1/8 Procedimiento nº.: PS/00532/2017 ASUNTO: Recurso de Reposición Nº RR/00092/2018 Examinado el recurso de reposición interpuesto por la entidad INFORMACION PRIVILEGIADA, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00532/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de diciembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00532/2017, en virtud de la cual se imponía a INFORMACION PRIVILEGIADA, S.L., por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD, una multa de 50.000 € ( cincuenta mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD, y por la infracción del artículo 40 de la LOPD, tipificada como grave en el artículo 44.3
- j)de la LOPD, una multa de 50.000 € ( cincuenta mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 5/01/2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00532/2017, quedó constancia de los siguientes: <<HECHOS PROBADOS UNO.- Entre los meses de enero a noviembre 2016 y de enero a agosto de 2017, los denunciantes han recibido varios envíos publicitarios, dirigidos a personas mayores de 45 años, en los que se ha utilizado sus datos personales (nombre y apellidos y domicilio), para la invitación a un evento de exposición comercial de la entidad GRUPO MEDISALUD TV, figurando, en el pie de dicha invitación “Los datos utilizados para este envío publicitario tienen su origen en INFORMACION PRIVILEGIADA, S.L. Usted puede ejercer los derechos de acceso, rectificación, cancelación u oposición dirigiéndose a la siguiente dirección: ***DIRECCIÓN.2 MADRID (Tfno.: ***TLF.1)”, y en otros, consta la dirección ***DIRECCIÓN.1 MADRID. DOS.- La Inspección de Datos ha verificado que los datos de los denunciantes no constan en los repertorios electrónicos de clientes del Servicio Telefónico Básico denominados “páginasblancas” e “infobel”. TRES.- Las empresas MEDISALUD (CLIENTE) e INFORMACION PRIVILEGIADA, S.L. (PROVEEDOR) suscribieron un Contrato de prestación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 servicios de suministro de bases de datos para marketing, con fecha de 18 de septiembre de 2015, en la cláusula 2.2 figura lo siguiente: 2.2. - El PROVEEDOR se compromete a que los datos suministrados al CLIENTE cumplan las exigencias de la Ley 15/1999 (LOPD). En ningún caso se realizará una campaña si el PROVEEDOR no está seguro de que los datos que se van a utilizar cumplen dicha normativa y, en especial, las siguientes exigencias: Que, bien el interesado ha dado su consentimiento para el envío de la publicidad, sin que lo haya revocado o que los datos procedan de los repertorios telefónicos vigentes en la fecha. Dichos repertorios deberán estar vigentes y podrán ser completados con datos de piso y puerta procedentes de otras fuentes accesibles al público de las previstas en el artículo 3
- j)de la LOPD u obtenidos con consentimiento informado de los interesados. Que los datos se encuentren actualizados. Que hayan sido previamente cruzados con las listas de exclusión de comunicaciones comerciales CUATRO.- En la factura emitida por la empresa INFORMACION PRIVILEGIADA a MEDISALUD, con fecha de 31 de octubre de 2016, por los servicios de la campaña del denunciante1 se detalla “Identificación y segmentación de áreas de influencias en las zonas residenciales donde se celebra el evento. Generación de BBDD (…), cantidad 535.820”. En el justificante de los envíos realizados con expresión de los parámetros identificativos”, de fecha 27 de octubre de 2016, consta perfil “HyM 55-77 Edad”, una relación de poblaciones de la provincia de Barcelona con un total de “2.973” envíos. CINCO.- En relación con las campañas de marketing, entre las que se encuentran, las recibidas por la denunciante2, constan “4” facturas emitidas por INFORMACION PRIVILEGIADA a MEDISALUD, por los conceptos de “realización de campañas para organizar eventos, identificación y segmentación de áreas de influencia donde se celebra el evento y generación de BBDD” por cantidad “1.152.596”, “593.851”, “94.877” y “537.755” total “2.329.079”. SEIS.- La Inspección de Datos de la Agencia Española de Protección de Datos los funcionarios se personaron a los efectos de realizar actuaciones previas de inspección, en el domicilio social de la entidad que consta en el Registro Mercantil y en la dirección que consta en los envíos publicitarios, sin hallarse nadie presente. SIETE.- INFORMACION PRIVILEGIADA, S.L., manifestó reiteradas ocasiones a la Inspección de la Agencia Española de Protección de Datos que no permitirá ser inspeccionado: la Inspección de Datos remite escrito a la entidad, informando que van a proceder a realizar inspección en el establecimiento de la compañía sito en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 dirección ***DIRECCIÓN.1 de Madrid, el día 18 de octubre de 2017, habiendo sido entregado en destino el día 11 de octubre de 2017. OCHO.-Con fecha de 17 de octubre de 2017, se recibe en la Inspección de Datos escrito, del Abogado de la entidad en el que comunica que no iba a dar su consentimiento a ser inspeccionado. NUEVE.- Los inspectores de la AEPD se personaron, el día 18 de octubre de 2017, en el domicilio de la compañía IP, ***DIRECCIÓN.1 de Madrid, Centro de Negocios Lexington, informando la recepcionista que no se encontraba presente el administrador de la sociedad. Posteriormente, el abogado de la empresa se puso en contacto con los inspectores reiterando el contenido del escrito del día anterior indicando que no recibirá a los mismos. TERCERO: INFORMACION PRIVILEGIADA, S.L. (en lo sucesivo el recurrente) ha presentado en fecha 5 de febrero de 2018, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en la caducidad de las actuaciones previas de inspección por sobrepasar el plazo de 12 meses que establece el art. 122 RDLOPD. La notificación del acuerdo de incoación fue notificada en fecha de 10/11/2017 y las denuncias interpuestas son de fechas 6/09/2016 y 6/11/2016. En relación con la obstrucción a la función inspectora debe indicarse que MEDISALUD aporto toda la documentación requerida por la AEPD, y esa es la razón por la que no se cumplió con los requerimientos. La negativa a entregar la documentación requerida se encuentra amparada por el art. 17.1 de la Ley 1/1998, de Derechos y Garantías del Contribuyente. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con el primer motivo de impugnación del presente recurso de reposición, debe acudirse a lo establecido en el art. 122.4 del RDLOPD: 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. En primer término, es preciso señalar que la primera de las dos denuncias, tiene entrada en fecha de 6/11/2016 y la segunda en fecha de 6/09/2017, estableciéndose así el dies a quo para iniciar el cómputo de 12 meses, que el art. 122 RDLOPD establece como límite máximo de duración de las actuaciones previas, en fecha de 7/11/2016, siendo por tanto el dies ad quem la fecha de 6/11/2017. Definidos los límites temporales ex art. 122.4 RDLOPD, es preciso indicar lo señalado en el antecedente cuarto de la resolución recurrida (…) La notificación del Acuerdo de Inicio, según consta en certificado del Servicio de soporte de Notificaciones electrónicas y Dirección electrónica Habilitada de la FNMT de 16/11/2017, fue puesta a disposición en fecha de 31/10/2017 y tras el plazo previsto en el art. 43 de la Ley 39/2015, de 1 de Octubre del Procedimiento Administrativo Común, y de acuerdo con lo dispuesto en el art. 41.5 de la misma norma, se entendió cumplido dicho trámite en fecha de 10/11/2017(…) Establece el artículo 43. 2 y 3 de la Ley 39/2015, de 1 de Octubre del Procedimiento Administrativo Común que: 2. Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido. Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido. 3. Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única. Establece el artículo 40.4 de la Ley 39/2015, de 1 de Octubre del Procedimiento Administrativo Común, que: 4. Sin perjuicio de lo establecido en el apartado anterior, y a los solos efectos de entender cumplida la obligación de notificar dentro del plazo máximo de duración de los procedimientos, será suficiente la notificación que contenga, cuando menos, el texto íntegro de la resolución, así como el intento de notificación debidamente acreditado. Por lo expuesto, debe indicarse que si bien se efectuó el trámite de la notificación en fecha de 10/11/2017, a los efectos previstos en el art. 40.4 LPACAP, y art. 122.4 RDLOPD, con la puesta a disposición de la notificación en la dirección electrónica habilitada del denunciado se entiende cumplida la obligación de notificar dentro del plazo máximo de duración de los procedimientos, lo que se produjo en fecha de 31/10/2017 y por tanto dentro del límite temporal de los 12 meses, que se producía en fecha de 6/11/2017 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En relación al segundo motivo de impugnación, debe partirse de que la norma invocada por el recurrente no es de aplicación en el presente supuesto pues trata de procedimientos de gestión tributaria, y obviamente, fuera del ámbito material que establece el artículo 1 de la LOPD. Asimismo, en relación con la jurisprudencia citada por el recurrente, hay que indicar que el hecho objetivo que sustenta la comisión de la infracción del art. 40 LOPD, prevista y tipificada en el art. 44.3 j de la misma norma, no se reconduce al ejercicio del derecho del administrado consistente en no aportar documentos que ya obran en poder de la administración requirente, pues precisamente por la reiterada negativa a permitir las inspecciones presenciales previstas, no puede conocer la documentación que podría habérsele requerido, a tal efecto se transcribe a continuación de modo parcial el Fundamento de Derecho IV y V de la resolución recurrida: (…)IV De los citados preceptos se deduce claramente que la Agencia Española de Protección de Datos se encuentra habilitada, por Ley, para realizar funciones inspectoras con una finalidad de control de la aplicación de la LOPD. Así, las actuaciones inspectoras se enmarcan dentro de las facultades de control que la mencionada Ley Orgánica encomienda a la Agencia, a fin de asegurar la máxima eficacia en la aplicación de sus disposiciones. En el marco de estas competencias, con el propósito de realizar la oportuna investigación sobre los hechos denunciados, por la Inspección de Datos de la Agencia Española de Protección de Datos los funcionarios se personaron en dos ocasiones en el domicilio social de la entidad que consta en el Registro Mercantil y en la dirección que consta en los envíos publicitarios, sin hallarse nadie presente. La Inspección de Datos remite escrito a la entidad, informando que van a proceder a realizar inspección en el establecimiento de la compañía sito en la dirección ***DIRECCIÓN.1 de Madrid, el día 18 de octubre de 2017, habiendo sido entregado en destino el día 11 de octubre de 2017. Con fecha de 17 de octubre de 2017, se recibe en la Inspección de Datos escrito, del Abogado de la entidad en el que comunica que no iba a dar su consentimiento a ser inspeccionado,. Finalmente, los inspectores de la AEPD se personaron, el día 18 de octubre de 2017, en el domicilio de la compañía IP, ***DIRECCIÓN.1 de Madrid, Centro de Negocios Lexington, informando la recepcionista que no se encontraba presente el administrador de la sociedad. Posteriormente, el abogado de la empresa se puso en contacto con los inspectores reiterando el contenido del escrito del día anterior indicando que no recibirá a los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 La actitud de la entidad investigada, al manifestar en dos ocasiones que no iba a permitir la realización de actuaciones inspectoras por parte de la Agencia, constituye sin ningún género de duda una firme oposición al ejercicio de las funciones que tiene atribuida la Agencia Española de Protección de Datos, en los artículos antes citados, lo que supone una infracción del citado artículo 40 de la LOPD por parte de INFORMACION PRIVILEGIADA, S.L. V El artículo 44.3.
- j)de la LOPD tipifica como infracción grave “La obstrucción al ejercicio de la función inspectora”. Obstruir, según el Diccionario de la Real Academia Española, en sus significaciones más acordes con el presente supuesto, equivale a “impedir la operación de un agente, sea en lo físico, sea en lo inmaterial”, o a “impedir la acción”. En consecuencia, bastará con dificultar, poner obstáculos o no colaborar para que pueda estimarse la conducta recogida en el artículo 44.3.j), y ello sin perjuicio, y al margen, de que se llegue o no al conocimiento de los datos o de la actividad investigada, pues lo que se sanciona no es un resultado sino una conducta que obstruye la tarea inspectora. De acuerdo con lo señalado, constituye infracción grave no permitir a los Servicios de Inspección de la Agencia Española de Protección de Datos el acceso a los locales, en los que se encuentren los ficheros que constituyan el objeto de la investigación, así como no proporcionar los documentos e informaciones que le sean requeridos por los mencionados servicios. La clara negativa de INFORMACION PRIVILEGIADA, constituye la conducta que tipifica el precepto.(…) Finalmente debe ponerse de manifiesto que el ejercicio de la función inspectora que indica el art. 44.3
- j)debe completarse con las potestades que señala el art. 40 de la LOPD y el artículo 28.1 del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, y que contempla otras acciones más allá del requerimiento de documentos, que el recurrente impidió con su actuación. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por INFORMACION PRIVILEGIADA, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de diciembre de 2017, en el procedimiento sancionador PS/00532/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad INFORMACION PRIVILEGIADA, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es