En el caso examinado, el tribunal confirma una multa de 40.001 euros a Mutua Madrileña Automovilista por la publicidad de sus seguros que le llegó vía correo electrónico en diciembre de 2014, dentro de una campaña de marketing externalizada, a un cliente de Mutua que había pedido de forma expresa y reiterada que no se le mandasen correos publicitarios.
El cliente, que tenía tres pólizas de seguro en la Mutua, contaba con dos cuentas de correo electrónico inscritas en la Lista Robinson (servicio de exclusión publicitaria) desde enero de 2012. Según los hechos probados en el pleito, el 20 de diciembre de 2011 ejerció su derecho de oposición al tratamiento de sus datos personales ante Mutua Madrileña, en una comunicación en la que sólo autorizaba a la compañía a que utilizase sus datos personales en lo que resultase imprescindible para el desarrollo de la relación contractual, excluyendo “tratamientos con fines publicitarios o de prospección comercial, “la realización de segmentaciones”, “estudios de marketing” o “campañas publicitarias”.
Nuevamente, el 23 de octubre de 2012, remitió un correo a un empleado de Mutua Madrileña con el siguiente mensaje: "Ustedes deben cumplir la ley y no hacer uso de los datos personales. Estoy recibiendo correos con campañas de Mutua Madrileña a pesar de estar dado de alta en la Lista Robinson desde hace 9 meses. Le ruego que indique a cualquier compañía con la que contraten sus campañas publicitarias que comprueben la Lista Robinson y que-independiente o además de la lista- NO MANDEN ningún correo publicitario a las direcciones xxx.es y zzz.com pues están vulnerando mis derechos".
El 5 de diciembre de 2014, el denunciante recibió en su dirección de correo zzz.com una comunicación comercial ofertando seguros de coche y moto comercializados por la aseguradora Mutua Madrileña, comunicación que ofrecía un enlace para darse de baja directamente a través del mismo y la dirección de correo ...@ofertondeldia.com. Al pie del mensaje se informaba de que "Mutua Madrileña es totalmente ajena a este envío no asumiendo ninguna responsabilidad por el mismo”. Esta campaña se realizó por Roiandco, a su vez contratada por Linkemann, que había suscrito con Dantono (la empresa contratada por Mutua), el contrato para la realización de dicha campaña. En fecha 11 de enero de 2015, Roiandco dio de baja del sistema la dirección de correo zzz.com del denunciante.
En el recurso presentado en el Supremo contra la sentencia de la Audiencia Nacional que confirmó su sanción, Mutua Madrileña alegó que haber comunicado a la empresa que se encargó de realizar la campaña publicitaria la oposición del cliente a recibir publicidad, hubiese supuesto una cesión no consentida de datos. Y añadió que, en las cláusulas contractuales con esa empresa encargada de la publicidad, se señalaba que la responsabilidad de la protección de datos de carácter personal era de dicha empresa.
Por ello, entendía que no estaba obligada a facilitar a la empresa contratista un fichero de exclusión con los clientes que no querían publicidad, y que debía quedar exonerado de la infracción cometida porque en el contrato suscrito la contratista asumía como propio el cumplimiento de las obligaciones y exigencias de la normativa en materia de protección de datos.
El alto tribunal, en sentencia de la que ha sido ponente el magistrado José María del Riego, rechaza sus argumentos y destaca que Mutua Madrileña Automovilista estaba obligada “a procurar la efectividad de la oposición al tratamiento de datos manifestado por su cliente, aún en el supuesto de externalización de su actividad publicitaria”.
“La conducta sancionada de obstaculización o impedimento por Mutua Madrileña del ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de cautela para evitar el envío de publicidad a las direcciones de correo electrónico de su cliente por parte de aquellas empresas a las que encomendó la realización de las campañas publicitarias”, agrega.
Asimismo, subraya que “la adopción de las medidas o cautelas necesarias para asegurar la efectividad del derecho de oposición al tratamiento de sus datos por parte de Mutua Madrileña, como responsable del fichero, subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por Mutua Madrileña, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades”.
Esa inactividad, o incumplimiento de sus obligaciones para la efectividad del derecho de oposición del cliente, no puede ampararse, señala el Supremo, en la alegación de que la comunicación de dicha oposición a las empresas encargadas de la campaña publicitaria supondría una cesión no consentida de datos, ya que, de acuerdo con lo dispuesto en el artículo 51.4 del Reglamento de la Ley de Protección de Datos, la entidad que hubiese encomendado a un tercero la realización de una campaña publicitaria, debe comunicarle la solicitud del derecho de oposición que ante la misma se hubiera ejercitado.
La sentencia fija como criterio jurisprudencial que “cuando una entidad responsable del tratamiento de datos personales, ante la que se ejercite el derecho de oposición al tratamiento de datos personales para actividades publicitarias, contrate con otra la publicidad de sus productos y servicios, está obligada a adoptar las cautelas y medidas razonables para garantizar la efectividad del derecho de oposición; y una de dichas medidas puede consistir en la comunicación de los datos excluidos de tratamiento publicitario a la empresa con la que contrate la prestación de servicios publicitarios”.
Y añade: “Sin que en tal caso aquella entidad responsable del tratamiento de datos personales pueda quedar exonerada de su responsabilidad por la infracción tipificada en el artículo 44.3.e) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos, consistente en el impedimento o la obstaculización del ejercicio del derecho de oposición, en virtud de las cláusulas del contrato celebrado con otra entidad”.
El Supremo tampoco acepta que en este caso haya prescrito la infracción, como pedía Mutua, por el hecho de haber transcurrido más de dos años desde la última vez que el denunciante ejerció el derecho de oposición, en octubre de 2012 y el inicio del expediente sancionador, en junio de 2015. La sentencia explica que el ilícito en este supuesto es una conducta omisiva (no haber hecho lo que exige la norma) por lo que se da lugar a una infracción permanente mientras se mantenga la inacción, por lo que la fecha de comienzo del cómputo del plazo de prescripción fue la finalización de la conducta infractora y no la de su comienzo.
