El Supremo Multa con 40.000 a una empresa por enviar publicidad. Externalizar el envío no exime de responsabilidad

• En una reciente sentencia, la Sala de lo Contencioso-Administrativo del Tribunal Supremo ha establecido que la externalización de las campañas publicitarias no exime a las empresas de su obligación de adoptar las medidas necesarias para hacer efectivo el derecho de sus clientes a oponerse a recibir publicidad

En el caso analizado, el tribunal confirma una multa de 40.001 euros a Mutua Madrileña Automovilista por la publicidad de sus seguros que le llegó vía correo electrónico en diciembre de 2014, dentro de una campaña de marketing externalizada, a un cliente de Mutua que había pedido de forma expresa y reiterada que no se le mandasen correos publicitarios.

El cliente, que tenía tres pólizas de seguro en la Mutua, contaba con dos cuentas de correo electrónico inscritas en la Lista Robinson (servicio de exclusión publicitaria) desde enero de 2012. La cuestión controvertida tiene su inicio el 20 de diciembre de 2011, fecha en la cual ejerció su derecho de oposición al tratamiento de sus datos personales ante Mutua Madrileña, en una comunicación en la que sólo autorizaba a la compañía a que utilizase sus datos personales en lo que resultase imprescindible para el desarrollo de la relación contractual, excluyendo «tratamientos con fines publicitarios o de prospección comercial, «la realización de segmentaciones», «estudios de marketing» o «campañas publicitarias».

El 23 de octubre de 2012, remitió nuevamente un correo a un empleado de Mutua Madrileña con el siguiente mensaje: «Ustedes deben cumplir la ley y no hacer uso de los datos personales. Estoy recibiendo correos con campañas de Mutua Madrileña a pesar de estar dado de alta en la Lista Robinson desde hace 9 meses. Le ruego que indique a cualquier compañía con la que contraten sus campañas publicitarias que comprueben la Lista Robinson y que -independiente o además de la lista- no manden ningún correo publicitario a las direcciones (…) pues están vulnerando mis derechos».

Pese a ello, el 5 de diciembre de 2014, el denunciante recibió en su dirección de correo una comunicación comercial ofertando seguros de coche y moto comercializados por la aseguradora Mutua Madrileña, comunicación que ofrecía un enlace para darse de baja directamente a través del mismo y la dirección de correo@ofertondeldia.com. Al pie del mensaje se informaba de que «Mutua Madrileña es totalmente ajena a este envío no asumiendo ninguna responsabilidad por el mismo».

Esta campaña se realizó por Roiandco, a su vez contratada por Linkemann, que había suscrito con Dantono (la empresa contratada por Mutua), el contrato para la realización de dicha campaña. En fecha 11 de enero de 2015, Roiandco dio de baja del sistema la dirección de correo del denunciante.

En el recurso presentado en el Supremo contra la sentencia de la Audiencia Nacional que confirmó su sanción, Mutua Madrileña alegó que haber comunicado a la empresa que se encargó de realizar la campaña publicitaria la oposición del cliente a recibir publicidad, hubiese supuesto una cesión no consentida de datos.

Y añadió que, en las cláusulas contractuales con esa empresa encargada de la publicidad, se señalaba que la responsabilidad de la protección de datos de carácter personal era de dicha empresa.

Por ello, entendía que no estaba obligada a facilitar a la empresa contratista un fichero de exclusión con los clientes que no querían publicidad, y que debía quedar exonerado de la infracción cometida porque en el contrato suscrito la contratista asumía como propio el cumplimiento de las obligaciones y exigencias de la normativa en materia de protección de datos.

El alto tribunal, en sentencia de la que ha sido ponente el magistrado José María del Riego, rechaza sus argumentos y destaca que Mutua Madrileña Automovilista estaba obligada «a procurar la efectividad de la oposición al tratamiento de datos manifestado por su cliente, aún en el supuesto de externalización de su actividad publicitaria».

«La conducta sancionada de obstaculización o impedimento por Mutua Madrileña del ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de cautela para evitar el envío de publicidad a las direcciones de correo electrónico de su cliente por parte de aquellas empresas a las que encomendó la realización de las campañas publicitarias», agrega.

Asimismo, subraya que «la adopción de las medidas o cautelas necesarias para asegurar la efectividad del derecho de oposición al tratamiento de sus datos por parte de Mutua Madrileña, como responsable del fichero, subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por Mutua Madrileña, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades».

Esa inactividad, o incumplimiento de sus obligaciones para la efectividad del derecho de oposición del cliente, no puede ampararse, señala el Supremo, en la alegación de que la comunicación de dicha oposición a las empresas encargadas de la campaña publicitaria supondría una cesión no consentida de datos, ya que, de acuerdo con lo dispuesto en el artículo 51.4 del Reglamento de la Ley de Protección de Datos, la entidad que hubiese encomendado a un tercero la realización de una campaña publicitaria, debe comunicarle la solicitud del derecho de oposición que ante la misma se hubiera ejercitado.

La sentencia fija como criterio jurisprudencial que «cuando una entidad responsable del tratamiento de datos personales, ante la que se ejercite el derecho de oposición al tratamiento de datos personales para actividades publicitarias, contrate con otra la publicidad de sus productos y servicios, está obligada a adoptar las cautelas y medidas razonables para garantizar la efectividad del derecho de oposición; y una de dichas medidas puede consistir en la comunicación de los datos excluidos de tratamiento publicitario a la empresa con la que contrate la prestación de servicios publicitarios».

Y añade: «Sin que en tal caso aquella entidad responsable del tratamiento de datos personales pueda quedar exonerada de su responsabilidad por la infracción tipificada en el artículo 44.3.e) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos, consistente en el impedimento o la obstaculización del ejercicio del derecho de oposición, en virtud de las cláusulas del contrato celebrado con otra entidad».

El Supremo tampoco acepta que en este caso haya prescrito la infracción, como pedía Mutua, por el hecho de haber transcurrido más de dos años desde la última vez que el denunciante ejerció el derecho de oposición, en octubre de 2012 y el inicio del expediente sancionador, en junio de 2015.

En este sentido, explica que el ilícito en este supuesto es una conducta omisiva (no haber hecho lo que exige la norma) por lo que se da lugar a una infracción permanente mientras se mantenga la inacción, por lo que la fecha de comienzo del cómputo del plazo de prescripción fue la finalización de la conducta infractora y no la de su comienzo.

Así pues, esta importante sentencia establece nítidamente la responsabilidad en relación al tratamiento de los datos personales de clientes. Sin embargo, este criterio apreciado por el Alto Tribunal tiene un antecedente en una sentencia de la Audiencia Nacional de fecha 27 de febrero de 2018.

En esta sentencia la empresa recurrente queda eximida de parte de su responsabilidad ya que acreditó la diligencia empleada en el control de la empresa externa contratada, «en ningún momento ha existido culpa o negligencia por su parte, sino que actuó con la máxima diligencia, de modo que si el encargado del tratamiento realizó una llamadas de teléfono al denunciante, lo hizo por su cuenta y riesgo, al margen de las instrucciones de Jazztel e ignorando los filtros establecidos por dicha recurrente».