Cuatro resoluciones de la AEPD muy similares nos permiten entender, en materia de protección de datos y con un ejemplo real, la diferencia entre responsable del fichero y responsable del tratamiento. Además, en ellas se invoca un principio del derecho curioso, conocido como nemo auditur propriam turpitudinem allegans, o lo que es lo mismo, nadie puede alegar en su favor su propia torpeza.
Durante este año 2016, la Agencia Española de Protección de Datos (AEPD) ha dictado, entre otras, 4 resoluciones muy parecidas todas ellas contra las mismas empresas y motivadas por la recepción de publicidad postal en el buzón de los afectados denunciantes. Ojo, no estoy hablando de comunicaciones comerciales por vía electrónica (spam al email), sino publicidad en el buzón de casa, pero dirigida a una persona concreta con nombre y apellidos.
Los hechos que motivan los procedimientos sancionadores, como digo, son muy simples y en todos los casos hacen referencia a las mismas 2 empresas: el afectado denuncia la recepción, en el buzón de su vivienda, de una carta de contenido comercial o publicitario, dirigida a su nombre y en el que además figura su domicilio. Por tanto no estamos en el caso del clásico buzoneo indiscriminado. En la carta personalizada se convoca al destinatario a un acto comercial a celebrar en un hotel de su localidad.
El destinatario de la carta, ignorando de dónde ha obtenido el remitente sus datos personales, presenta denuncia a la AEPD, comenzando así una interesante investigación.
Pero antes de entrar en el caso concreto, es necesario tener algunos conceptos claros.
La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) define en el artículo 3 el responsable del fichero o tratamiento como la persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
Además, se define dato personal como cualquier información concerniente a personas físicas identificadas o identificables.
Por su parte, el artículo 6.1 de la LOPD contiene una cláusula genérica por la que se establece necesario el consentimiento del titular de los datos personales para su tratamiento. Así lo expresa el precepto legal: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. A continuación, el artículo 6.2 enumera algunas excepciones a este régimen general que no son aplicables a este caso.
Por supuesto, el nombre y apellidos así como el domicilio completo de una persona se consideran «datos de carácter personal», por lo que, salvo que alguna ley disponga otra cosa (que no es el caso), para tratar estos datos personales será necesario el consentimiento de su titular.
Los denunciantes (los destinatarios de las cartas) manifestaron que no han otorgado su consentimiento para el tratamiento de sus datos personales para la remisión de comunicaciones promocionales por vía postal, recayendo por tanto en el responsable de los envíos probar o bien que se dispone del consentimiento o que es posible aplicar alguna excepción a ese consentimiento.
Para no extenderme demasiado -menos mal ¿eh?-, indicar simplemente que por un lado las empresas sancionadas afirman que los datos los habían obtenido de las páginas blancas, los listines telefónicos. En efecto, el artículo 6.2 establece que no será preciso el consentimiento de los titulares de los datos personales cuando éstos se encuentren en «fuentes accesibles al público». Las fuentes accesibles al público están concretadas en la LOPD y una de ellas es precisamente los listines telefónicos confeccionados según la normativa específica correspondiente. Si los datos de los denunciantes estuvieran en las páginas blancas no sería necesario obtener su consentimiento, pero no era el caso. Los denunciantes no figuraban en los listines telefónicos.
No existiendo consentimiento ni excepción aplicable, nos encontramos ante la infracción del artículo 6.1 (tratar datos sin consentimiento) pero si aquí acabara la historia sería una más de tantas en la AEPD.
Pero estas resoluciones tienen algo especial, y antes de explicarlo quiero poner un ejemplo. Imagina que tienes una empresa que quiere realizar una campaña de envío de publicidad al buzón, por ejemplo, de las personas que vivan en una localidad concreta de Madrid. Tu empresa contrata a otra empresa para que haga el filtro, porque tu empresa no tiene ni idea de cómo hacer esos envíos ni tiene los datos de los destinatarios; a esta empresa le pedirías algo así: – Oiga, quiero enviar unas cartas publicitarias a la gente que viva en una localidad concreta de Madrid, yo te mando el contenido de la carta y ya tu seleccionas los destinatarios según tus bases de datos.
La empresa que va a realizar el envío aplica el filtro (la localidad deseada por su cliente) a su base de datos y le salen 400 destinatarios, destinatarios que tú desconoces por completo, porque tú simplemente le vas a dar el contenido de la publicidad para hacer los sobres y no sabes a qué personas concretas se enviarán, no tienes acceso a la base de datos ni al resultado del filtro posterior aplicado según tu criterio.
En este escenario entra en juego el artículo 46 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RDLOPD), que bajo el título Tratamiento de datos en campañas publicitarias, dice así el apartado 2.a:
2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
a) Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
Los parámetros identificativos son las variables utilizadas para identificar el público objetivo o destinatario de una campaña comercial que permitan acotar los destinatarios individuales de la misma (artículo 46.4 RDLOPD).
En este ejemplo, la empresa que tiene la base de datos con miles de registros es la figura conocida como «responsable del fichero», porque es quién tiene la base de datos.
Esa otra empresa que le ha especificado qué concretos filtros aplicar (la gente de la localidad concreta de Madrid) se convierte en «responsable del tratamiento», porque determina unos parámetros concretos del tratamiento de los datos sobre la base de datos del «responsable del fichero», y esto, ojo, sin que el «responsable del tratamiento» llegue a tener conocimiento de los concretos destinatarios que recibirán la publicidad.
Pues esto es justo lo que ha sucedido en estos 4 procedimientos sancionadores que afectan a 2 concretas empresas: una empresa que tiene una base de datos con datos personales para realizar envíos publicitarios y otra empresa que le facilita unos parámetros concretos para acotar los destinatarios (la localidad en este caso).
Dado que ninguna de las dos empresas probaron que disponían del consentimiento de los destinatarios para remitirles publicidad, se le aplica el régimen sancionador correspondiente a ambos, imponiendo a cada una de estas dos empresas 3 multas por un valor de 60 000 euros cada una y otra por cuantía de 40001 euros; en total, 440 000 euros en multas por enviar cartas personalizadas sin consentimiento de los destinatarios.
Vayamos ahora al nemo auditur propriam turpitudinem allegans, que jugó su papel en estas resoluciones sancionadoras.
Este principio, que como digo viene a significar que la torpeza de uno mismo no puede ser alegada en su propia defensa, tiene varias vertientes. No me voy a detener mucho en explicar la teoría de este principio, pero a título ilustrativo y como ejemplo en el ámbito del derecho civil, merece la pena ver el artículo 1305 y 1306 del Código Civil que, dentro de la nulidad de los contratos, el 1306 nos dice que si el hecho en que consiste la causa torpe no constituyere delito ni falta, cuando la culpa esté de parte de ambos contratantes, ninguno de ellos podrá repetir lo que hubiera dado a virtud del contrato, ni reclamar el cumplimiento de lo que el otro hubiese ofrecido.
Es por tanto, una exclusión de la acción de repetición por causa torpe, que cuando está en ambos lados, tiene el efecto descrito: ninguno de ellos puede invocar su torpeza para repetir contra el otro.
En el ámbito administrativo y en el caso concreto de estas resoluciones sancionadoras, nos encontramos con que una de las empresas sancionadas pretendía invocar la nulidad del procedimiento por indefensión, motivada por el hecho de que no ha podido acceder a tiempo al expediente administrativo en fase de alegaciones, por lo que, sin poder conocer de qué se le acusaba, tuvo que hacer su escrito de alegaciones a ciegas, lo cual, afirma, le ha colocado en una situación de indefensión. Según la empresa sancionada, solicitó copia del expediente pero la AEPD tardó mucho en responderle y se le pasaba el plazo para alegar.
La primera torpeza que comete la empresa es entender que, cuando se envía un escrito a la Administración, el día a tener en cuenta es el de la fecha en la que se presenta el escrito en la oficina de correos; esto es un error, ya que la fecha relevante no es cuando se presenta el escrito en correos sino cuando la carta tiene entrada en la Administración actuante de destino, en este caso la AEPD. Así, se quejaba la empresa que el día 8 presentó en correos la solicitud de copia del expediente y la AEPD no se lo envió hasta más de una semana después, el día 16, cuando en realidad la empresa presentó el escrito el día 8, salió de la oficina de correos de origen el día 9 y no llegó a la AEPD hasta el día 14, enviando la copia del expediente el día 16 (por lo que solo transcurrieron 2 días desde que llegó la petición del expediente hasta que se la envió al solicitante).
La segunda torpeza de la empresa es que, en el mismo escrito de solicitud de copia del expediente, podría haber solicitado la ampliación del plazo para alegaciones, en virtud de lo dispuesto en el artículo 49 de la todavía vigente Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, evitando así el vencimiento del plazo sin haber recibido la copia. Pero la empresa sancionada no lo hizo.
La tercera torpeza es que, en la siguiente fase de alegaciones tras la notificación de la propuesta de resolución sancionadora, solicitó la ampliación del plazo el mismo día que vencía ese plazo (y eso a pesar de que hubo varios días festivos inhábiles entre medias) siendo materialmente imposible que se resuelva sobre su concesión dentro de ese plazo, tal como exige el art. 49.3; y como dice la propia AEPD:
A mayor abundamiento, (la empresa) es plenamente conocedora de esta determinación legal, tanto es así que lo alega en el escrito de alegaciones (…)la normativa del procedimiento administrativo sólo permite solicitar y conceder dicha ampliación cuando ambos tengan lugar dentro del plazo inicial concedido.
A pesar de todo ello, la empresa sancionada alegaba la indefensión descrita por no tener copia del expediente a tiempo, pero la AEPD invoca, por primera vez que me conste, el principio antes señalado de nemo auditur propriam turpitudinem allegans, para rechazar la alegación de nulidad por indefensión: nadie puede alegar en su favor su propia torpeza o culpa.
De todo lo anterior podemos extraer dos conclusiones: cuidado al contratar los servicios de empresas para realizar campañas de publicidad que impliquen el tratamiento de datos personales y ojo a los plazos.
Los procedimientos sancionadores comentados son: PS/00435/2015, PS/00436/2015, PS/00536/2015 y PS/00568/2015
En el próximo post de este blog… ¿Cuánto ha costado la construcción del tranvía de Murcia? ¿Es rentable el tranvía en Murcia? ¿Cuánto tiene previsto subir el precio del tranvía en los próximos años? Aplico la ley de transparencia murciana para acceder a datos económicos, contables y de utilización del tranvía de Murcia.
