← España

REPOSICION-PS-00568-2015B

1/14 Procedimiento nº.: PS/00568/2015 ASUNTO: Recurso de Reposición Nº RR/00356/2016 Examinado el recurso de reposición interpuesto por la entidad PLENISAN, S.L contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00568/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 15/04/2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00568/2015 , en virtud de la cual se imponía a la entidad PLENISAN, S.L, una sanción de 60.000 €, por la vulneración de lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 21/04/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00568/2015, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- En fecha de 23/09/2014 desde la cuenta de correo ....@sistemas-medicos.com perteneciente a una empleada de PLENISAN, S.L. se inician las gestiones para la reserva de salas y habitaciones en el hotel NH VENTAS sito en (C/...1) Madrid para la celebración de un evento comercial de PLENISAN, S.L. en los días 28 a 30 de Octubre de 2014 (folios 161 a 171), siendo abonada la reserva en fecha de 24/10/2014 por dicha mercantil. DOS.- En el mes de octubre de 2014 la denunciante recibe en su domicilio una comunicación comercial que incluye su nombre y apellidos y domicilio completo (piso y puerta) por vía postal en la que se invita a un evento que se realizara en el hotel NH PARQUE AVENIDAS en fecha de 29/10/2014 de PLENISAN, S.L. informando que los datos utilizados provienen de un fichero propiedad de MACRO SELECT PRINT, S.L., (Folio 3) TRES.- PLENISAN S.L., tiene un contrato de fecha 16/06/2014, con MACRO SELECT PRINT, S.L.( MSP en adelante) donde consta que corresponde a MSP (…) el diseño de campañas de marketing directo de CLIENTE; Selección de datos personales de los ficheros de MSP(…) ( Folios 137 a 139). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 CUATRO.- En las actuaciones previas E/2253/2015/-01 se acreditó que PLENISAN, S.L., remitió un correo electrónico a MEYDIS, S.L. en virtud del cual le daba instrucciones respecto de los destinatarios de la campaña publicitaria a ejecutar ( Folio 145 y siguientes), en concreto se determinaba, el lugar de la carta, el modelo de carta, la fecha de la convocatoria y deposito, el horario, e indicaciones concretas en cuanto al envío: una por domicilio, hombres y mujeres, preferente mujeres, eliminar: analfabetos y socioeconómico: bajo. CINCO.- En ejecución de dicho contrato, MSP generó un fichero de potenciales destinatarios de las acciones publicitarias de PLENISAN, previa indicación por ésta de los mismos, determinado por la elección de la reserva de hotel debiendo coincidir con la localidad del establecimiento hotelero en este caso con Madrid, donde se encontraban los datos personales de la denunciante. SEIS.- PLENISAN S.L., tiene un contrato con MEYDIS, S.L. de fecha 6/05/2013 en virtud del cual esta somete a tratamiento los datos que constan impresos en las piezas publicitarias, consistente en el “manipulado de piezas publicitarias ya impresas, con objeto de que lleguen a sus destinatarios”, para lo cual se “compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para la seguridad de las piezas publicitarias impresas, las medidas de seguridad de nivel básico delas establecidas en el Real Decreto 1720/2007, debiendo elaborar su propio Documento de Seguridad, en el que se recojan todas las medidas legales y cumplirlo.” (Folios 49 y siguientes). SIETE.- Consta en el expediente un contrato de 10/04/2015 “Addenda al contrato de prestación de servicios” cuyo objeto es la modificación del nombre de SISTEMAS MEDICOS PROFESIONALES, S.L. por el de PLENISAN, S.L. respecto del contrato de prestación de servicios de datos de carácter personal de 06/05/2013 ( Folios 47 a 48) OCHO.- PLENISAN, S.L. en sus alegaciones manifiesta que es MSP la entidad que determina la localidad del evento y cuando ésta ya ha remitido la carta de invitación les comunica el lugar y hora que ha elegido. (Folio 123). Sin embargo tal como consta en el hecho probado Uno no es MSP quien realiza la reserva sino que es PLENISAN, S.L. En el folio 44 y siguientes constan las manifestaciones del representante de PLENISAN, S.L. vertidas en una Inspección presencial y sin previo aviso, en el que explica el desarrollo de las campañas: (…) b. Respecto del funcionamiento de la entidad con MSP, informan que: -la entidad elige una localidad y contrato un hotel en la misma, donde se realizara la demostración comercial y captación de clientes. -concertado el hotel, se comunica a MSP el lugar y fecha en que se realizara el evento, ya sea por teléfono, correo electrónico o fax. -MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS. (…). NUEVE.- En fecha de 02/03/2015 la denunciante recibe en su domicilio una comunicación comercial que incluye su nombre y apellidos y domicilio completo (piso y puerta) por vía postal en la que se invita a un evento que se realizara en el hotel NH VENTAS en fecha de 05/03/2015 de PLENISAN, S.L. informando que los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 utilizados provienen de un fichero propiedad de MACRO SELECT PRINT, S.L., (Folio 7) Los datos personales de la denunciante no constan en el repertorio de abonados a servicios telefónicos. (Folio 184) DIEZ.- Desde principios del año 2014 PLENISAN, S.L. recibe en sus cuentas de correo electrónico comunicaciones de destinatarios de la carta invitación de sus eventos comerciales en el que comunican que los destinatarios corresponden a personas fallecidas, y otras tienen por objeto negar el consentimiento para utilizar sus datos solicitando la baja de sus envíos. (Folios 53 y siguientes). ONCE.- Mediante escrito de fecha 27/10/2015 se comunicó a MACRO SELECT PRINT, S.L. la realización de una inspección presencial en la sede de ésta al objeto de examinar el fichero sobre el que realiza la segmentación de direcciones previa a instancias de PLENISAN, S.L., sin poder realizarla dado que nadie se encontraba en el lugar (folio 108 a 109. Se realizó una llamada al teléfono del administrador de la entidad sin ser contestada y se acudió al domicilio del mismo al objeto de concertar otra fecha para la inspección, sin poder contactar. DOCE.- En la inspección realizada en la sede de PLENISAN, S.L. se solicitó la identidad de personas de contacto de MACRO SELECT PRINT, S.L. y esta informo que se relacionan a través de dos personas ***NOMBRE.1 y ***NOMBRE.2, que tras las comprobaciones realizas consta que prestan servicios en MEYDIS, S.L. En concreto la segunda persona mediante conversación telefónica asegura que trabaja en MEYDIS, S.L.,. (Folio 107) TRECE.- En fecha de 02/11/2015 MEYDIS, S.L. a petición de PLENISAN, S.L. accedió al fichero de MACRO SELECT PRINT, S.L. para remitir a aquella una muestra de registros provincia de LEON para su aportación por PLENISAN, S.L., como alegaciones en el Procedimiento Sancionador PS/536/2015 ( Folios 180 a 183) y afirmar que dicha muestra se realizó con anterioridad a la fecha de 23/10/2014 cuando dicha petición se realizó en fecha de 02/11/2015 (folio 87 a 90) y por tanto la citada muestra fue creada ad hoc. TERCERO: PLENISAN, S.L ha presentado en fecha 20/05/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en -vulneración de derechos fundamentales recogidos en el art. 18 de la Constitución Española conculcados en la Inspección practicada por los Inspectores de la AEPD en fecha de 3/11/2015 en el domicilio social de PLENISAN, S.L., al acceder a las cuentas de correo electrónico del Director Comercial de la empresa. -ausencia de tipicidad en la actuación de PLENISAN en lo referente al art. 46 RDLOPD. No puede considerarse a PLENISAN responsable del tratamiento puesto que no da instrucciones a sus proveedores de datos para la segmentación o elección de los destinatarios finales de las campañas. Y ausencia de culpabilidad ya que se tomaron las cautelas para evitar el tratamiento de datos que incumplen la LOPD. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por PLENISAN, S.L, referidas a la vulneración de los derechos recogidos en el artículo 18 de la Constitución Española, derecho a la intimidad, al secreto de las comunicaciones y a la protección de datos de carácter personal, debe tenerse en cuenta que los derechos fundamentales citados, ceden con el consentimiento del titular de los mismos, y tal como consta en el Acta de Inspección correspondiente fueron los representantes de PLENISAN, quienes permitieron el acceso a dichos correos electrónicos, pudiendo negar dicho acceso y solicitar que así se recogiera en el Acta de referencia y nada manifestaron al respecto. Señala la Sentencia del Tribunal Constitucional respecto del secreto de las comunicaciones, que únicamente puede levantarse mediante el consentimiento de uno de los dos intervinientes en la comunicación, sin que se exija la anuencia de ambos participantes en la misma, pues así lo establece el Tribunal Constitucional en el recurso n° 56/2003, de 24 de marzo, que admite "la posibilidad de que el secreto fuera levantado como consecuencia de la acción de uno de los dos intervinientes en la comunicación, en cuyo caso, la revelación de la información referida a la misma, incluyendo los datos identificativos de las líneas llamante y conectada, dejaba de encontrarse protegido por el mencionado secreto”. Por lo tanto tal como recoge la sentencia del TC, fue uno de los intervinientes quien permitió dicho levantamiento. Idénticas consideraciones merece la eventual vulneración del derecho a la intimidad y vulneración del derecho a la protección de datos personales que alega PLENISAN, en la medida en que, sin perjuicio de que no consta acceso a información personal – que pudiera formar parte de la intimidad de personas afectadas - al margen de la condición profesional de las personas titulares de los correos electrónicos, dicho acceso fue permitido por el representante de la entidad que atendió a los Inspectores de la Agencia Española de Protección de Datos en la citada Inspección de 3/11/2015. III En relación con las manifestaciones efectuadas por PLENISAN, S.L, referidas a la ausencia de tipicidad en la conducta de la recurrente de acuerdo con el art. 46 del RDLOPD y de culpabilidad, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho del III a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: (…) I.Sobre el estatus las entidades imputadas y la prueba practicada a efectos de determinar su participación y la aplicación del régimen sancionador de la LOPD. Dispone el art. 43.1 de la LOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Dispone el art. 46 del RDLOPD: 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:

  1. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
  2. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
  3. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma. En el presente caso ha resultado acreditado que PLENISAN, S.L. realizo una campaña publicitaria cuyos destinatarios eran las personas que constaban en el fichero de MACRO SELECT PRINT, S.L. y que tras la instrucción del presente expediente sancionador, ha resultado que no contenía el consentimiento del denunciante. Las alegaciones de PLENISAN, S.L., la documentación aportada ( contrato y factura con MACRO SELECT PRINT, S.L. ) así como la prueba testifical solicitada, persiguen excluir del régimen de responsabilidad por incumplimiento de la LOPD a PLENISAN, S.L. en la medida en que no ha intervenido en el tratamiento de los datos, ya que la determinación de los parámetros la realizo MACRO SELECT PRINT, S.L. y además tomo las cautelas debidas para conocer la legalidad del fichero como muestreo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 de comprobaciones del citado fichero. Sin embargo, tras la prueba practicada se deduce que no es tal como ha alegado PLENISAN, S.L. y MACRO SELECT PRINT en sus escritos la participación de ambas en el modo de realización de la campaña. A saber: La participación de PLENISAN, S.L. como responsable del tratamiento de acuerdo con el art. 46.2
  4. a)del RDLOPD ha resultado acreditada tras la prueba practicada y su valoración conjunta. PLENISAN, S.L. determina el lugar donde va a realizarse el evento al contratar con el establecimiento hotelero en cuestión, y sobre esa elección solicita al proveedor de base de datos en ejecución del contrato, la selección de los registros destinatarios de la acción publicitaria. Por lo que las alegaciones de PLENISAN, S.L. recogidas en los puntos III
  5. a)
  6. b)c y
  7. d)del Antecedente QUINTO han resultado contradichas. Es decir, el modo en que se desarrollan las campañas según PLENISAN, S.L. ha resultado que no es tal como alega. ( Véase las comunicaciones con el establecimiento hotelero, y ténganse en cuenta la falta de estudio de mercado, diseño de campaña, etc.,. es decir, todo aquello que afirma que realiza MACRO SELECT PRINT, S.L..) además en el hecho probado cuatro se pone de manifiesto que PLENISAN, S.L., en ejecución del mismo contrato que en el caso del envío analizado y en referente a un evento similar de exposición de sus productos, determina los parámetros identificativos en la campaña, en concreto se determinaba, el lugar de la carta, el modelo de carta, la fecha de la convocatoria y deposito, el horario, e indicaciones concretas en cuanto al envío: una por domicilio, hombres y mujeres, preferente mujeres, eliminar: analfabetos y socioeconómico: bajo. Estos hechos determinan que los parámetros identificativos de los destinatarios, es decir, las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma, se realiza por PLENISAN, S.L., o dicho de otro modo, sin la elección del lugar y por tanto de la localidad donde se va a realizar el evento por parte de PLENISAN, S.L, el titular del fichero/proveedor de base de datos, no tendría indicación alguna sobre qué registros extraer un fichero ya depurado de su base de datos general, para realizar la campaña en cuestión. Todo ello ha resultado probado tras la documentación aportada por el establecimiento hotelero y de las manifestaciones de los representantes de PLENISAN, S.L. en la Inspección realizada, en las que reconocen expresamente: (…) b. Respecto del funcionamiento de la entidad con MSP, informan que: -la entidad elige una localidad y contrato un hotel en la misma, donde se realizara la demostración comercial y captación de clientes. -concertado el hotel, se comunica a MSP el lugar y fecha en que se realizara el evento, ya sea por teléfono, correo electrónico o fax. -MSP realiza la selección de las personas a convocar, generando un fichero que envía a MEYDIS. (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 PLENISAN tiene pleno control sobre los actos que conlleva la realización de la campaña y el sometimiento a tratamiento de los datos personales de los destinatarios, tanto es así, que contrata con MSP y con MEYDIS, S.L. para que de acuerdo con sus instrucciones se realice de un modo o de otro las campañas de cuya publicidad es beneficiaria. En concreto, el servicio que por contrato presta MEYDIS, S.L. implica el tratamiento de los datos personales de los destinatarios cuyos datos constan ya impresos en las piezas publicitarias. (Véase las clausulas en las que expresamente se recoge que MEYDIS, S.L., actúa siempre bajo las instrucciones de PLENISAN, S.L.). Por eso también PLENISAN, S.L. se convierte en responsable del tratamiento de datos que realiza MEYDIS, S.L. siendo ésta su encargada de tratamiento, ya que en ejecución del contrato de servicios, se realiza un tratamiento de datos por cuenta de PLENISAN, S.L. decidiendo asi (…) sobre la finalidad, contenido y uso del tratamiento (…) ex art. 3 LOPD en lo referente al concepto de responsable del tratamiento. En el Anexo de fecha 10/04/2015 y cuya finalidad es la de testimoniar el cambio de denominación de SISTEMAS MEDICOS PROFESIONALES, por PLENISAN, S.L. consta que (…) I.- Que, con fecha de 6 de mayo de 2013 se suscribió un entre las partes un contrato de prestación de servicios de datos de carácter personal, del cual este documento es Addenda, y que se encuentra vigente a día de hoy (…) lo que despeja cualquier duda acerca de la condición de responsable del tratamiento de PLENISAN, S.L. en relación con la actividad contratada con MEYDIS, S.L. MACRO SELECT PRINT, S.L. es responsable del fichero donde se encuentran los datos personales del denunciante, y cuya selección se realiza previa indicación por parte de PLENISAN, S.L en relación con los domicilios cercanos al lugar donde se va a realizar el evento comercial, que con suficiente antelación ha determinado esta última. Así ha quedado probado en la medida en que el evento en cuestión se realiza en fecha de 29/10/2014 y consta que la reserva se realizó por PLENISAN, S.L. en fecha de 26/09/2014. Por lo expuesto cabe concluir que PLENISAN, S.L. es responsable del tratamiento de acuerdo con el art. 46.2
  8. a)del RDLOPD (por su relación con MACRO SELECT PRINT) y 3
  9. d)de la LOPD. (Por su relación con MEYDIS, S.L.) Circunstancia esta última sobre la que PLENISAN, S.L. ni si quiera realiza manifestaciones en sus alegaciones a la Propuesta de Resolución. Por su parte MACRO SELECT PRINT, S.L. es responsable del fichero de acuerdo con el art. 3
  10. d)de la LOPD. De acuerdo con lo dispuesto en el art. 43 de la LOPD que señala que: Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley, ambas entidades ostentan un estatus jurídico susceptible de generar responsabilidad por incumplimiento de la LOPD. II.Sobre la prueba practicada, principio de contradicción y valoración. Finalidad de las pruebas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 En el presente caso, se han practicado la totalidad de pruebas solicitada por la entidad denunciada, documental y testifical cuya finalidad era según PLENISAN, S.L., demostrar que los criterios de segmentación los realizo MSP, y que se adoptaron medidas tendentes a verificar la legalidad de las direcciones objeto de la acción publicitaria. Esos extremos han sido contradichos, por la prueba practicada consistente en la información aportada por el establecimiento hotelero, por la documentación extraída de en la Inspección realizada obrante en las actuaciones E/00999/2015 y E/2253/2015. PLENISAN, S.L. determinó los destinatarios de la acción publicitaria (en concreto los vecinos de una localidad y adyacentes), y el proveedor de base de datos, generó los registros de su base de datos para la creación de un fichero que fue objeto de la acción publicitaria, y que según afirman, se remite a MEYDIS, S.L. para la impresión de las piezas publicitarias (hecho sustentado solamente en manifestaciones). En cuanto a la documental incorporada al expediente a instancias de PLENISAN, S.L., debe señalarse su valoración que es la siguiente: Carece de virtualidad la declaración del representante de MACRO SELECT PRINT, S.L. de no haber sido sancionado ni denunciado en la Agencia Española de Protección de Datos, aportada por PLENISAN, S.L. puesto que está fechada en 16/06/2014 (lunes) y la actividad de MACRO SELECT PRINT, S.L. comienza en fecha de 12/06/2014 (jueves anterior) sin que, por tanto pueda haber sido sancionada dado el tiempo de actividad transcurrido. (Tres días hábiles) En cuanto a la documental consistente en la consulta en el RGPD, debe tenerse en cuenta, en primer lugar, que tal inscripción es declarativa y no constitutiva, por lo que la inscripción en el mismo no determina un previo estudio material y análisis de su legalidad, tal como conoce la propia PLENISAN, S.L., cuando ha inscrito sus ficheros, y en segundo lugar la consulta aportada es realizada en fecha de 02/11/2015. En cuanto a la “muestra” previa de registros sobre los que va a recaer la acción publicitaria, se deben realizar varias consideraciones: En el hecho probado trece se acredita la creación ad hoc de una muestra por parte de PLENISAN, S.L. en connivencia con MEYDIS, S.L. para su aportación en el Procedimiento PS/536/2015. Dicha circunstancia no ha sido probada en el presente caso, pero el supuesto es idéntico y sirve para introducir otro parámetro de antijuricidad y culpabilidad en el caso analizado, en el sentido de dar cobijo al principio de libre valoración de la prueba, o valoración de prueba en su conjunto. No obstante lo anterior, aun admitiendo, la muestra con carácter previo a la campaña no puede servir de parámetro de legalidad en la medida en que en los envíos a realizar consta el piso y la puerta del domicilio del potencial destinatario y como es sabido en lo aportado por PLENISAN, S.L. nada consta al respecto, por lo que siendo conocedora de tal circunstancia no puede entender adecuados dichos registros para sus acciones publicitarias, ni valorarlo como elemento de legalidad o adecuación a la LOPD, ni menos aún entenderlo como una de las garantías que a través del art. 46.3 del RDLOPD se pretende instaurar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 Por otro lado PLENISAN, S.L. manifiesta en su escrito de fecha de entrada en esta Agencia de 11/12/2015 (para procedimiento PS/536/2015 y para el procedimiento PS/436/2015), en síntesis, que desconoce la finalidad por la que se solicita información respecto de otros eventos ajenos al expediente señalando que (…)se nos está sometiendo a un procedimiento inquisitorial general(…) para continuar que (…)se ha producido una extralimitación en las funciones del instructor(…). De acuerdo con las potestades que el ordenamiento jurídico confiere al órgano instructor, éste puede realizar cuantas considere necesarias para determinar los responsables de las infracciones, el acaecimiento de los hechos, y las circunstancias relativas a la culpabilidad y responsabilidad. En concreto en la LOPD y de acuerdo con lo dispuesto en su art. 45.4 y 5 LOPD, también se valoran circunstancias coetáneas y posteriores a la comisión de la infracción que pueden tener el efecto de degradación en la escala de gravedad o dentro de una gravedad, la fijación de la cuantiar de la sanción en un determinado tramo u otro. Por lo que la finalidad de la prueba solicitada tanto a NH HOTEL GROUP, S.L. (e incorporada al presente expediente como prueba documental (folios 185 y siguientes) como a PLENISAN, S.L. y a MEYDIS, S.L. respecto de otras acciones publicitarias, es para establecer un parámetro de antijuricidad de la actuación de la entidad, para así adecuar con acierto la escala de gravedad de la posible infracción y la determinación de una cuantía adecuada al principio de proporcionalidad. Como PLENISAN, S.L. manifiesta que ha sido “engañada” por MACRO SELECT PRINT, S.L., la finalidad de solicitar las muestras de acciones publicitarias es para acreditar si realmente ha roto las relaciones comerciales. En este sentido mediante diligencia de Instrucción de fecha 10/02/2016 se solicitó por el Instructor del procedimiento que informara respecto de la carta que afirma PLENISAN, S.L. que envió a MSP comunicando su cese de relaciones, sin que se pudiera probar la efectiva recepción por ésta. Asimismo se preguntó a PLENISAN, S.L. si tras la incoación de varios expedientes sancionadores e incluso tras la imposición de sanciones por su actividad contractual con MSP habían interpuesto acciones civiles contra la misma como afectado por el supuesto “engaño” e incumplimiento de MSP y tampoco consta nada al respecto. En cuanto a los datos obrantes en el fichero y que han sido objeto de tratamiento, MACRO SELECT PRINT, S.L., no ha realizado alegación alguna tendente a probar que tenía el consentimiento de la denunciante para su tratamiento. Tanto a PLENISAN, S.L. como a MACRO SELECT PRINT, S.L. han tenido sendas oportunidades de probar, con algo más que manifestaciones, una factura y un contrato estandarizado, los hechos que aducen y nada han realizado. Es decir, que es MACRO SELECT PRINT, quien elabora un plan de marketing, quien reserva el establecimiento hotelero, quien comunica los destinatarios de las acciones publicitarias, etc.). PLENISAN, S.L. no puede pretender tener por acreditado que la determinación de los parámetros la realiza MACRO SELECT PRINT, por el contrato aportado y por la factura, pues de esa documentación no se infiere (con un proceso lógico elemental) el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 resultado producido: el envío de una carta invitación donde se promociona “LA OLLA ELECTRICA PROGRAMABLE “CHEF 33355” ni el lugar de realización del evento, en este caso en Madrid, ni menos aún el Hotel concreto. Al Igual sucede con el envío recibido por la denunciante en fecha de 02/03/2015 donde se regala “UN EXTRAORDIANRIO JUEGO DE SARTENES CERAMICAS DE CINCO PIEZAS”, esto es de la documentación aportada por la entidad no se deduce el resultado consistente en la creación y envío de la carta invitación donde constan los datos personales de la denunciante. III.Determinación de la aplicación del art. 46.2 del RDLOPD. PLENISAN, S.L. en sus alegaciones al Acuerdo de Inicio y a la Propuesta de Resolución, sostiene que dada la interpretación que realiza la Agencia Española de Protección de Datos, no tendría sentido la existencia del art. 46.2
  11. b)RDLOPD pues no existiría de facto el presupuesto de hecho que consigna el precepto, esto es, cuando la entidad beneficiaria de la publicidad encargue a otra empresa la campaña publicitaria y la determinación de los parámetros. Sin embargo lo que aquí sucede, es que de la prueba practicada se deduce lo contrario, es decir, la aplicación del apartado
  12. a)del citado precepto y no la aplicación del apartado b), pues por mucho que se cuide PLENISAN, S.L. de formalizar un contrato estándar y aportar una factura sobre servicios genéricos, y en connivencia con MACRO SELECT PRINT, S.L. que reconoce todo aquello que alega aquella, el resultado es que no se ha probado lo que se afirma, es más, se ha acreditado todo lo contrario: que no era MACRO quien reservaba el hotel tal como en reiterados procedimientos similares afirmaban, sino PLENISAN, por no analizar la creación de prueba ad hoc respecto del procedimiento PS/536/2015 antes citado. En este sentido es fundamental la información obtenida en las actuaciones previas E/2253/2015/-01 e incorporadas a este expediente como prueba documental, donde se acredito que PLENISAN, S.L., remitió un correo electrónico a MEYDIS, S.L. en virtud del cual le daba instrucciones respecto de los destinatarios de la campaña publicitaria a ejecutar (Folio 145), es decir, determina a todas luces los parámetros de la campaña. Conviene reseñar la virtualidad de la prueba indiciaria, cuya admisión en el procedimiento administrativo sancionador se admite en la Sentencia del Tribunal Constitucional núm. 45/1997 (Sala Primera), de 11 de marzo (RTC 1997,45). Así los requisitos necesarios para su admisión vienen desarrollados, con cita de la doctrina del Tribunal Supremo, por la Sentencia del TSJ de Andalucía, núm. 255/2003 de 27 de enero, que dice: “Sobre ella precisar que la jurisprudencia constitucional y la de la Sala 2ª del TS han perfilado los requisitos necesarios para que la prueba indiciaria pueda ser apreciada como tal y que pueden resumirse en los siguientes extremos: 1º- Que el hecho base no se único, pues uno solo podría inducir a error – STC núm. 111/1990 de 18 de junio (RTC1990, 111); 2º- Que estos hechos estén directamente acreditados – SSTS de 18 y24 de enero de 1991 ( RJ 1991,282)- ; y 3º Que la inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general – STC 107/1989 de 8 de junio y 510/1989 de 10 de marzo ( RTC C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 1985,510) …………” En el presente caso, para acreditar la aplicación del art. 46.2
  13. a)del RDLOPD a la actuación de PLENISAN, S.L., se cumplen sobradamente los tres requisitos citados: El hecho base no es único:
  14. a)La reserva del establecimiento la realiza PLENISAN, S.L. y no MACRO, como ambas alegaron hasta la saciedad en los distintos trámites procedimentales, en este y en otros procedimientos.
  15. b)El representante de PLENISAN, S.L. en una inspección presencial y sin previo aviso, manifiesta que el desarrollo de las campañas se realiza con su previa selección del lugar y posterior comunicación;
  16. c)existe una comunicación de PLENISAN, S.L. obtenida en una inspección presencial y sin previo aviso, en la que determina sin ningún género de duda los parámetros identificativos, en este sentido debe señalarse que si bien no es referida a los eventos aquí analizados, es en ejecución del mismo contrato, en fechas similares y con estrategia comercial similar,
  17. d)se ha solicitado a MACRO SELECT PRINT, S.L., las pruebas de lo que afirmaban que por contrato realizaban y nada han aportado, pudiendo incluso PLENISAN, S.L. aportarlo,
  18. e)en general los argumentos esgrimidos en la estrategia de defensa de PLENISAN, S.L., son continuamente contradichos (elección del lugar de celebración, determinación de parámetros por MACRO, verificación de muestra de 50 registros previos a la campaña, calidad de dichos registros, es decir, no contienen piso y puerta, y los datos necesarios para ejecutar sus campañas si tienen esos extremos, )
  19. f)tampoco explica PLENISAN S.L., en sus alegaciones formuladas a la Propuesta de Resolución la razón por la que manifiesta una cosa y luego se prueba la contraria, es decir, con ese resultado estaría en condiciones de “combatir” lo contradicho y nada ha manifestado. Los hechos están plenamente acreditados: todos los extremos constan en el expediente. La inferencia no quebrante las reglas de la lógica, de otra disciplina o de la experiencia general: en ejecución del mismo contrato, con la misma facturación, y para idénticos eventos, PLENISAN, S.L. remitió un correo electrónico al proveedor de base de datos para que la campaña se realizara de una forma concreta, ( folios 145 y siguientes) lo que hace deducir sin quebrantar las reglas de la lógica más elemental, que es el modo en que se desarrollan las campañas, ya que lo manifestado al respecto por ambas entidades en sus trámites procedimentales, ha sido contradicho. Nos recuerda la Sentencia del Tribunal Constitucional de 29 de septiembre de 1997 (STC 153/1997) que (…) es preciso recordar la doctrina de este Tribunal conforma a la cual el acusado, a diferencia del testigo, no solo no tiene la obligación de decir la verdad sino que puede callar total o parcialmente o incluso mentir ( STC 129/1996; en sentido similar STC 197/1995), en virtud de los derecho a no declarar contra sí mismo y a no confesarse culpable, reconocidos en el art. 24.2 de la CE y que son garantías instrumentales del más amplio derecho de defensa (…) es por ello por lo que la declaración incriminatoria del coimputado carece de consistencia plena como prueba de cargo cuando siendo única…no resulta mínimamente corroborada por otras pruebas en contra del recurrente(…) en este sentido, debe señalarse que MACRO SELECT PRINT, podrá auto inculparse de la ilegalidad de los datos e incluso corroborar lo alegado por PLENISAN, y a su vez, ésta podrá manifestar una cosa y luego resultar probada la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 contraria, recordemos que el derecho a no declarar contra sí mismo abarca incluso el derecho a no decir verdad, pero no puede olvidarse la plena vigencia del principio de libre valoración de la prueba, basada en las reglas de la sana crítica y la valoración conjunta de los elementos de juicio que constan en las actuaciones, que concluyen a la determinación de PLENISAN, S.L. como responsable del tratamiento de acuerdo con el art. 46.2
  20. a)del RDLOPD. En conclusión, es cuanto menos sorprendente que cuando PLENISAN, S.L. y MACRO SELECT PRINT, S.L. son conocedores de los trámites próximos que les corresponden en el procedimiento ( alegaciones y una prueba testifical) y por tanto con antelación y en su caso, asesoramiento legal en el ejercicio legítimo de su derecho de defensa, manifiestan una cosa, y sin embargo cuando se practica una Inspección sin previo aviso, o no se tiene conocimiento de la solicitud de subsanación de lo manifestado por una de ellas a preguntas de la otra, o bien se practica una testifical a un tercero no interesado en el procedimiento el resultado es radicalmente opuesto: PLENISAN, S.L. selecciona el lugar ( localidad y hotel) y sobre esa elección comunica al proveedor de bases de datos la extracción/creación de un fichero de esa localidad y colindantes, con un determinado destinatario potencial. IV.Sobre el elemento subjetivo en la comisión de la infracción. Dispone el art. 46.3 del RDLOPD lo siguiente: 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento Por su parte la Sentencia de la Audiencia Nacional de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, se analiza la diligencia prestada por el beneficiario de la publicidad que contrata con un proveedor de bases de datos, señalo que (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 PLENISAN, S.L. alega en su descargo que no concurre en su actuación el elemento subjetivo de la culpa o negligencia en la medida en que mediante el contrato obrante en el expediente y en concreto en la clausulas IV y V se ofrecen garantías de legalidad de la base de datos a utilizar todo ello de acuerdo con el art. 46.3 del RDLOPD que prevé que (…) En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.(…). PLENISAN, S.L., entiende que el contrato cumple con el precepto ya que las previsiones del mismo suponen la adopción de (…) las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento (…), sin embargo no puede entenderse suficiente dicha consideración ni menos aún excluir el elemento subjetivo de la culpa. Asimismo manifiesta que previamente a la contratación exige un muestreo de datos “legales” sobre los que va a recaer la acción publicitaria, consulta el RGPD y tiene una comunicación del representante de MSP. En este aspecto hay que remitirse a lo señalado en el Fundamento de derecho anterior. En cuanto a MACRO SELECT PRINT, S.L. no aporta al expediente elemento alguno que permita enervar el elemento subjetivo de la culpabilidad.(…) IV Por lo tanto, en el presente recurso de reposición, PLENISAN, S.L no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PLENISAN, S.L contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 15 de abril de 2016, en el procedimiento sancionador PS/00568/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad PLENISAN, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.