← España

REPOSICION-PS-00631-2015

1/9 Procedimiento nº.: PS/00631/2015 ASUNTO: Recurso de Reposición Nº RR/00316/2016 Examinado el recurso de reposición interpuesto por la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00631/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 5 de abril de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00631/2015 , en virtud de la cual se imponía a la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la LOPD, una multa 40.001 ( cuarenta mil un euro) de conformidad con lo establecido en el artículo 45 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 08/04/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00631/2015, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS Uno.- La denunciante es titular del número C.C.C. que está incluido en el Servicio de Lista Robinson desde el 7/03/2013. (Folio 5 a 6) Dos.- En fecha de 23/12/2014 recibe una llamada comercial desde el número B.B.B. cuya titularidad corresponde a SANTA LUCIA. (Folio 25 y 26) Tres.- SANTA LUCIA adquirió una base de datos a ONE DIRECT en fecha de 19/05/2014 (Folio 31), en la que afirma que se encontraban los datos personales de la denunciante. Cuatro.- Los datos personales de la denunciante no constan en el repertorio de abonados al servicio telefónico. (Folio 33) TERCERO: SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS (SANTA LUCIA en adelante) ha presentado en fecha 06/05/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en -La resolución sostiene que no hay prueba alguna del origen de los datos, sin embargo hay una factura que ya determina la existencia de una prueba. Asimismo se aporta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 captura de pantalla de la base de datos INFOBEL donde constan los datos de la denunciante. -Respecto del derecho de cancelación de la denunciante, SANTA LUCIA no puede asumir eventos posteriores a su intervención efectiva, ya que el intento de baja se produce con posterioridad a la llamada verificada. Debe retrotraerse todo al momento en que la denunciante se inscribe en Lista Robinson, pues ahí se genera la obligación a ONE DIRECT de indicar la exclusión de la afectada. -Aplicación del art. 45.5 LOPD por aplicación del principio de proporcionalidad, se tenían implantados procedimientos adecuados de actuación en la recogida y tratamiento de datos, ( empleados dedicados a todo lo referente al tratamiento o de datos personales y un servicio externo de asesoramiento) ; la infracción fue consecuencia de una anomalía en el funcionamiento de los procedimientos advertidos anteriormente, pues de haberse recibido el derecho de cancelación nada hubiera ocurrido; otras circunstancias como que el error fue atendido desde que se tuvo conocimiento de mismo, la inscripción en Lista Robinson no tenía reflejo en el producto INFOBEL. -ONEDIRECT debería asumir responsabilidad ya que ante la usencia de indicativos que obstaran al tratamiento denunciado SANTA LUCIA procedió a realizar la llamada. Actuado con la precaución exigible dada la información de la que disponía. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por SANTA LUCIA, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del III al VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: << III. Sobre el estatus la entidad imputada y el elemento subjetivo en la comisión de la infracción. Dispone el art. 43.1 de la LOPD: 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Dispone el art. 3 de la LOPD en cuanto al concepto de responsable del tratamiento que: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” En el presente caso ha resultado acreditado que SANTA LUCIA realizo una campaña publicitaria cuyos destinatarios eran las personas que constaban en el fichero comprado a ONE DIRECT COMUNICACIONES y que tras la instrucción del presente expediente sancionador, ha resultado que no contenía el consentimiento de la denunciante. Las alegaciones de SANTA LUCIA formuladas tanto al Acuerdo de inicio como a la Propuesta de Resolución, pretenden excluir su responsabilidad en detrimento de ONE DIRECT en la medida en que afirma actuar en la creencia de la legalidad de la base de datos y además que dicha entidad no comunico el ejercicio del derecho de cancelación. Pues bien, debe señalarse que SANTA LUCIA únicamente realiza manifestaciones, sin prueba alguna. Es decir, no consta elemento de juicio alguno del que se desprenda que actuaba en la creencia de estar actuando en la más estricta legalidad como afirma. Tan solo aporta una factura de la que en modo alguno puede deducirse el despliegue de diligencia ninguna, ni comprobación adicional de muestreos, etc.,. en este sentido la Propuesta de Resolución pone de manifiesto estos extremos y SANTA LUCIA, S.A. guarda silencio en sus alegaciones formuladas a la citada propuesta. En segundo lugar, por más que insista SANTA LUCIA S.A., en sus alegaciones formuladas a la Propuesta de Resolución, no se puede sino confirmar la apreciación del Instructor en el sentido de que la conducta típica y antijurídica se inicia en un estadio temporal distinto, es decir, cuando se realiza la llamada en fecha de 23/12/2014, y el tan citado ejercicio del derecho de exclusión de guias o baja, se realiza en fecha de 24/12/2014, por lo que aun habiendo comunicado INFOBEL el citado derecho, no se hubiera evitado la conducta típica. Es más, la propia Audiencia Nacional en Sentencia de fecha 30/04/2015 recaída en el Recurso Contencioso-Administrativo núm. 242/2013, analiza un supuesto en el que el beneficiario de la publicidad utiliza por encargo una base de datos respecto de la que el propietario de la misma le garantiza por contrato la legalidad de la misma. Pues bien, el tribunal resuelve que no basta con que por contrato se garantice la adecuación de la misma a la norma, sino que es preciso actuaciones adicionales para comprobar dicha legalidad. (…)lo estipulado en el contrato sobre el tratamiento de datos personales es genérico, ya que se viene a referir a que Todo Data Integral Services, S.L., debe cumplir las previsiones contenidas al efecto en la LOPD, no estableciendo ninguna medida tendente al cumplimiento de dichas obligaciones por parte de la parte recurrente. Con ello no se excluye, como pretende la parte actora, la responsabilidad de ésta en el tratamiento de datos. En efecto, se olvida dicha parte del apartado 3 del art. 46 del RDLOPD, no habiendo probado, ni siquiera alegado, qué medidas necesarias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 adoptó para asegurarse de que la entidad contratada, Todo Data Integral Services, S.L., había recabado los datos cumpliendo las exigencias establecidas tanto en la LOPD como en el RDLOPD. Como dijimos en la Sentencia de 3 de octubre de 2007 -recurso nº. 38/2006-, la responsabilidad del tratamiento de datos “le obligaba a extremar la diligencia hasta el punto de que debía informarse de la procedencia de los datos personales utilizados por la responsable del fichero en la campaña publicitaria. Campaña publicitaria que se efectuó en exclusivo beneficio de dicha entidad recurrente…”. (El subrayado es de la Agencia Española de Protección de Datos). Por su parte, el art. 49.4 del RDLOPD, determina lo siguiente: Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento. En el caso analizado no consta que SANTA LUCIA hubiera consultado el servicio de Lista Robinson de AIDIGITAL (único fichero común de exclusiones publicitarias a día de hoy) para evitar el tratamiento de datos incontenido, o que el vendedor de la base de datos acreditara tal extremo. En conclusión, ni siquiera existe un contrato o como se ha dicho antes, cualquier elemento de juicio que excluya el elemento subjetivo de SANTA LUCIA en la comisión de la infracción o previsión alguna de consulta del fichero común ex art. 49.4 RDLOPD. IV. Sobre la conducta típica. Dispone el artículo 44.3.
  2. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” De acuerdo con lo dispuesto en el art. 6 de la LOPD, SANTA LUCIA, no ha acreditado que tenían el consentimiento de la denunciante para el tratamiento de los datos, ni otra circunstancia prevista en el apartado 2 del citado artículo que dispense la obtención del mismo. Acreditado el tratamiento de datos personales la entidad denunciada no ha presentado ninguna prueba que pueda evidenciar que contaba con el consentimiento de la denunciante, o que se daba alguna de las excepciones previstas en el apartado 2 del tan citado artículo 6 LOPD, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. V. Sobre la gravedad de la infracción, la culpabilidad y antijuridicidad de los hechos y la sanción a imponer. El artículo 45 de la LOPD, establece, en sus apartados 2, 4 y 5, lo siguiente: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  3. a)El carácter continuado de la infracción.
  4. b)El volumen de los tratamientos efectuados.
  5. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  6. d)El volumen de negocio o actividad del infractor.
  7. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  8. f)El grado de intencionalidad.
  9. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  10. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  11. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  12. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9
  13. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  14. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  15. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  16. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  17. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. VI.- Determinación de la gravedad y cuantía de la sanción a imponer a SANTA LUCIA. En relación con la infracción cometida por SANTA LUCIA no existen elementos que permitan aplicar lo dispuesto en el art. 45.5 de la LOPD, pues no consta elemento que atenué la culpabilidad o la antijuridicidad de la conducta, pues no adopto medida alguna tendente a comprobar que la base de datos adquirida podía ser utilizada con fines publicitarios, ni estableció mecanismo alguno de consulta del fichero común de exclusión de AIDIGITAL, que de haberse hecho hubiera evitado la comisión de la infracción. SANTA LUCIA, alega la concurrencia de varias circunstancias significativas ex art. 45.4 LOPD que darían cabida a la aplicación del art. 45.5 LOPD, cita el art. 45.4
  18. i)la instauración con anterioridad, de procedimientos adecuados en la recogida y tratamiento de datos, mencionando determinado personal destinado al efecto. Art. 45.4 i LOPD: Asimismo señala que la infracción es una consecuencia de una anomalía en el funcionamiento de los procedimientos relacionándolo con el art. 32.3 RDLOPD que de haber comunicado la baja se hubiera evitado la infracción. Sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 embargo SANTA LUCIA, pasa por alto que el citado ejercicio del derecho es posterior a la llamada, por lo que nada se podrá haber evitado. Cita asimismo el art. 45.4
  19. j)“otra circunstancia que sea relevante…(…) explicando que la irregularidad fue provocada por la concurrencia de factores relativos a procesos, más o menos complejos, de cooperación entre distintas sociedades. Sin embargo obvia SANTA LUCIA que no existen tales procesos de cooperación de distintas sociedades, simplemente manifiesta que adquirió una base de datos de una tercera entidad, aportando tan solo una factura de la que no se desprende garantía de legalidad alguna, siendo irrelevante la comunicación o no del derecho de exclusión de guías, pues como se ha reiterado durante la presente Resolución, la llamada fue realizada con anterioridad. Tampoco existe un mero error, como afirma SANTA LUCIA, puesto que la denunciante está inscrita en el fichero de exclusión publicitaria de AIDIGITAL y ni siquiera alega nada al respecto de la razón por la cual no consulto tal fichero, ni tampoco consta documentación alguna en la que el vendedor de la base de datos (aun admitiendo que los datos de la denunciante constaran en INFOBEL) garantizara el cumplimiento de dicha obligación ex art. 49.4 RDLOPD. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  20. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Por su parte, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, y en la valoración del grado de dicha diligencia, ha de ponderarse especialmente la profesionalidad o no del sujeto, y en el presente caso no puede dejar de observarse que la entidad, por su actividad aseguradora de personas físicas, ( sin perjuicio de personas jurídicas) ha de ser conocedora de los mandatos de la LOPD, tanto en la contratación de sus productos, como en la promoción de los mismos, es decir, siempre hay detrás personas físicas amparadas por la protección que otorga la LOPD, siempre hay un tratamiento de datos personales. Lo que le hace tributaria del conocimiento de la norma que regula dicha actividad, es decir la LOPD, por lo que ha de insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto (STS de 5 de junio de 1998). Asimismo, debe tenerse en cuenta que SANTA LUCIA ha sido sancionada anteriormente mediante la resolución R/1303/2013 (confirmada por la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Nacional en el Recurso Contencioso-Administrativo 347/2013 de 26/09/2014), por lo que concurre la reiteración en su conducta. Por todo lo anterior, no es posible apreciar la degradación prevista en el apartado 5. En cuanto a la graduación de la sanción, de acuerdo con el art. 45.4 de la LOPD, se determina la sanción en la cuantía mínima que permite el precepto, 40.001€.>> III No puede prosperar la focalización temporal de los eventos que pretende SANTA LUCIA en cuanto al ejercicio del derecho de cancelación, pues el origen de la conducta que se sanciona acontece en un estadio anterior a dicho ejercicio del derecho y en todo caso al momento de realizar la llamada. Pero lo fundamental es que la denunciante no es cliente de su entidad, y le incumbe la obligación de consulta de los ficheros de exclusión previstos en el art. 49.4 del RDLOPD -Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento- y nada ha acreditado en este sentido. Finalmente, en cuanto a la valoración de los criterios de graduación previstos en el art. 45 de la LOPD, SANTA LUCIA no presente en este recurso elementos que permitan reconsiderar la aplicación del derecho sustantivo que se desprende de los Fundamentos de Derecho dedicados a tal fin en la resolución recurrida. Por lo tanto, en el presente recurso de reposición, SANTA LUCIA, no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 5 de abril de 2016, en el procedimiento sancionador PS/00631/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad COMPAÑIA DE SEGUROS Y REASEGUROS. SANTA LUCIA, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.