinatarios, tanto es así, que contrata con MSP y con MEYDIS, S.L. para que de acuerdo con sus instrucciones se realice de un modo o de otro las campañas de cuya publicidad es beneficiaria. En concreto, el servicio que por contrato presta MEYDIS, S.L. implica el tratamiento de los datos personales de los destinatarios cuyos datos constan en las piezas publicitarias. (Véase las clausulas en las que expresamente se recoge que MEYDIS, S.L., actúa siempre bajo las instrucciones de PLENISAN, S.L.). Por eso también PLENISAN, S.L. se convierte en responsable del tratamiento de datos que realiza MEYDIS, S.L. siendo ésta su encargada de tratamiento, ya que en ejecución del contrato de servicios, se realiza un tratamiento de datos por cuenta de PLENISAN, S.L. decidiendo así (…) sobre la finalidad, contenido y uso del tratamiento (…) ex art. 3 LOPD en lo referente al concepto de responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En el Anexo de fecha 10/04/2015 obrante en el folio 113 y cuya finalidad es la de testimoniar el cambio de denominación de SISTEMAS MEDICOS PROFESIONALES, por PLENISAN, S.L. consta que (…) I.- Que, con fecha de 6 de mayo de 2013 se suscribió un entre las partes un contrato de prestación de servicios de datos de carácter personal, del cual este documento es Addenda, y que se encuentra vigente a día de hoy (…) lo que despeja cualquier duda acerca de la condición de responsable del tratamiento de PLENISAN, S.L. en relación con la actividad contratada con MEYDIS, S.L. MACRO SELECT PRINT, S.L. es responsable del fichero donde se encuentran los datos personales del denunciante, y cuya selección se realiza previa indicación por parte de PLENISAN, S.L en relación con los domicilios cercanos al lugar donde se va a realizar el evento comercial, que con suficiente antelación ha determinado esta última (Así ha quedado probado en la medida en que el evento en cuestión se realiza en fecha de 28/10/2014 y consta que la reserva se realizó por PLENISAN, S.L. en fecha de 09/09/2015 ). En el mismo sentido se expresó el Instructor la Propuesta de Resolución al valorar la prueba practicada: (….) tras la prueba practicada se deduce que no es tal como ha alegado PLENISAN, S.L. y MACRO SELECT PRINT, S.L. en sus escritos. A saber: I. No es tal como afirman ambas empresas, una en sus alegaciones ( PLENISAN, S.L.,) y la otra ( MACRO SELECT PRINT) a preguntas de la propia PLENISAN, S.L. que (…)el diseño y ejecución son realizados exclusivamente por Macro Select Print, sin ninguna intervención de Plenisan(…).( Folio 63, 64, 67 y 91) II. Tampoco es tal la mecánica de las campañas, como afirma MACRO SELECT PRINT, S.L., que (…) MSP elige un lugar y fecha en el que el cliente pueda presentar y vender sus productos con éxito, alquilo un local para que se haga el acto de venta y envío cartas de convocatoria a ese evento (…)( Folio 63, 64, 67 y 91) III. Y tampoco es tal que PLENISAN, S.L., previamente a las campañas solicite un muestreo de potenciales destinatarios cuyos datos puedan ser objeto de tratamiento de acuerdo con la LOPD y aun admitiéndolo no es prueba de garantía de legalidad de LOPD, por las razones que se expondrán. (Folios 80 a 81) Los hechos que PLENISAN, S.L. a través de sus alegaciones, documentación (contratos, facturas, etc...) pretenden poner de manifiesto y que de modo resumido se han recogido en los puntos precedentes y cuya finalidad únicamente es eludir el régimen sancionador de la LOPD y han sido contradichos en base a las siguientes conclusiones: Es precisamente PLENISAN, S.L. la que selecciona el lugar donde va a realizar el acto promocional, contratando el hotel en cuestión y solicitando a MACRO SELECT PRINT, S.L., los registros de destinatarios de dicha localidad, determinándose por aquella el público objetivo al que se van a dirigir las acciones publicitarias, es decir, determina los parámetros del tratamiento. Así ha quedado demostrado con las manifestaciones del HOTEL en cuestión y la documentación aportada obrante en los folios 95 a 97 y 102 a 104. La entidad PLENISAN, S.L. reservo ya desde el mes de julio las salas donde se iba a celebrar el evento de fecha 9/09/2014 y sobre esa elección de PLENISAN, S.L, MSP obtuvo de su fichero ese público destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 En el mismo sentido constan las manifestaciones de los representantes de PLENISAN, S.L. obtenidas en la Inspección realizada en fecha de 03/11/2015 en la que afirman que eligen una localidad y contratan un hotel en la misma y concertado el hotel se comunica a MSP (Folio 110) para que esta selecciones los destinatarios de una concreta localidad. También PLENISAN, S.L. manifiesta en su escrito de alegaciones pág. 8 que (…) el proveedor elabora un plan de marketing, definiendo los intereses y objetivos comerciales a cumplir(…) circunstancia que de ser cierta estaría en posición de acreditar documentalmente más allá de la solicitud de una prueba testifical de MACRO SELECT PRINT, S.L. y que tras la valoración en conjunto de las pruebas, se deduce que sus alegaciones están “dirigidas” con la única finalidad de dibujar una modelo de negocio que ha sido contradicho. En concreto la acreditación de estos extremos fue solicitada expresamente por el Instructor a MACRO SELECT PRINT, S.L. resultando la carta devuelta a la misma dirección (folios 98 a 101), en la que sí se pudo notificar precisamente las preguntas realizadas a instancias de PLENISAN, S.L. y sobre las que versaba la solicitud de acreditación que realizó el instructor. Asimismo afirman que (…) MSP realiza la selección de las personas a convocar, generando un fichero (…), siendo lo fundamental que previamente PLENISAN, S.L. ha seleccionado la localidad donde va a realizar el evento, por lo que queda acreditado que es PLENISAN, S.L., y no MSP, es la que determina los destinatarios, cuestión distinta es que sobre esa elección, ya es MSP la que pueda remitir únicamente los destinatarios de dicha localidad en un fichero generado previa determinación de la localidad por PLENISAN, S.L.,. Por lo que de acuerdo con el art. 46.4 RDLOPD esa elección es la única variable utilizada para identificar el público objetivo destinatario, que se ha acreditado en el expediente (Se consideran parámetros identificativos: las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma.) Por lo que estamos ante el supuestos previsto en el art. 46.2
  5. a)del RDLOPD trascrito en el Fundamento de Derecho IV. (…) Por lo expuesto cabe concluir que PLENISAN, S.L. es responsable del tratamiento de acuerdo con el art. 46 del RDLOPD y 3
  6. d)de la LOPD. Por su parte MACRO SELECT PRINT, S.L. es responsable del fichero de acuerdo con el art. 3
  7. d)de la LOPD. (….) No obstante lo anterior, PLENISAN, S.L. es responsable del tratamiento, además de por lo indicado anteriormente, por su relación con MEYDIS, S.L. ya que ésta realiza un tratamiento de datos por cuenta de aquella. III Por lo tanto, en el presente recurso de reposición, PLENISAN, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PLENISAN, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de enero de 2016, en el procedimiento sancionador PS/00435/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad PLENISAN, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.