Fundamentos destacados: 60. En efecto, con esta acción se evidencia que tanto GSP como Oncosalud ejercían una posición de control sobre el tratamiento de datos personales del banco de datos de titularidad de Biznes, toda vez que luego de que el denunciante formulara su denuncia por tales hechos, dichas empresas incorporaron el número telefónico de denunciante en su base de datos de personas no contactables (lista Robinson). Es decir, el denunciante tuvo que ejecutar una acción de presión (mediante la interposición de una denuncia) a efectos de que Oncosalud decidiera adoptar una medida disuasiva o de control para evitar que se continúe con el tratamiento de datos personales del denunciante de manera indebida.
61. En consecuencia, esta Dirección General estima que Oncosalud es responsable del tratamiento de los datos personales de clientes o potenciales clientes a quienes directa o indirectamente (a través de terceros o empresas subcontratadas para el ofrecimiento de sus servicios) realice o ejerza algún tipo de contactabilidad a través de cualquier medio (escrito, verbal, entre otros). Por tanto, se encuentra obligada a adoptar las medidas técnicas y organizativas respectivas que conlleven al cabal cumplimiento de la LPDP y su Reglamento.
Resolución Directoral Nro. 009-2023-JUS/DGTAIPD
Lima, 8 de marzo de 2023
EXPEDIENTE Nro.: 158-2020-JUS/DGTAIPD-PAS
ADMINISTRADO: ONCOSALUD S.A.C.
MATERIAS: Responsable de tratamiento de datos personales.
VISTOS:
El recurso de apelación presentado por Oncosalud S.A.C. (Código de Registro Nro. 1575) contra la Resolución Directoral Nro. 3439-2021-JUS/DGTAIPD-DPDP de 7 de diciembre de 2021; los escritos de 15 de febrero de 2021 (Registro Nro. 284808) y 31 de marzo de 2022 (Registro Nro. 112232); y, los demás actuados en el Expediente Nro. 158-2020-JUS/DGTAIPD-PAS.
CONSIDERANDO:
I. ANTECEDENTES
1. El 3 de marzo de 2020, mediante un correo electrónico, el señor XXXX (en adelante, el señor XXXX o el denunciante) reportó haber recibido llamadas por parte de la empresa Oncosalud S.A.C. (en adelante Oncosalud o la administrada), sin haber brindado sus datos personales para que le efectuaran tales comunicaciones, por lo cual solicitó que se elimine su número telefónico de la base de datos de dicha empresa.
2. Mediante el Informe de Fiscalización Nro. 181-2020-JUS/DGTAIPD-DFI-AARM[1] de 14 de septiembre de 2020, se remitió a la Directora de la DFI el resultado de la fiscalización a la administrada, concluyendo que se determinaron preliminarmente las circunstancias que justificarían el inicio de un procedimiento administrativo sancionador contra Oncosalud por un presunto incumplimiento de las disposiciones contenidas en la Ley Nro. 29733, Ley de Protección de Datos Personales (en adelante la LPDP) y su Reglamento, aprobado por Decreto Supremo Nro. 003-2013-JUS (en adelante el Reglamento de la LPDP). Dicho informe fue notificado a la administrada el 24 de septiembre de 2020[2] a través del Oficio Nro. 875-2020-JUS/DGTAIPD-DFI.
3. Mediante el escrito del 20 de octubre de 2020 (Código de Registro Nro. 480129), Oncosalud formuló sus observaciones al informe de fiscalización.
4. A través de la Resolución Directoral Nro. 204-2020-JUS/DGTAIPD-DFI[3] del 30 de diciembre de 2020, la DFI inició un procedimiento administrativo sancionador contra Oncosalud por el presunto tratamiento de los datos personales del denunciante, para fines publicitarios y comerciales, sin haber obtenido su consentimiento, incumpliendo lo dispuesto en el artículo 13.5 de la LPDP y el artículo 12 de su Reglamento. Esta conducta configuraría la infracción grave tipificada en el literal b) del numeral 2 del artículo 132 de dicho Reglamento.
5. Por escrito del 2 de febrero de 2021 (Código de Registro Nro. 118150), Oncosalud presentó sus descargos frente a los hechos imputados.
6. Mediante la Carta Nro. 104-2021-JUS/DGTAIPD-DFI del 23 de marzo de 2021[4], se solicitó a Oncosalud que indique la cantidad de productos y programas que vendieron a través de los call centers desde el 2017. Dicho pedido fue absuelto mediante escrito del 30 de marzo de 2021 (Código de Registro Nro. 59470).
7. Mediante Informe Nro. 069-2021-JUS/DGTAIPD-DFI del 31 de mayo de 2021, la DFI el Informe Final de Instrucción, remitiendo a la Dirección de Protección de Datos Personales (en adelante la DPDP) los actuados en el expediente a fin de que resuelva en primera instancia el procedimiento administrativo sancionador.
8. Por Resolución Directoral Nro. 100-2021-JUS/DGTAIPD-DFI del 31 de mayo de 2021, la DFI dio por concluidas las actuaciones instructivas correspondientes al procedimiento sancionador seguido contra Oncosalud.
9. Por escrito del 15 de junio de 2021 (Código de Registro Nro. 126958), Oncosalud formuló sus observaciones al informe final de instrucción reiterando los argumentos esgrimidos a lo largo del procedimiento.
10. Por Resolución Directoral Nro. 2846-2021-JUS/DGTAIPD-DPDP del 6 de octubre de 2021, la DPDP amplió el plazo de caducidad para resolver el procedimiento por 2 meses adicionales.
11. Por Resolución Directoral Nro. 3439-2021-JUS/DGTAIPD-DPDP del 7 de diciembre de 2021, notificada a Oncosalud en la misma fecha mediante Carta Nro. 2700-2021-JUS/DGTAIPD-DPDP, la DPDP resolvió lo siguiente:
(i) Sancionar a Oncosalud con una multa de 28.13 Unidades Impositivas Tributarias (en adelante UIT) por la comisión de la infracción imputada.
(ii) Imponer a Oncosalud como medida correctiva la inclusión de medidas en las que se refuerce el control sobre las actividades que componen los encargos y/o subcontrataciones de tratamiento de datos personales, específicamente sobre actividades de prospección comercial a través de llamadas de televentas; así las encaminadas a reforzar, en dicho marco, la comunicación con los encargados y terceros subcontratados respecto de denegatorias de consentimientos de tratamiento de datos personales y ejercicios de derechos de sus titulares, a fin de que pueda estar siempre en posición de demostrar que cumple con solicitar adecuadamente el consentimiento de los receptores de las llamadas de televentas y con cesar en el tratamiento de los datos personales que no consentidos.
12. El 4 de enero de 2022 (Código de Registro Nro. 1575), Oncosalud apeló la Resolución Directoral Nro. 3439-2021-JUS/DGTAIPD-DPDP del 7 de diciembre de 2021 con base en los siguientes argumentos:
Sobre la tercerización del servicio de venta de sus programas oncológicos
(i) Su empresa terceriza el servicio de venta de sus programas oncológicos con diversas empresas, las cuales, para la contactabilidad, utilizan su propia base de datos y no alguna entregada por Oncosalud.
(ii) La tercerización de dicho servicio la realiza a través de la empresa GSP Servicios Comerciales S.A.C. (en adelante GSP), con la que mantiene un contrato vigente a fin de que se encargue de la prestación de servicios de asesoría, promoción y venta de programas y productos que Oncosalud ofrece en el mercado. Eventualmente GSP puede utilizar su propio personal o subcontratar a otras empresas para la ejecución de la prestación acordada con Oncosalud. Por tanto, es GSP quien ejecuta la venta de los programas y productos de Oncosalud y se materializa mediante las afiliaciones de usuarios.
(iii) Debido a ello, su empresa tiene conocimiento de que GSP ha subcontratado con distintas empresas de call center para que realicen la gestión comercial de las ventas. Entre ellas, la empresa Biznes, que cuenta con una base de datos propia para realizar servicios de prospección comercial, la cual es empleada para ofertar los servicios de Oncosalud. En tal sentido, es Biznes la empresa que ostenta el control sobre el tratamiento de la información de los clientes que maneja en su propia base de datos y que la usa para los fines que estime convenientes.
(iv) En el caso particular del denunciante, las llamadas objeto de cuestionamiento en su denuncia provinieron de la base de datos de Biznes.
Por tanto, es dicha empresa la que eventualmente podría resultar responsable por cualquier incumplimiento normativo que pueda surgir. Ello se encuentra acorde con lo resuelto por la propia DPDP en un caso anterior mediante la Resolución Directoral Nro. 378-2017-JUS/DGTAIPD-DPDP, donde se indicó que las empresas de call center son los titulares de la base de datos personales y no Oncosalud.
(v) Incluso, a partir de lo resuelto en dicha Resolución Directoral Nro. 378-2017- JUS/DGTAIPD-DPDP es posible concluir que la DPDP validó el esquema de negocio en el que se terceriza el servicio de contactabilidad, estableciendo responsabilidades distintas para cada uno de los intervinientes, así como se exoneró a Oncosalud de la responsabilidad que se le asigna al titular o responsable del tratamiento. Por tanto, la autoridad debió resolver acorde con el principio de predictibilidad o confianza legítima, pues se ha generado la expectativa razonable de que no podría ser responsable por el tratamiento efectuado por las empresas tercerizadas de call center.
(vi) Sin embargo, en la resolución impugnada la DPDP decidió apartarse del criterio de la Resolución Directoral Nro. 378-2017-JUS/DGTAIPD-DPDP, al señalar que para atribuir responsabilidad por el tratamiento ilícito de datos lo importante será fijarse en el beneficio que se obtiene con dicho tratamiento.
Sobre el responsable del tratamiento
(vii) El Reglamento de la LPDP prevé que el responsable de tratamiento será aquél que decida sobre el tratamiento de los datos personales, aun cuando estos no se encuentren en un banco de datos personales. Así, dicha responsabilidad recae en: (a) las personas que realizan tratamiento de datos personales que no pertenecen a un banco de datos; (b) encargados que asumen la obligación de determinar la forma de tratamiento de los datos que les han sido encargados; y, (c) titulares del banco de datos personales.
(viii) Oncosalud no se encuentra en ninguno de esos supuestos, puesto que, tal como se ha mencionado previamente, los call centers realizan las llamadas a clientes que se encuentran en su propia base de datos y no en una que haya sido proporcionada por Oncosalud. Por tanto, resulta incorrecto lo señalado en la resolución impugnada referente a que no es necesaria la entrega de información por parte del titular o responsable, pues se desconoce el ámbito de lo dispuesto en la propia norma legal.
(ix) Cabe precisar que los discursos o speeches que Oncosalud proporciona a los call centers se da como medida de prevención ante la eventual responsabilidad de Oncosalud como proveedor del servicio cuando un cliente decide contratar algún programa y no como medida de control del tratamiento de datos personales.
(x) El posible beneficio comercial e interés en el tratamiento de datos personales no se encuentra configurado como un criterio legal para determinar el rol de responsable. Por tanto, no es posible imputar que Oncosalud el tratamiento de datos personales para fines publicitarios y comerciales infringiendo lo relativo al consentimiento. Es más, Oncosalud únicamente se ve beneficiada (y satisface sus intereses) cuando, a partir de la llamada que realiza el call center, el usuario, acepta afiliarse al programa oncológico ofrecido y es recién a partir de este momento en el que los datos del usuario pasan a formar parte de la base de datos de clientes de Oncosalud, no antes.
Sobre el ejercicio del derecho de cancelación por parte del denunciante
(xi) La DPDP señala que la negativa del titular del dato no se puede tratar como el ejercicio de su derecho de cancelación y, por ende, establece como criterio que la eliminación de la información de la base de datos se realice de manera inmediata. Sin embargo, el Reglamento de la LPDP establece que, si el titular de datos personales decide negar de manera total la posibilidad de tratamiento de sus datos, esta manifestación de voluntad se tratará bajo las reglas de cancelación. Por tanto, el plazo para la atención de dicho ejercicio es de diez (10) días hábiles y no de manera inmediata como lo señala la DPDP.
Sobre los presuntos vicios de nulidad de la resolución materia de apelación
(xii) La DPDP ha vulnerado los principios de legalidad y tipicidad que regula el procedimiento administrativo sancionador, emitiendo un pronunciamiento que contraviene el ordenamiento jurídico al realizar una interpretación de la definición de titular o responsable que sobrepasa la definición que la norma precisa
(xiii) Asimismo, la resolución no se encuentra debidamente motivada, pues la DPDP en su fundamentación sostiene premisas que carecen de sustento jurídico y que no corresponden a los alegatos realizados por Oncosalud en el procedimiento. Así, la DPDP realiza una interpretación sobre la definición de titular o responsable del tratamiento de datos que excede lo dispuesto normativamente e incluye los conceptos de beneficio comercial e interés como elementos dirimentes para identificar a dichos sujetos (titular y responsables del tratamiento), pese a que ello no está contemplado ni en la Ley ni en el Reglamento.
Sobre la subsanación o enmienda de la infracción
(xiv) La DPDP no ha considerado la posibilidad de eximir la responsabilidad de Oncosalud debido a que el denunciante manifestó que habrían existido otras llamadas recurrentes, pese a su negativa y su pedido expreso de supresión de su información.
(xv) Sin embargo, las acciones desplegadas para que los datos del denunciante sean eliminados de su base de datos no las realizó como titular o responsable del tratamiento, sino como una acción diligente al tomar conocimiento del malestar del denunciante. Por tanto, buscó que el call center, es decir, Biznes, sea quien pueda tomar las acciones necesarias para brindarle una atención óptima. Antes del inicio del presente procedimiento, coordinó con GSP a fin de que este último adopte las medidas necesarias para que los call centers (entre ellos, Biznes) no se vuelvan a contactar con el denunciante.
[Continúa…]
Descargue la resolución aquí
[1] Obrante en los folios 133 a 137 del expediente.
[2] Obrante en los folios 138 a 140 del expediente.
[3] Obrante en los folios 269 a 276 del expediente.
[4] Obrante en el folio 454 del expediente.
