1/7 Procedimiento nº: PS/00583/2015 ASUNTO: Recurso de Reposición Nº RR/00247/2016 Examinado el recurso de reposición interpuesto por la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00583/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 1 de marzo de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00583/2015, en virtud de la cual se imponía a la entidad DTS Distribuidora de Televisión Digital, S.A., una sanción de 5.000 €, por la vulneración de lo dispuesto en el artículo 30.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.e), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 4/03/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00583/2015, quedó constancia de los siguientes: procedimiento sancionador, <<…PRIMERO: Con fecha de 17 de junio de 2015 tiene entrada en esta Agencia escrito del denunciante manifestando que en octubre de 2012 se dio de baja Canal+ y les comunicó que le dieran de baja de sus ficheros. El 6 de junio de 2015 ha recibido publicidad de Canal+ aunque el remitente es “Iahorro”. Al escrito de denuncia aporta copia del correo electrónico remitido por clientes@canalplus.es dirigido a A.A.A. y del remitido por news@iahorro.com dirigido a A.A.A. (folios 1 a 7). SEGUNDO: Canal+ es el nombre con el que se comercializan los servicios de televisión y video de DTS. El denunciante remitió el 9 de octubre de 2012 un correo electrónico al servicio de atención al cliente de Canal+ en el que, entre otras cosas, exigía “…que den de baja mis datos personales de sus bases de datos tal y como contempla la Ley de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de Datos. En caso contrario, si recibo cualquier comunicación por su parte, lo pondré en conocimiento de la Agencia Española de Protección de Datos.” El 11 de octubre de 2012 desde la dirección clientes@canalplus.es se le contesta que la incidencia por la que reclama ha sido puesta en conocimiento del departamento correspondiente, el cual se pondrá en contacto con él (folios 4 y 5). TERCERO: El denunciante recibió el 6 de junio de 2015 en su cuenta de correo A.A.A. un correo electrónico con origen en la cuenta news@iahorro.com. El correo electrónico contenía información comercial referente a servicios y productos de Canal+. Al pie del correo electrónico se incluye un enlace para darse de baja de la lista de destinatarios y se informa de que el destinatario recibe el correo por haberse dado de alta en “iAhorro” (folios 6 y 7). CUARTO: El dominio iahorro.com está registrado a nombre de IAHORRO. Dicha entidad remitió escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que uno de los servicios prestados por IAHORRO es el envío de comunicaciones comerciales sobre productos y servicios prestados por terceros. Estos servicios pueden haber sido requeridos directamente por el anunciante (DTS) o por un tercero en su nombre. En el caso que nos ocupa fue AD PEPPER MEDIA GMBH la empresa que encomendó a IAHORRO el envío de las comunicaciones comerciales de su anunciante, DTS. IAHORRO no dispone de ninguna lista de exclusión del propio anunciante (folios 24 a 27). QUINTO: DTS remitió escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión (que tenía como objeto darse de alta en Canal +) que todas las contrataciones que tengan relación con acciones de publicidad online o por correo electrónico son efectuadas con ficheros de los que es responsable la tercera parte, no DTS (folios 28 a 31)…>> TERCERO: DTS Distribuidora de Televisión Digital, S.A. (en lo sucesivo, el recurrente) ha presentado en fecha 4 de abril de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente en: <<…Como es obvio, si el denunciante solicitó a DTS la cancelación de sus datos personales, en modo alguno podría DTS haber incorporado los mismos en un nuevo fichero de exclusión de envíos publicitarios sin el consentimiento expreso del denunciante, y menos aún, evidentemente, haber cedido este dato a terceros…>> FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<…II En primer lugar debe analizarse la presunta infracción del artículo 30.4 de la LOPD que se imputa a DTS, al no acreditar haber informado a la entidad IAHORRO, entidad que trasladó publicidad de Canal + al destinatario, de la oposición del destinatario a recibir publicidad, por cuanto en su correo de 9 de octubre de 2012 entre otras cosas, exigía “…que den de baja mis datos personales de sus bases de datos tal y como contempla la Ley de Protección de Datos. En caso contrario, si recibo cualquier comunicación por su parte, lo pondré en conocimiento de la Agencia Española de Protección de Datos.” Señala el art. 6 de la LOPD que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Asimismo hay que tener en cuenta el poder de disposición de revocación del titular de los datos, sin que se pretenda otorgar a tal revocación efectos retroactivos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En el presente caso se valora un supuesto de tratamiento de datos personales para fines publicitarios y de prospección comercial, con previa oposición del titular de los mismos para tales fines. Así las cosas, el art. 30.4 de la LOPD relativo a tratamientos con fines de publicidad y de prospección comercial dispone que: “4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” El artículo 34.
- b)del RDLOPD dispone que: El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos: (…)
- b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.” El artículo 48 del RDLOPD establece: “Ficheros de exclusión del envío de comunicaciones comerciales. Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad.” El artículo 51.1 del mismo Reglamento establece respecto de derecho de oposición en tratamientos para actividades de publicidad y prospección comercial que: “1. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. La oposición a la que se refiere el párrafo anterior deberá entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos.” Así pues, en desarrollo del artículo 18.4 de la Constitución Española y dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, la mencionada normativa establece como una garantía del derecho fundamental a la protección de datos personales, el poder ostentado por el titular para negarse al uso publicitario de sus datos personales, teniendo, en consecuencia, el responsable del fichero o tratamiento la obligación de adoptar las cautelas y medidas oportunas para dar de baja de ese tipo de tratamiento los datos del afectado mientras se mantenga su negativa. Esta exclusión publicitaria afecta tanto a las campañas que desarrolla directamente como a las contratadas o encargadas a terceros, y tanto si los envíos se efectúen con datos personales obrantes en sus ficheros como si se realizan con datos anotados en bases de datos de terceros. De esta manera, no podrán utilizarse con finalidades publicitarias los datos de las personas que hayan manifestado su oposición a dicho tratamiento, siendo obligación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 del responsable del fichero o tratamiento que las medidas adoptadas alcancen también a los tratamientos publicitarios que contrate o encomiende a terceros y/o se realicen con bases de datos distintas de las propias. Lo contrario, de conformidad con las normas expuestas, supondría no tomar en consideración las obligaciones derivadas del ejercicio del derecho de oposición a la utilización de los datos con fines promocionales que pesan sobre el responsable del fichero o tratamiento en los supuestos en los que el tratamiento se lleve a cabo en el marco de una campaña publicitaria externalizada. En el presente caso, ha quedado acreditado que el denunciante recibió un correo de publicidad de productos de Canal + (DTS), tras haber solicitado la oposición a recibir publicidad de dicha entidad, sin embargo DTS no ha probado la adopción de medidas, en concreto el traslado a la entidad que realizó tratamientos publicitarios de sus productos en junio de 2015 (en el presente caso IAHORRO) de sus listas de exclusión propias (reguladas por el art. 48 del RDLOPD), para que ésta no remitiera publicidad al denunciante, tal y como éste solicitó. III La conducta acreditada de DTS se concreta en no atender al deseo del denunciante de que sus datos personales no se utilizaran para el envío de comunicaciones comerciales, esto es, con fines de prospección comercial. Lo que parece escapar al “poder de disposición y de control sobre los datos personales” que señala el Tribunal constitucional como elemento delimitador del derecho fundamental a la protección de datos. (STC 292/2000). El artículo 44.3.
- e)de la LOPD dispone: “Son infracciones graves: (…)
- e)El impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada.” IV El artículo 45 de la LOPD, apartados 1, 2, 4 y 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Teniendo en cuenta la ausencia de intencionalidad y que el denunciante recibió un único correo electrónico que contenía información comercial referente al servicios y productos de Canal +. Así como que dicho envío realizado incluía un enlace mediante el cual podía solicitarse la baja de la lista de destinatarios y que incluían en su pie un texto que identifica la fuente de los datos. Por todo ello procede imponer a DTS la sanción en su cuantía de 5.000 €…>> En cuanto a la falta de consentimiento de la denunciante para la cesión de sus datos a la empresa Iahorro, decir que dichos datos ya eran conocidos por dicha entidad, por lo que tal cesión no se hubiera producido. Analizar no obstante que en estos casos no resulta necesario el consentimiento de los afectados, de acuerdo con lo dispuesto en el art. 11.2.
- c)de la LOPD, toda vez que en este caso existe una relación jurídica en virtud de la cual obran en poder de DTS, responsable del fichero y tratamiento, datos personales del afectado que no pueden ser tratados con finalidades publicitarias. Por lo que la comunicación de estos datos responde a una relación libre y legítimamente aceptada por el interesado que manifestó su oposición al uso publicitario de los mismos, comportando que tales datos salgan del círculo de dicha relación jurídica dado que el desarrollo, cumplimiento y control de la misma requiere la necesaria conexión de dicho tratamiento con los ficheros de los terceros que realizan las campañas publicitarias encargadas por esa entidad. Es decir, se produce una comunicación de dicha información a terceros para impedirles que traten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 los datos del denunciante que ha ejercitado el derecho de oposición al tratamiento publicitario de los mismos, lo que justifica el acceso a dichos datos con esa exclusiva finalidad por los terceros que intervienen en la acción publicitaria. Interpretación que, por otra parte, resulta acorde con lo dispuesto en el citado artículo 51.4 del RDLOPD. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 1 de marzo de 2016, en el procedimiento sancionador PS/00583/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es