Resolucion Directoral N° 1442-202 1-JUS/DGTAIPD-DPDP Expediente N’ 121-2019-JUSIDGTAIPD-PAS Hine|, 04; dejunio'de’2021 visTos, El Informe N° 105-2020-JUS/DGTAIFD-DFI del 30 ce setiembre de 2020', emitido par la Direccion de Fiscalizacion e Instruccion de la Direccion General de Transparencia, Acceso a la Informacion Publica y Proteccion de Datos Personales (en adelante, la DF), y demas dacurnentas que abran en el respectivo expedierte, y; CONSIDERANDO: | Antecedentes 1. Mediante Provefdo del 30 de enero de 2019? se dispuso iniciar actacones de fiscalizacion a SCOTIABANK PERU S.A.A. (en adelante, la administrada), en atenciin a los Inforres de Fiscalizacion N° 164-2018-JUS/DGTA PD-DFI-AARM N° 187-2018-JUS/OGTAIPD-DFI-AARM; y N° 006-2019-JUS/DGTAIPD-DF- AARM, con el objeto de determinar si cuenta con el consentimiento de los titulares de los datos personales transferidos a IDEAS DIFERENTES S.A.C; AC CONTACT CENTER S.A, y GESTION DE SERVICIOS DE COMPARTIDOS SAC. para la gestion de telemarketing, trasunténdose copias simples al presente expediente, en relacién al tratamiento de datos verificado en los exedentes N° 045-2018-DFl, 047-2018-DFl, y 069-2018-DFl. El citado proveido fue natificada por medio del Oficio N° 113-2019-.JUS/DGTAIPD-DFI? del O86 de febrero de 2019. 2. Mediante Oficio N° 196-2019-JUS/DGTAIPD-DFI* del 08 de marzo de 2019 se requirié informacion a a adrninistrada ‘olies 708 4723 zolou0t 30283 srolias 256 Ela es una copia autértica imprimikle de un documento election archivado por el Ministerio ce Judiciay Derechos: Humenos, alicando b disauese pcr el at 25 de DS. 070-2013PCM y la Terosa Dispascien Complemertaria Final el DS, 025-2076-PCM. Su avtentiddadle Integidad pueden ser contrastadss através de la siguerle dreccin wen: hips: feu minjus.gob pefcestio>_webfogn jp © ngresando al Tipo de Doaumento, Numewo yRango de Fectas oe sel caso o tips: fsgeLmnjus gcb pelgesdoc_webverica jsp e ingesardo Tipo de Decumento, Numero, Remtente y Af, seginconesponda, Pagina’ de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 3. Por escrito del 21 de mayo de 2019 (Hoja de Tramite N° 035604-2019MSC)’ la administrada presenté documentacién 4. Por escrito del 06 de junio de 2019 (Hoja de Tramite N° 040219-2019MSC)° la administrada presentd documentacién. 5. _ Mediante Proveido del 07 de junio de 20197 se amplis el plazo de fa fiscalizacién del presente procedimiento por cuarenta y cinco (45) dias habiles adicionales, los mismos que se contaran a partir del 07 de junio de 2019. El citado proveido fue notificado por medio del Oficio N° 475-2019-JUS/DGTAIPD-DFI? del 12 de junio de 2019. 6. Por escrito del 07 de junio de 2019 (Hoja de Tramite N° 040716-2019MSC) la administrada presents documentacién. 7. Mediante Proveide del 26 de junio de 2019"° se dispuso iniciar acciones de fiscalizacion a la administrada segin lo dispuesto en las Resoluciones Directorales N° 41-2019-JUS/DGTAIPD-DFI, N° 70-2019-JUS/DGTAIPD-DFI, y N° 101-201 9-JUS/DGTAIPD-DFI, en relacién a la gestién de venta via telefénica a sus clientes respecto a las obligaciones de informar y solicitar validamente el consentimiento para fines publicitarios. El citado proveido fue notificado por medio del Oficio N° 578-2019-JUS/DGTAIPD-DFl" del 10 de julio de 2019. 8. Mediante Informe de Fiscalizacién N° 121-2019-JUS/DGTAIPD-DFI-AARM” del 12 de agosto de 2019, se remitié a la Directora de la DFI el resultado de la fiscalizacién realizada, adjuntando las actas de fiscalizacién, asi como los demas ‘anexos y documentos que conforman el respectivo expediente. El citado informe fue notificado por medio de! Oficio N° 700-2019-JUS/DGTAIPD-DFI" del 20 de agosto de 2019. 9. Por eseritos del 30 de enero de 2020 (Hoja de Tramite N° 006650-2020MSC)'"* y (Hoja de Tramite N° 006653-2020MSC-2020MSC)'* la administrada se apersoné al procedimiento, 10. Mediante Resolucién Directoral N° 023-2020-JUS/DGTAIPD-DFI'® del 20 de febrero de 2020, la DFI resolv iniciar procedimiento administrative sancionador a la administrada por, presuntamente: 5 Folios 265 « 406 "Folios 412.8 528 " Fale 529 5 Fala 531 * Folios 833 a S84 "Folio 582 "= Folios 601 @ 604 "© Folios 605 @ 818 Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 2 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP i) Realizar tratamiento de datos personales de sus clientes que obtienen la tarjeta de crédito mediante una llamada telefénica sin informarles lo requetido por el articulo 18 de la LPDP. ii) Realizar tratamiento sin consentimiento, al: a) Realizar tratamiento de datos Petsonales con fines publicitarios, sin el consentimiento informado de los clientes que adquieren la tarjeta de crédito via telefénica; y, b) gestionar la televenta de su producto tarjeta de crédito, sin contar con el consentimiento de los titulares de los datos y, en otros casos, el consentimiento obtenido pata dicho tratamiento seria invalido. Obligacién establecida en el inciso 13.5 del atticulo 13 de la LPDP y el articulo 12 del Reglamento de la LPDP. 11. Mediante Proveido del 12 de agosto de 2020" se dispuso volver a notificar a la administrada con la resolucién de inicio de procedimiento administrative sancionador. El citado proveido fue notificado por medio del Oficio N* 694-2020- JUS/DGTAIPD-DFI"® del 12 de agosto de 2020. 12. Mediante Proveido del 19 de agosto de 2020" se dispuso ampliar el plazo de la Instruccién a la administrada por cincuenta (50) dias habiles adicionales, los mismos que se contardn a partir del 20 de agosto de 2020. El citado proveido fue notificado por medio del Oficio N° 819-2020-JUS/DGTAIPD-DFI* del 02 de ‘setiembre de 2020. 13. Por escritos del 01 de julio de 2020 (Hoja de Tramite N° 2020USC-235760)" y 07 de setiembre de 2020 (Hoja de Trdmite N* 2020USC-356561)", la administrada presenté documentacién. 14, Mediante Informe N° 105-2020-JUS/DGTAIPD-DFI del 30 de setiembre de 2020, la DFI emitié el Informe Final de Instruccién, remitiendo a la Direccién de Proteccién de Datos Personales de la Direccién General de Transparencia, ‘Acceso a la Informacién Publica y Proteccién de Datos Personales (en adelante, la DPDP) los actuados para que resuelva en primera instancia el procedimiento administrative sancionador iniciado, recomendando: i) Imponer sancién administrativa de multa ascendente a veinticinco (25) U.I.T. a SCOTIABANK PERU S.A.A., por el cargo acotado en el Hecho Imputado N° 01, por infraccién grave tipificada en el literal a, numeral 2, del articulo 132 del Reglamento de la LPDP: “No atender, impedir u obstaculizar ef ejercicio de los derechos del titular de datos personales de acuerdo a lo establecido en ef Titulo lil de la Ley N° 29733 y su Regiamento" i) Imponer sancién administrativa de multa ascendente a treinta y ocho (38) ULLT. a SCOTIABANK PERU S.AA., por el cargo acotado en el Hecho Imputado N° 02, por infraccion grave tipificada en el literal b, numeral 2, del articulo 132 del Reglamento de la LPDP: "Dar tratamiento a los datos personales sin el consentimiento libre, expreso, inequivoco, previo e 2! Folios 55 & 700 Folios 625 @ 853 Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 3 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP informado del titular, cuando e! mismo sea necesario conforme a lo dispuesto en la Ley N° 29733 y su Reglamento" 15. Mediante Resolucién Directoral N° 128-2020-JUS/DGTAIPD-DFI> del 30 de setiembre de 2020, la DFI dio por concluidas las actuaciones instructivas correspondientes al procedimiento sancionador, La citada resolucién fue notificada @ la administrada mediante el Oficio N° 975-2020-JUSIDGTAIPD- DFP 16. Por escrito del 19 de octubre de 2020 (Hoja de Tramite N° 050447-2020MSC)** la administrada present6 descargos. 17. El dia 12 de febrero de 2021 se realizé de forma virtual el informe oral solicitado por la administrada, 18. Mediante Resolucién N° 296-2021-JUS/DGTAIPD-DPDP” del 16 de febrero de 2021 se resolvié ampliar por tres (3) meses el plazo de caducidad para resolver el presente procedimiento administrativo sancionador, plazo adicional que se comenzaré a contar desde el 08 de marzo de 2021. La citada resolucién fue notificada por medio del Oficio N° 291-2021-JUS/DGTAIPD-DPDP*. I. Competer 19. De conformidad con el articulo 74 del Reglamento de Organizacién y Funciones del Ministerio de Justicia y Derechos Humanos, aprobado por Decreto Supremo N° 013-2017-JUS, la DPDP es la unidad organica competente para resolver en primera instancia, los procedimientos administrativos sancionadores iniciados por la DF. 20, En tal sentido, la autoridad que debe conocer el presente procedimiento sancionador, a fin de emitir resolucién en primera instancia, es la Directora de Proteccién de Datos Personales. II Normas concernientes a la responsabilidad de la administrada 21, Acerca de la responsabilidad de la administrada, se deberd tener en cuenta que cl literal f) del numeral 1 del articulo 257 del Texto Unico Ordenado de la Ley N° 27444, Ley del Procedimiento Administrative General, aprobado por Decreto ‘Supremo N° 004-2019-JUS (en adelante, la "LPAG"), establece como una causal eximente de la responsabilidad por infracciones, la subsanacién voluntaria del hecho imputado como infractor, si es realizada de forma previa a la otificacién de imputacién de cargos”. Folios 724 8725 Fotos 725 8729, Folios 749 8 763, * Folios 759 ™ Folios 770 8771 2 Fols 772.8 774 2 Aiiculo 257.- Eximentes y atenuantes de responsabilidad por infracciones 4.--Constituyen condiciones eximentes de la responsabildad por infracciones las siguientes: © Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 4 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 22, Asimismo, se debe atender a lo dispuesto en el articulo 126 del Reglamento de la LPDP, que considera como atenuantes la colaboracién con las acciones de la autoridad y el reconocimiento espontaneo de las infracciones conjuntamente con la adopcién de medidas de enmienda; dichas atenuantes, de acuerdo con la ‘oportunidad del reconocimiento y las formulas de enmienda, pueden permitir la reduccién motivada de la sancién por debajo del rango previsto en la LPDP™. 23. Dicho articulo debe leerse conjuntamente con lo previsto en el numeral 2 del articulo 257 de la LPAG, que establece como condicién atenuante ol reconocimiento de la responsabilidad por parte del infractor de forma expresa y por escrito, debiendo reducir la multa a imponérsele hasta no menos de la mitad del monto de su importe; y, por otro lado, las que se contemplen como atenuantes en las normas especiales. IV, Cuestiones en discusion 24, Para emitir pronunciamiento en el presente caso, se debe determinar lo siguiente: 24.1. Sila administrada es responsable por el siguiente hecho infractor: i) Realizar tratamiento de datos personales de sus clientes que obtienen la tarjeta de crédito mediante una llamada telefénica sin informarles lo requerido por el articulo 18 de la LPP. ii) a) Realizar tratamiento de datos personales con fines publicitarios, sin ol consentimiento informado de los clientes que adquieren la tarjeta de crédito via telefénica; y, b) gestionar la televenta de su producto tarjeta de crédito, sin contar con el consentimiento de los titulares de los datos y, en otros casos, el consentimiento obtenido para dicho tratamiento seria invalido. Obligacién establecida en el inciso 13.5 del articulo 13 de la LPDP y el articulo 12 del Reglamento de la LPDP. 242 En el supuesto de resultar responsable, si debe aplicarse la exencién de responsabilidad por la subsanacién de la infraccién, prevista en el literal f) del numeral 1 del articulo 257 de la LPAG. o las atenuantes, de acuerdo con lo dispuesto en el articulo 126 del regiamento de la LPDP. f) La subsanacion voluntaria por parte del posible sancionado del acto u omisién imputedo como constitutive de inffaccion scminstratva, con antercrdad a Ia nctiicacion de la imputacien de cargos a que se refiee el inciso 3) de articulo 255, Ariculo 126.-Atenuantes. La colaboracién con las acciones de la autoridad y el reconosimiento esponténeo de las intracclones acompafiado de ‘iceiones de enmienda se considereran atsnuantes. Atencienco a Ia opertunidad del recenocimientoy a las formulas Ge {enmienda, Ia atenuacion permitia incluso le reduccion mativade dela sancion por debajo del rango prevsto en ls Ley. STAniculo 257.-Eximentes y atenuantes de responsabiligad por infracciones c 2" Consltuyen consiciones atenuantes de la respensbilded por infacciones las siguientes: ') Si iniciade un procedimiento acminstrativo sencionador el hfactorreccnoce su responsabilidad de forma expresa y por escrito, En los casos en que la sancién aplicable sea una mula este se reduce hasta un monto no menor de la mitad de su Import, ') Otros que se establezcan por norma especial Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 5 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 24.3. Determinar en cada caso, la multa que coresponde imponer, tomando en consideracién los criterios de graduacién contemplados en el numeral 3) del atticulo 248 de la LPAG. V. Primera cuestién previa: sobre la vinculacién entre el Informe de Instruccién y el pronunciamiento de esta direccién 25. El articulo 254 de la LPAG establece como caracter fundamental del procedimiento administrative sancionador, la separacién entre la autoridad instructora y la autoridad sancionadora o resolutor Articulo 254.- Caracteres del procedimiento sancionador 254.1 Para el ejercicio de Ia potestad sancionadora se requiere obligatoriamente haber seguido el procedimiento legal 0 reglamentariamente establecico caracterizado por: 1. Diferenciar en su estructura entre la autoridad que conduice la fase instructora y Ja que decide fa aplicacion de la sancién. G2 26. Por su parte, el articulo 255 de dicha ley, establece lo siguiente Articulo 255.- Procedimiento sancionador Las entidades en ef ejercicio de su potestad sancionadora se cifien a las siguientes disposiciones. C2 5. Conoluida, de ser el caso, la recoleccién de pruebas, la autoridiad instructora de! procedimienio coneluye determinando la exisiencia de una infraccion y, por ende, la imposicién de una sancién; o la no existencia de infraccién. La autoridad instructora formula un informe final de instruccién en ef que se determina, de manera motivade, las conductes que se consideren probadas constitutivas de infraccion, la norma que prevé la imposicion de sancién, y, 12 sancién propuesta o la declaracién de no existencia de infracci6n, segtn corresponda. Recibido el informe final, ef érgano competente para decidir la aplicacién de la sancién puede disponer la realizacién de actuaciones complementarias, siempre que las considere indispensables para resolver el procedimiento, El informe final de instruccién debe ser notificado al administrado para que formule sus descargas ‘@n un plazo no menor de cinco (5) alas habiles. 27. De los articulos transcritos, se desprende que la separacién de las dos autoridades, asi como la previsién de ejercicio de actuaciones por parte de la autoridad sancionadora resolutora implican la autonomia de criterios de ambas, siendo que la segunda de las mencionadas puede hacer suyos todos los argumentos, conclusiones y recomendaciones expuestos por la autoridad instructora en su informe final de instruccién, asi como, en sentido distinto, puede efectuar una distinta evaluacién de los hechos comprobados o inclusive, cuestionar estos hechos o evaluar situaciones que si bien fueron tomadas en cuenta al momento de efectuar la imputacién, no fueron evaluadas al finalizar la instrucoién. 28. Por tal motivo, la resolucién que emita una autoridad sancionadora o resolutora, puede apartarse de las recomendaciones del informe final de instruccién o incluso cuestionar los hechos expuestos y su valoracién, haciendo una Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 6 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP evaluacién diferente, considerando su naturaleza no vinculante, y sin que ello implique una vulneracién de la predictibilidad 0 de la expectativa legitima del administrado, la cual no encuentra asidero en la normativa referida al procedimiento adrrinistrativo. 29. Por supuesto, la divergencia de criterios mencionada, no puede implicar vulneraciones al debido procedimiento, como el impedir el derecho de defensa de los administrados, ni ampliar 0 variar los hechos imputados y su valoracién ‘como presuntas infracciones. VI. Segunda cuestién previa: Sobre la nulidad de la segunda imputacin de la Resolucién Directoral N° 023-2020-JUS/DGTAIPD-DFI 30. La administrada alega que, en la segunda imputacién, el presunto hecho infractor y la conducta infractora advertida por el érgano instructor, referidos al deber de recopilacién de consentimiento, no han sido analizados correctamente. 31, Es de sefialar que, la segunda imputacién se refiere a que la administrada realizaria tratamiento de datos personales con fines publicitarios, sin el consentimiento informado de los clientes que adquieren la tarjeta de crédito via telefénica; y, gestionaria la televenta de su producto tarjeta de crédito, sin contar con el consentimiento de los titulares de los datos y, en otros casos, el consentimiento obtenido para dicho tratamiento seria invalido. Obligacién establecida en el inciso 13.5 del articulo 13 de la LPDP y el articulo 12 del Reglamento de la LPDP. 32. Al respecto, se debe sefialar que, conforme los actuados y lo desarrollado por la resolucién de inicio de procedimiento administrativo sancionador, el primer extremo de la imputacién se sustenta en el analisis del cumplimiento de la ‘obtencién del consentimiento en los discursos de venta (durante el procedimiento se ha utilizado el anglicismo speech) utiizados por los encargados de tratamiento, y que obran en los folios 27 y 28 (Ideas Diferentes S.A.C.), 70a 72 (AC Contact Center S.A.C) y 193, vuelta, (Telefénica Gestion de Servicios ‘Compartidos Perit S.A.) 33. Mientras que, conforme los actuados y lo desarrollado por la resolucién de inicio de procedimiento administrativo sancionador, el segundo extremo de la imputacién se refiere a que, la administrada no contaba con el consentimiento de los titulares de los datos personales para que se envié su informacién a los encargados Ideas Diferentes SAC., AC Contact Center S.AC. y Telefénica Gestién de Servicios Compartidos Perli SAC. con fines comerciales (venta de producto tarjeta de crédito). 34. Por lo cual no se advierte un error en la segunda imputacién. 35, Sin perjuicio de lo sefialado, conforme el articulo 9 de la LPAG todo acto administrativo se considera valido en tanto su pretendida nulidad no sea declarada por autoridad administrativa 0 jurisdiccional, segun corresponda. 36. En relacién a las causales de nulidad, el articulo 10 de la LPAG establece: Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 7 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP Articulo 10.- Causales de nulidad ‘Son vicios de! acto administrative, que causan su nulidad de pleno derecho, los siguientes’ 1. La contravencién a la Constituoién, @ las leyes 0 @ las normas regiamentarias. 2 El defect 0 fa omision de alguno de sus requisites de validez, salvo que se presente alguno de los supuestas de conservacién del acto a que se refiere e! articulo 14 2. Los actos expresos 0 los que resulten como consecuencia de la aprobacitn automética 0 por silencio administrative positive, por los que se adquiere acuitades, 0 derechas, cuando son cantrarios al orclenamianto jurfdico, 0 cuando no se cumplen con los requisites, documentacién o tramites esenciales para su adquisiciGn. 4. Los actos administrativos que sean constitutivos de infraccién penal, 0 que se dicten como consecuencia de la misma. 37. Sefialado esto, debe tenerse presente que, conforme al articulo 11° de la LPAG, las solicitudes de nulidad son planteadas mediante los recursos administrativos y ‘son conocidas y resueltas por la autoridad superior de quien dicté el acto. 38. Siendo asi, la administrada tiene a salvo su derecho a argumentar lo correspondiente en un eventual recurso administrative, a fin de que sea el ‘Stgano superior, esto es, la Direccién General de Transparencia, Acceso a la Informacién Publica y Proteccién de Datos Personales, la que resuelva lo concerniente a una eventual la solicitud de nulidad. VIL. Andlisis de las cuestiones en discusion Sobre el presunto tratamiento de datos personales sin informar a los titulares de los datos lo requerido por el articulo 18 de la LPDP 39, En relacién al derecho de informacién del dato personal, el articulo 18 de LPDP dispone que para el tratamiento de datos personales debe brindase informacion de forma previa al titular: Articulo 18. Derecho de informacién del titular de datos personales EI titular de datos personales tiene derecho a ser informado en forma detallada, sencilla, expresa, inequivoca y de manera previa a su recopilacién, sobre fa finalidad para la que sus datos personales serén tratados; quiénes son o pueden ‘ser sus destinatarios, la existencia del banco de datos en que se almacenaran, asi como Ia identidad y domicilio de su titular y, de ser el caso, del 0 de los encargados del trafamiento de sus datos personales, ef carécter obligatorio o facultative de sus respuestes a! cuestionario que se le propanga, en especial en ® arliculo 11. Instancla competonte para declarar la nulidad 11.1 Los administrados plantesn Ia nulided de fos actos acministrativos que les concieman por medio de los recursos adminstraivos prevstes en el Tul Il Capitulo Il dela presente Ley, 411.2 La nuldad de ofcio seré conocida y declerada por la autoridad superior de quien dito el acto. Si se tratara de un acto ditado por una aulorided que no esté somelida a subordinackénjerérquce, Ia nuded se declararé por resolucién {ela misma autorced. La nuliéad planteada por medio de un recurso de reconsideracién © de epelacién ser conoxi {utoridad competente pare resclveio. 411.3 La resolucion que declara la nuidad dispone, ademés, lo conveniente para hacer efectva la responsabilidad del temisor de! acto Invéldo, en los casos en que se acvettalieyalided manifesta, cuando sea conocida por el superior lerarauico, ¥ declarada por la Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el ca50 0 hips Sp minjus.goo pe/gesdoc._webVveriica jsp ingresando Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 8 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP cuanto @ los datos sensibles; fa transferencia de los datas personales; las consecuencias de proparcionar sus datos personales y de su negativa a hacerlo; @) tiempo durante el cual se canserven sus datos personales; y la posibilidad de giercer los derechos que le ley Je concede y los medios previstos para ello Si los datos personales son recogidos en linea a través de redes oe Comunicaciones electrénicas, las obligaciones de! presente articulo pueden satisfacerse mediante la publicacion de politicas de privacidad, las que deben ser fécilmente accesibles e identifcables En ef caso que al titular del banco de datos establezca vinculacién con un encargado de tratamiento de manera posterior al consentimiento, el accionar de! encargado queda bajo responsabilided de! Titular del Banco de Datos, debiendo establecer un mecanismo de informacién personalizado para el titular de los datos personales sobre dicho nuevo encargado de tratamiento. Si con posterioriiad al consentimiento se produce la transferencia de datos personales por fusién, adquisicion de cartera, 0 supuestos similares, el nuevo titular del banco de datos debe establecer un mecanismo de informacion eficaz para ol titular de ios datos personales sobre dicho nuevo encargado de tratamiento. 40. Asi, de la norma acotada se desprende que los titulares de los datos personales tienen derecho a ser informados sobre el tratamiento que se realizard a su informacién personal, debiendo brindarse la informacién sobre la identidad y doricilio del titular del banco de datos, la finalidad de la recopitacién, los datos, personales de obligatoria entrega para efectuar el tratamiento, las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo, la transferencia y destinatarios de los datos personales, el banco de datos en donde se almacenaran los datos personales (y en lo posible el cédigo de inscripcién en el RNPDP), el tiempo de conservacién de los datos personales y el procedimiento para el ejercicio de los derechos ARCO. 41. Cabe mencionar que, el articulo 18 de la LPDP presenta una obligacién que debe cumplir el titular del banco de datos personales o responsable del tratamiento tanto en aquellos casos que se encuentre obligado a solicitar el ‘consentimiento del titular del dato personal, de acuerdo al articulo 5 de la LPDP, ‘como en aquellos casos en los que no se requiere el consentimiento, de acuerdo alarticulo 14 de la LPDP. 42, De las actuaciones de fiscalizacién y la documentacién obrante en el presente ‘expediente, mediante la Resolucién Directoral N° 023-2020-JUS/DGTAIPD-DFI (folios 605 a 616), la DF imputé a la administrada realizar tratamiento de datos personales de sus clientes que obtienen la tarjeta de crédito mediante una llamada telefénica sin informarles lo requerido por el articulo 18 de la LPDP. 43, Asaber, la DFI evalué e imputé de la siguiente manera: @) De fas actuaciones de fiscalizacin, se ha verificad que la administrada encarga la gestion de televenta de! producto “tarjeta de crédito" a las empresas IDEAS DIFERENTES SAC; AC CONTACT CENTER S.AC. y GESTION DE SERVICIOS DE COMPARTIDOS 8.A.C. * GESTION ENCARGADA A IDEAS DIFERENTES S.A.C. @) IDEAS DIFERENTES S.A. gestiona Ja feleventa del producto tarjeta de crédito por encargo de Scotiabank Pert S.4.4., utlizando un banco de datos Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 9 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP personales de prospectos de clientes que le 8s proporcionado por fa administra mediante formato SFTP con una frecuencia mensual (f. 29). 1) En las actuaciones de fiscalizacion, consta en el Acta de Fiscalizacién N° 04, se escuché una llamada de venta realizada por el teleoperador de! centro de contacto (VENTA DE TARJETA SCOTIABANK 10279683 CLIENTE CON CONSENTIMIENTO_ AUDIO ESCUCHADO EN PLATAFORMA_22102018) utilizando el discurso de venta (f27 a 28), el mismo que fue grabado en ei CD que Consta en ol presente expeciente (F394) 4) Do is escuchs de fa lamas do venta, se verfcé que el feleoperaior no informa 2] fular de fos datos personales las condiciones del tratamiento de sus datos personales requeridas pore! artioulo 18° de la LPOP. * GESTION ENCARGADA A AC CONTACT CENTER S.A.C. h) AC CONTACT CENTER S.AC gestiona la televenta del producto tarjeta de Crécito por encargo de Scotiabank Per SAA utiizando un banco de datos personales de prospectos de lentes y un discurso de vanta (F70 2 72) proporciondo por la administrada segun figura el contato de looacién de servicios ‘suscrito entre ambas el 01 de diciembre de 2017 (f. 104 a 134). i) En las actuaciones de fiscalizacion, consta en el Acta de Fiscalizacién N° 03, se fscuché una llamada de venta reaizaca por al feleoperador del canto de contacto utilizando el discurso de venta proporcionado por fa administrada 21702 Hue grabado en el CD que consta en el presente expediente (f 78). }) Anaizada la grabacion, se verica que el teleqperatior no informa al tular de los Gatos personaies fas condiciones ‘del tratamiento de sus dafos personles requerias por el erticuo 12° ds ia LPDP * GESTION ENCARGADA A GESTION DE SERVICIOS DE COMPARTIDOS SAC. ) GESTION DE SERVICIOS DE: COMPARTIDOS S.A.C gestion la televenta de! producto tarjeta de crédito por encargo de Scotiabank Peri $.A.4.. utizando un banco de datos personales de prospectos de clientes, proparcionado por ia administrada segdn figura el contrato de tercerizacién suscrito entre ambas el 01 Ge mayo de 2017 (F177 wus 4 194) 1) De la escucha de /a \lamada de venta realizada por el asesor de venta utilizando el discurso de venta (CCONCC im). o! miso que fue grabado en ef CD que censte eel presente expecrenie (f 250), Se Yenifca que 0! feleqperador no informa al ttular do los datos personales las condiciones del tratamiento de sus datos personales requeridas por el articulo 18° dela LPDP. 1m) E's preciso incicar que la obligacion ce informar a ios tiuiares de los datos (personales sobre las circunstancias relatives al tratamiento de sus datos (articulo Te LPDP), races en ol tuiar del barco de datos personales, ue en presents caso es SCOTIABANK PERU S.A.A, teniendo en cuenta que como titular determina fa finalidad y contenido de! banco de datos, el tratamiento de estos y las medidas de seguritad 1) La adminisirada en esto extremo, no ha presentado descargo sobre las Conclusiones realizadas, a pesar que al Informe de Fiscalizaciin N° 121-2019- JUS/DGTAIPD-DFI-AARM le fue notificado ef 23 de agosto de 2019 (f. 594). 44, La administrada en sus descargos 07 de setiembre de 2020 (folios 626 a 653) y del 19 de octubre de 2020 (folios 749 a 763) manifiesta lo siguiente: * Reconoce expresamente la comisién de la infraccién imputada, y solicita que se considere su reconocimiento como un atenuante de responsabilidad y Por tanto la reduccién a la potencial mutta, hasta el monto no menor a la Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 10 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP mitad de su importe. Sustentan este pedido en el articulo 126 del Reglamento de la LPDP, asimismo esta lo dispuesto por el articulo 236A de la LPAG ‘* Sin perjuicio de lo anteriormente mencionado, ponen a conocimiento de la Autoridad que SCOTIABANK ha adoptado acciones de enmienda en calidad de medidas correctivas, y en consecuencia ha actualizado su cléusula de privacidad en sus contratos. + Adicionalmente, SCOTIABANK ha actualizado su aviso de privacidad web, tales documentos deberdn ser revisados de manera sistematizada por los clientes, a fin de que puedan tener un conocimiento sobre tratamiento adecuado de datos personales. * SCOTIABANK al tomar conocimiento de la invalidez de sus politicas como del speech informativo, suprimié y/o elimind de sus bases de datos la informacién personal de dichos clientes, a fin de evitar su utilizacién indebida en adelante, y ademas, con el propésito de dar inicio a una actualizacién y regularizacién de documentos a la normativa de datos personales. + Aefectos de que la autoridad pueda valorar conjuntamente las medidas de enmienda adoptadas por SCOTIABANK, adjuntan el speech telefonico alineado a las disposiciones de la LPDP. El speech informativo, asi como el consentimiento se encuentran integramente alineados a la Guia Practica para la Observancia del Deber de Informar emitida por la Autoridad Nacional de Proteccién de Datos Personales. * SCOTIABANK adicionalmente ha elaborado el documento "Solicitud de Producto” el cual se pone al alcance de los clientes. En dicho documento, la autoridad podra apreciar que SCOTIABANK se reafirma en el cumplimiento del deber de informacién, y pone a disposicién de los clientes lo establecido en el articulo 18 de la Ley. 45, Se debe sefialar que, corresponde a este Despacho pronunciarse tnicamente Tespecto a lo que ha sido materia de imputacién, es decir, el cumplimiento con el deber de informacién, previsto en el articulo 18 de la LPDP, en las llamadas efectuadas para la gestidn de televentas del producto “Tarjetas de crédito" de la administrada y que utiizan los discursos de venta evaluados en los folios 27 y 28 (Ideas Diferentes S.A.C.), 70 a 72 (AC Contact Center S.A.C) y 193, vuelta, (Telefonica Gestion de Servicios Compartidos Peru S.A.C.). 48. Se tiene presente que, existiria un error material en la denominacién del archivo: VENTA DE TARJETA SCOTIABANK 10279683 CLIENTE CON CONSENTIMIENTO_ AUDIO ESCUCHADO EN PLATAFORMA_22102018, sin ‘embargo, este extreme de la imputacién se sustenta en el discurso de venta evaluado. 47. Ahora bien, teniendo presente los actuados y que la administrada ha reconocido la comisién de la infraccién imputada, este Despacho considera que no existe controversia respecto a la responsabilidad por la comisién del hecho infractor imputado, por lo que corresponde evaluar si la administrada ha subsanado el incumplimiento normativo. Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 11 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 48, Cabe sefialar que, aunque la resolucién de imputacién de cargos sefiala que la fuente de los datos personales es el banco de datos personales denominado prospectos de clientes; sin embargo, conforme el Registro Nacional de Proteccién de Datos Personales la administrada cuenta con el banco de datos personales “Personas Naturales’ (RNPDP-PJP N° 345) cuya finalidad, entre otros, es el perfilariento y gestién de clientes y prospectos. De lo cual este Despacho considera que los datos utiizados provienen del extremo de prospectos, del citado banco de datos personales. 49. Ahora bien, toda vez que la administrada ha informado que modificé su discurso de venta bajo el modelo propuesto por la “Guia Practica para la Observancia del Deber de Informar” (pagina 32 y 33), se procederé a evaluar el mismo (folio 753 y 762): @) | Laidentidad y domiciio det] Scofiabank, domiciiado en Av. Dionisio Derteano titular del banco de datos | 102 San Isicio (..) personales o responsable el tratamiento (entidad que ofrece el producto o servicio} y, de ser el caso, identidad del encargado del tratamiento (ejemplo, el call center) By [Las finalidades del Er tratamiento de sus datos es necesario para [os tratamiento, distinguiendo las | fines de la relacion contractual de los productos ‘que dieron origen y son que adquiera, (...) ecesarias para la relacion | Scottabank poard trasferir y dar tratamiento a sus contractual entre el titular de} Datas Personales, para los fines del producto y losdatos y el responsable —_| otvas finalidades adicionales que autorice (de del tratamiento, de las que | sere/caso) (..) ‘no lo son, de ser el caso, Establece que la finalidad es contractual Finalidedes adicionales requerirén autorizecin, ©) | Elmecanismo porelcualel | No aplica titular de los datos puede imanifestar previamente su consertimiento 0 negativa para el tratamiento de sus datos personales respecto de aquellas finalidades, ‘secundarias 0 accesorias (como, por ejemplo. publicidad, mercadotecnia, perfilamiento, prospeccién comercial) @) | Las categorias de fos ‘Scotiabank poara trasferir y dar tratamiento a Sus destinatarios de los datos —_| Datas Personals, para los fines del producto y personales, solo enelcaso | otvas finalidades adicionales que autorice (de (que se les tresfieran los ‘ser ef caso), de manera directa o por intermedio datos para finalidades ce: secuncarias 0 adicionales. | - E/ Grupo Scotiabank, conformado por Scotiabank, CrediScotia, Profuturo AFP, Scotia Bolsa, Scotia Fondos y Scotia Contacto, Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5. 026-2016-PCIA Su autenticidad e itegridad pueden ser contrastadas a través de la Siguiente dreccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 12 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP ~ Bank of Nova Scotia (casa matriz en Canada] yo subsidiarias. - Aliados Comerciales y/o proveedores, nacionales internacionales, que podré consular en la pagina web: waw.scotiabank. com. pe. Identifica posibles destinatarios; sin embargo, condiciona el tratamiento a la autorizacion 50. El discurso de venta reportado por la administrada no cumple con informar lo dispuesto por el articulo 18, ni con lo sugerido por el documento “Guia practica para la observancia del “deber de informar’, a través de a cual la Autoridad de Proteccién de Datos da lineamientos sobre la informacién minima que se debe de entregar cuando se recopila datos para una finalidad determinada a través de una locucién telefénica. 51. Entonces, queda evidenciado que la administrada es responsable por la infraccién imputada, consistente en el incumplimiento de lo dispuesto en el articulo 18 de la LPDP, incumplimiento que no fue debidamente enmendado, por lo que se impondran medidas correctivas para perfeccionar las acciones de ‘enmienda, a fin de que se diluyan la trascendencia y los efectos antijuridicos advertidos. 52. Para la imposicién de dichas medidas correctivas del tratamiento de datos personales realizado a través de las ventas telefonicas de tarjetas de crédito, se tendra presente que, si la administrada opta por el modelo propuesto por la "Guia practica para la observancia del "deber de informar™, debera adecuar su discurso de venta, asi como acteditar que el documento de politica de privacidad al que se remite cumple con lo dispuesto por el articulo 18 de la LPP. 53. En relacién al monto de la multa que se impondria, se aplicard los criterios establecidos en la Resolucién Ministerial N° 0326-2020-JUS, la cual aprobé la Metodologia para el Calculo de Multas en materia de Proteccién de Datos Personales™. Sobre el presunto tratamiento de datos personales sin haber obtenido validamente el consentimiento para ello 54, La LPDP establece que todo tratamiento de datos personales requiere el consentimionto del titular de los datos personales. Asi, el principio de consentimiento se tiene previsto en su articulo 5: Articulo 5. Principio de consentimionto ® Documento disponible en: hts bl minius-geb pero Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 13 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP Para el tratamiento de los datos personales debe mediar el consentimiento de su titular. 55. Asimismo, segtin lo dispone el inciso 135 del articulo 13 de la LPDP, el consentimiento del titular de los datos personales deberd ser otorgado de manera previa, informada, expresa e inequivoca: “Articulo 13. Alcances sobre el tratamiento de datos personales Gad 135 Los datos personales solo pueden ser objeto de tratamiento con consentimiento de su titular, salvo ley autoritativa af respecte. EI consentimiento debe ser previo, informado, expreso e inequivoco,” 56. Por su parte, el articulo 12% del Reglamento de la LPDP establece los presupuestos bajo los cuales se otorga vélidamente el consentimiento para el tratamiento de los datos personales: 1. Libre; 2. Provio; 3. Expreso Inequivoco; y, 4. Informado. 57. Por otro lado, es preciso tener en cuenta que la obligacién de obtener el consentimiento tiene excepciones, las cuales se encuentran previstas en el articulo 14 de la LPDP*; sin embargo, la administrada no se encuentra inmersa dentro de dichos supuestos. articulo 12.- Caracteristicas del consentimiento. ‘demas de o Gspuestoen el afticulo 18 de a Ley y en el aticulo precedente del presente reglamento, la obtencion el ‘consenimiento debe ser 4. Libre: Sin que mecie error, malate, violencia o dole que pueden afectar la manifestecion de voluntad del ular de los alos personales. La entrega de obsequios 0 el clorgamiento de Denefcios al ttuar de los dates personales con Ccasicn de su consentiniento no afectan la condcién de libertad que tiene para ctergato, salvo en el caso de mencres de edad, en los supuestos en que se adnvle su consentimento, en que no se consigerara bre el consentimiento ‘otergado mediando cbsequios 0 benefcios, El cendicionamiento dela prestacion de un servicio, o la acvertencia © famensza de denegar el acceso a beneficios o servicios que normalmente son de acceso no resting, si sfects [a libertad de quien ctorga consentimiento para el tratamvento de sus dalos persenales, si lor datos solcilados no £05 Indlspensables para la prestacion de los beneticics 0 servicios. 2. Brevi: Con anterioidad @ la recoplacion de los datos o en su caso, anterior al tratamiento dstinto @ aquel por {ual ya se recopilaron, 3. Expreso e Inequlvoco: Con anteroridad a larecopllacidn de los datos o en su caso, anterior al tratamiento distinto a ‘aque! por el cual ya se recoplaran queda o pueda ser impreso en una superficie de papel o similar. Le condicién de ‘ekptese no se lite ala manifestacion verbal 0 eserte, En sentido restictivo y slempre de acuerdo con lo dapuesto ore aticulo 7 del presente regiamento, se censiderara consentimiento expreso a aquel que se manfeste mediante Ie Gonducta del ttular que evidencie que ha consentde inequivocamente, dado que de lo contrario su conducta, hevesariamente, hubera sido ota Tralandose del entomo digital, también se considera expresa la manifestacion consstente en *hacer ce’ “clqueer’ © inchar, “dar un toque", “touch” o "pad u otros similares, En este contexto el consentimiento escrito posta olergarse ‘mediante fia elecrcnica, mediante escriura que quede grabads, deforma fal que pueda ser lea e impresa, o que or cualquier otto mecanismo o prozedimiento establecido penta identifcar al tui y recabar su consenlimiento, 2 través de texto escrito. También podké otogarse mediante testo preestabiecido,facimente visible, legible y en lenguale Sencilo, qe el tlular pueda hacer suyo, ono, mediante une respuesta escrta, giica omediante cae 0 pinchaco. Le Sola condicta de expresarvoluntad en cualquera de as formas reguiadas en ei reserte numeral no eimina ri da por cumple, los olros requistor del eansentmieto referidos ala libertad, oportunidad © Infrmacton, 4 Informado: Cuando al titular de los datos personales se le comunue cara, expresa e Indubitablemente, con lengusje sencilo, cuando menos de lo siguiente a, La Identiad y domiclio o dression del tur del Banco ce datos personales o del responsable cel tratamiento al que puede digirse para revorar el consentmiento 0 ejercer sus Serechos. b. La fnaidad o tnaldades del tratamiento aes que Sus datos seran semelidos.c. La Identdad de los cue Son 0 plleden ser sus destinatatios, de ser el caso, d. La existencia del banca de datos personales en que se almacenstén, cuando coresponda, ©. El caracter cbigstorio 0 facutativo de sus respuestas al cuestionsno que se le Proponga, cuando ses el caso. Las consecuencias de proporciona sus datos personsles y de su negativa s hacer. {En su caso, la transferencia nacional ¢ internacional de datos que se efectuen, ® Arliculo 14. Limitacionos al consontimionto para ol tratamianto do datos personales No se requiere el consenlimiento del ular de datos personales, para los efectos de su tratamiento, en los siguientes Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5. 026-2016-PCIA Su autenticidad e itegridad pueden ser contrastadas a través de la Siguiente dreccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el ca50 0 hips Sp minjus.goo pe/gesdoc._webVveriica jsp ingresando Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 14 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 58. De las actuaciones de fiscalizacién y la documentacién obrante en el presente ‘expediente, mediante la Resolucién Directoral N° 023-2020-JUS/DGTAIPD-DFl (folios 605'a 616), la DFI imputd a la administrada: a) Realizar tratamiento de datos personales con fines publicitarios, sin el consentimiento informado de los clientes que adquieren la tarjeta de crédito via telefénica; y, b) gestionar la televenta de su producto tarjeta de crédito, sin contar con el consentimiento de los titulares de los datos y, en otros casos, el consentimiento obtenido para dicho tratamiento seria invalido. Obligacién establecida en el inciso 13.5 del articulo 13 de la LPDP y el articulo 12 del Reglamento de la LPDP. 59. A saber, respecto a realizar tratamiento de datos personales con fines Publicitarios, sin el consentimiento informado de los clientes que adquieren la tarjeta de crédito via telefénica, la DF! evalué e imputé de la siguiente manera: A. Respecto al consentimiento solicitado por el telsoperader de! centro de contacto, al cliente que adquiere la tarjeta de crédito: + GESTION DE TELEVENTA ENCARGADA A IDEAS DIFERENTES S AC. @ IDEAS DIFERENTES SAC. gestiona la televenta del producto tarjeta de arédito por encargo de Scotiabank Por SAA. utlizando un banco do datos perscnaies de prospectos de clientes que le es proporcionado por Scotiabank Pert S.A.A. mediante formato SFTP con una frecuencia mensual (f. 29). @) En las actuaciones de fiscalizacién, consta en el Acta de Fiscalizacién N° 04, se esouché una llamada de venta realizada por el teleqperador de! centro de contacto Cn _ a a i 1. Cuando los datos personal ten el ambito de sus competenci 2. Cuando se trate de dstos personales contenidos o destinados a ser contenidos on fuentes accesibles para el pubic. 43. Cuando ge tale de datos personales reatvos a la solvencia palsmonal y de crete, conform a ley. 4 Cuando medie norma para la promocién de Ia cempetencia en los mercados regulados emitida en eferciclo de la funcién normative per los organismes reguladores a que se refere la Ley 27332, Ley Marco de los Organismes Reguladores de la inversion Privace en los Servicios Publcos, ole que haga sus veces, siempre que la infomacien brindada no sea uiizada en perjucio de a privacided del usuario. 5. Cuando los datos personales sean necesarios para la preperacion, celebracion y ejecucién de una relacion Contractual en la que e! ular de datos personales sea parte, o cuando se trale de datos personales que deriven de Luna relacion cient 0 profesionel del titular y sean necesarios para su desarrollo o cumpiimienio, 8. Cuando se trate de detos perscnales reletvos a la salud y sea necesario, en circunstancia de riesgo, para le prevencién, dagndstico y tratamiento médico o qururgico del ttular. siempre que diche tratamiento sea realizado en establecmientos de salud o por profesionales en ciencias de la salud, cbservando el seorelo profesional, 0 cuando Tedien razenes de interés publi previstas por ley o cuando deban tratarse por razones ce salud publica, amas Fazones deben ser califcad' como lales por el Ministerio ce Salud o para la realzacion de estudios epicemiciogicos © ‘analogos, en tanto se apliquen procecimientos de cisociacion adecuados. 7. Cuando el tratamiento sea efectuado por organismos sin nes de lucro cuye tnalidad sea politica, religose osinccal ¥ Se refera a los datos personales recoplacs de sus respectivos miembros, los que deben guardarrelecion con e! roposto a que se circunseriben sus actividades, no pudiendo ser transterdos Sn consentimento de aquelos. 8. Cuando se hubiera aplicado un procecimiento de anonimizacién o disoracien. 9. Cuando el tratamiento de lor datos personales sea necesario para salvaguardar ilereses legimos del tular de datos personales por parte del ular de datos personales 0 por el encargado de tratamiento de datos personales, 10, Cuando el tratemiento sea pera fines vinculados al sislema de prevencicn de lavado de actives y nanciamiento del terrexsmo u otros que respondan a un mando legal. 11, En el caso de grupos econemicos conformads por empresas que son censideradas sujetos obligades a informer, conform a les normas que regulan a la Unidad de Intelgencia Financier, que éstas puedsn compart informacion entre si de sus respectvos cientes para fines de prevencién de lavado de activos y fnanciamiento de terrorism, as como otros de cumpimiento regulatoro, establecendo las salvaguardas adecuadas sobre la confidencialidad y uso de la informacion ntercambiad 12, Cuando el tratamiento se realiza en elerccia constituclonalmente vido del derecho fundamental a la Hbertad de Informacen 13, Otros que derven del ejercicio de competencias expresamente establecides por Ley. se recopilen 0 transfieran para el eerccio de las funciones de las enlidaces pablcas Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el ca50 0 hips Sp minjus.goo pe/gesdoc._webVveriica jsp ingresando Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 15 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP CONSENTIMIENTO_ AUDIO ESCUCHADO EN —_—_—~) Utlizando e! aiscurso de venta (f. 27 a 26), el mismo que tue grabado ene! CD que consta en ef presente expediente (f. 34). 9) Alanalizarse la grabacién, se verificé que, adicionalmente a la venta de la tarjeta 9 crédito, la administrada solicita consentimiento del cliente que contrata ol producto para fines publicitarios, utilizando la siguiente férmula: “¢Autorizaria al Grupo Scotiabank Pert, conformado por Scotiabank; Crediscotia, Frofuturo AFP, Scctia Bolsa, Scotia Fondos y SCI, a utilizar su infermacién para brindare ofertas y promociones de nuestro Produotos y sorvicios? Le recomendamos que en cumplimiento de la Ley de Proteccién de Datos Personales si usted ya no desea recibir ofertas y promociones puede ingresar una soliitud en cualquier offcina de Scotiabank para tal efecto, Mientras tanto, su informacion se almacenarfa de manera indefinida y segura en el Banco de Datos Personas Naturales y esta poaria compartirse con proveedores o aliados, nacionales 0 extranjeros para le finalidad antes inalcac. For dllimo, si desea més informacién sobre nuostra politica de privaoidad, puede consultar nuostra pagina web: www.scotiabank com." @) Analizada la citada formula de consentimiento, se observa que a adiministradea Solita el consentimiento del cliente que aduiere [a tarjeta de crédito para que ef Grupo Scotiabank Pert! pueda utilizar sus datos personales con fines publicitarios, cuando lo correcto seria informarle a su cliente que solta el consentimiento para transferir sus datos personales al Grupo Scotiabank Pert (detallando las empresas que lo conforman) con la finalidad de que estas empresas le ofrezcan publicidad de sus productos y/o servicios /h) Asimismo, de la evaluacion realizada 2 la formula de consentimiento utilizada en ef discurso de venta, se observa que, no cumple can ser informada, debido a que fa administrada no comunica + Identdad y domicio del ttular del banco de datos personales, y del encargado dio tratamiento “La existencia del banco de datos personales en e! que se almacenaran los datos personales. * La transferencia de los datos personales 2 Grpo Scotiabank Pert (Scotiabank, Crediscotia, Profuturo AFP, Scotia Bolsa, Scotia Fondos y SCi). - El tiempo durante el cual se conservaran jos datos personales. + La posibiidad de ejercer los derechos que fa ley le concede y los medics previstos para ello. 1) Por tanto, Scotiabank Peri S.A.A., estarfa realizando tratamiento de los datos personales de sus clientes con fines publicitarios, sin un consentimiento vélido al ‘no cumplir con la caracteristioa de ser informaco, * GESTION DE TELEVENTA ENCARGADA A AC CONTACT CENTER S.AC. |) AC CONTRACT CENTER S.AC. gestiona la televenta del producto tarjeta de crédito por encargo de Scotiabank Peri S.A.A., utilizando un banco de datos personales de prospectos de clientes y un discurso de venta (f 70 a 72), pproporcioniado por la administrada segin figura e! contrato de locacién de servicios suscrito entre ambas 6! 01 de diciembre de 2017 (f. 104 a 134). jy) Enlas actuaciones de fiscalizacién, consta en e! Acta de Fiscalizacién N° 03, se esouché una llamada de venta realizada por el teleoperador de! centro de contacto utiizando.e! discurso de venta proporcionado por fa admministrada sesssssnercossescssssrocsseccasscscasieal ) ef mismo que fue grabado ene! CD que consta en el presente expediente (f. 78) 1) Al analizarse ia grabacién, se verlics que, adicionalmente a la venta de la tarjeta d crécifo, la administrada solerta el consentimiento para fines publicitarios, de fe siguiente manera Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 16 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP “gAutorizaria al Grupo Scotiabank Pert, conformado por Scotiabank; Crediscatia, Profuturo AFP. Scotia Bolsa, Scotia Fondos y SCI, a utilizar su informacin para brindarte ofertas y promociones de nuestros Productos y servicios? Le recomendamos que en cumplimiento de la Ley de Proteccién de Datos Fersonales si usted ya no desea recibir ofertas y promosiones puede ingresar una slcitud en cualquier oficina de Scotiabank para tal efecto. Mientras tanto, su informacion se almacenarla de manera indefinida y segura en el Banco de Datos Personas Naturales y esta podria compartirse con proveedores 0 aliactos, rnacionales o extranjeros para la finalidad antes indicade. Por ultimo, si desea mas informacion sobre nuestra politica de privacidad, puede consultar nuestra pagina web: www. sootiabank com,” 1m) Analizada la citada formula de consentimiento, se observa que, fa administraca ssdlcita el consentimiento del cliente que acquiers la tarjeta de crédito para que e! ‘Grupo Scotiabank Pert pueda utlizar sus datos personales para fines publicitarios, cuando lo correcto seria informarle a su cliente que solicta el consentimiento para transferir sus datos personales al Grupo Scotiabank Perd (detallando quien o guienes fo conforman) para que estas empresas le ofrezcan publicidad. 1) Asimismo, de la evaluacion realized a fa férmula de consentimiento utilizada, se observa que no cumple con ser informada, debido a que la administrada no comunica - Ikienticiad y lomicillo del titular det banco de datos personales, y del encargado de! tratamiento, - La existencia del banco de datos personales en el que se almacenaran los datos personales. - La transferencia de los datos personales a Grupo Scotiabank Perti (Scotiabank, Crediscotia, Profuturo AFP, Scotia Bolsa, Scotia Fondos y SC}) - El tiempo durante e! cual se canservaran los datos personales, - La posibilidad de ejercer los derechos que la ley le concede y las medios previstos para elio. 0) Por io tanto, Scotiabank Pend S.A.A,, estarla realizando tratamiento de los datos personales de sus clientes para fines publicitarios, sin un consentimiento valid al ‘no cumplir con ia caracteristica de ser informado, + GESTION DE TELEVENTA ENCARGADA A GESTION DE SERVICIOS DE COMPARTIDOS S.A.C. P) GESTION DE SERVICIOS DE COMPARTIDOS S A.C gestiona Ia televenta de! producto farjeta de crédito por encargo de Scotiabank Pert S.A.A., utiizando un banco de datos personales de prospectos de clientes, proporcionado por fa administrada, segun figura el contrato de tercerizaci6n suserito entre ambas ef 07 de mayo de 2017 (f. 177 a 194). 9) De la escucha de la llamada de venta realizada por el asesor de vente 2 2S: aaa SSE 1 mismo que fue grabado en el CD que consta en el presente expediente (f. 250), 88 venificé que, adicionalmente a fa venta de la tarjeta de crédito, Ja administrada solicita ef consentimiento para fines publicitarios, utilizando la siguiente formule: “;Autorizaria al Grupo Scotiabank Peri, conformado por Scotiabank; Crediscotia, Profuturo AFP, Scotia Bolsa, Scotia Fondos y set, a utilizar su informacién para brindarle ofertas y promociones de nuestro Productos y servicios? (zécepta que [o sigan llamando para que le pusdan seguir brindando mas promociones?) Le recomendamos que en cumplimiento de la Ley de Proteccién de Datos Personales si usted ya no desea recibir ofertas y promociones puede ingresar una Solicitud en cualquier oficina de Scotiabank para tal efecto. Mientras tanto, su informaci6n se almacenarfa de manera indefinida y segura en el Banco de Datos Personas Naturales y esta podria compartirse con proveedores 0 aliados, nacionales o extranjeros para fa finalidad antes indicaca. Por tltimo, si desea mas Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5. 026-2016-PCIA Su autenticidad e itegridad pueden ser contrastadas a través de la Siguiente dreccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 17 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 60, 61 informacin sobre nuestra politica de privacidad, puede consultar nuestra pagina web: www scotiabank com." 1) Analizaca Ia citada formula de consentimiento, se observa que, la administraca Solcita el consentimiento del cliente que ackuiere la tarjeta de crédito para que e! Grupo Scotiabank Perd pueda utilizar sus datos personales con fines publicitarios, cuando lo correcto serfa informarle a su cliente que solicta e! consentimiento para transfenir sus datos personales al Grupo Scotiabank Pert (detallando las empresas que lo conforman} con la finalidad de que estas empresas le ofrezcan publicidad. 5) Asimismo, de la evaluacién realizada a la férmula de consentimiento utlizada, ‘se observa que no cumple con ser informada, debido a que la administrada no comunica = Identiciad y domicilio del titular del banco de datos personales, y del encargado del tratamiento, - La existencia del banco de datos personales en ef que se almacenaran los datos personales. - La transferencia de los datos personales a Grupo Scotiabank Pert (Scotiabank, Crediscotia, Profuturo AFP, Scotia Bolsa, Scotia Fandos y SC}) - El tiempo durante e! cual se conservarén los datos personales, - La posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello. 1) Por (0 tanto, Scotiabank Perd S.A.A estarla realizando tratamiento de los datos personales de sus clientes para fines publicitarios, sin un consentimiento valido al ‘no cumplir con las caracteristicas de ser informadd., La administrada en sus descargos 07 de setiembre de 2020 (folios 626 a 653) y del 19 de octubre de 2020 (folios 749 a 763) manifiesta lo siguiente: Reconoce expresamente la comisién de la infraccién imputada, y solicita que se considere su reconocimiento como un atenuante de responsabilidad Y por tanto la reduccién a la potencial mutta, hasta el monto no menor a la mitad de su importe. Sustentan este pedido en el articulo 126 del Reglamento de la LPDP, asimismo esta lo dispuesto por el articulo 236A de la LPAG. SCOTIABANK al tomar conocimiento de la invalidez de sus politicas como del speech informativo, suprimié y/o eliminé de sus bases de datos la informacién personal de dichos clientes, a fin de evitar su utilzacién indebida en adelante, y ademas, con el propésito de dar inicio a una actualizacién y regularizacién de documentos a la normativa de datos personales. A efectos de que la autoridad pueda valorar conjuntamente las medidas de enmienda adoptadas por SCOTIABANK, adjuntan el speech telefénico alineado a las disposiciones de la LPDP. El speech informativo, asi como el consentimiento se encuentran integramente alineados a la Guia Practica para la Observancia del Deber de Informar emitida por la Autoridad Nacional de Proteccién de Datos Personales. ‘Se debe sefialar que, corresponde a este Despacho pronunciarse tinicamente respecto a lo que ha sido materia de imputacién, esto es, realizar tratamiento de datos personales con fines publicitarios, sin el consentimiento informado de los, clientes que adquieren la tarjeta de crédito via telefonica. Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 18 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 62. Es de sefialar que, este extremo de la imputacién se refiere a que, analizados los discursos de venta utilizados (folios 27 y 28, 70 a 72 y 193, vuelta), adicionalmente a la venta de la tarjeta de crédito, se solicita el consentimiento para fines publicitarios, por lo cual se configura la obligacién, por parte de la administrada, de obtener el consentimiento valido (libre, previo, expreso e informado) 63. Sefialado esto, y teniendo presente los actuados y que la administrada ha reconocido la comisién de la infraccién imputada, este Despacho considera que no existe controversia respecto a la responsabilidad por la comisi6n del hecho infractor imputado, por lo que corresponde evaluar si la administrada ha ‘subsanado el incumplimiento normativo. 64. Ahora bien, toda vez que la administrada ha informado que modificé su discurso de venta, se procedera a evaluar el mismo (folio 753 y 762) @) | Laldentidady domiciio del) Scoffabank titular del banco de datos personales 0 del ‘No identifica con claridad al titular del banco de responsable del tratamiento. | datos personales y no establece su comicilo. B) La finalidad o finalidaces de!_| enviarie, de manera fisica o digital, ofertas, tratamiento a lasque sus | publicidad, encuestas, invitaciones e informacion datos serén someticos. ‘en general sobre otros productos 0 servicios que brinde Scotiabank, el Grupo Scotiabank o Sus aliados comerciales ©) | Las consecuencias de No aplica proporcionar sus datos personales y de su negativa ‘a hacerlo, ‘@) | Laidentidad delos que son | Sefiala que podrd conocerlos en la pagina web © pueden ser sus destinatarios, de ser el caso. @) | Latransferencianacionale __| No indca internacional de datos que se efectien. 7) | Laexistencia delbancode _ | Noindica datos personales en que se ‘almacenaran, cuando ‘corresponda, @) | Eltiempo de conservacion _| Datos se canservaran mientras usted no solcite su cancelacion hy | Latorma de ejercioio de los _ | Usted podra revocar esta autorizacion en cualquier derechos ARCO momento presentando una solcitud en cualquiera de nuestras agencias 0 al correo derechos arco@scotiabank com pe 65. _Enveste orden de ideas, se encuentra acreditado este extremo de la imputacién, es decirla-administrada no obtiene el consentimiento valido (caracteristica informado). De la misma forma, a la fecha, la administrada no ha subsanado el incumplimiento normative advertido. Gabe mencionar, que tampoco informa Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 19 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 66, donde encontrar la politica de privacidad con la informacién que no ha informado durante la locucién telefénica Respecto al consentimiento de las personas para ser incluidas en un banco de datos personales con fines comerciales, la DFI evalud ¢ imputd de la siguiente manera: B. Respecto del consentimiento de las personas para ser incluidas en un banco de datos personales con fines comerciales, u) Las actuaciones de fiscalizacién que constan en los informes r? 164-2018 JUS/DGTAIPD-DFI-AARM, rP 167-2018. JUS/DGTAIPD-DFI-AARM, y 1° 006- 2019-JUS/DGTAIPD-DFI-AARM constataron que la administrada entrega datos personales a DEAS DiFERENTES S.AC., AC CONTACT CENTER SAC, y GESTION DE SERVICIOS DE COMPARTIDOS SAC. para la gestion de Ieleventa de su producto “tarjeta de crédito” vy) En tal sentido, en las fiscalizaciones se procedié a tomar muesiras de las personas que figuraban en los bancos de datos personales enviados por ia administrada @ los mencionados centros de contacto con fines comerciales (venta de producto tarjeta de crédito) (f. 30. 79, 211 y 233) 1) Asl, mediante Oficio n° 196-2019-JUS/DGTAIPD-DFI (f 254), la DF! requirié a Ja adiministrade presentar 1 consentimiento de las siguientes personas cuyos datos fueron enviados por fa administrada al centro de contacto: Respecto a IDEAS DIFERENTES S.A. Respecto a AC CONTACT CENTER S.A.C. Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 20 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP Respecto a GESTION DE SERVICIOS COMPARTIDOS 8.A.C. x) Sobre el particular, e! 21 de mayo de 2019, mediante escrito ingresado con Hoja de Tramite 1? 1? 25604-2019MSC (f. 262 2 407), la administrada aojunta quince (18) contratos de las personas consuttadas, y un CD con la grabacién de dos (02) auttios de consentimiento de las personas consultadas. Asimismo, el 06 de junio de 2019, mediante escrito ingresado con Hoja de Tramite 1? 40219-2019MSC (f 408 2 628), remite contratos de quince (1 5) de sus clientes, con a fin de sustentar el consentimiento requerido por esta Direcci6n. Finalmente, el 07 de junio de 2019, mediante escrito ingresado con Hoja de Trémite r? 40716-2019MSC (fF 532 a 581), la administrada remite tres (03) contratos de sus clientes con el fin de dar respuesta a lo requerido por esta Direccién, Y) Evalueda la documentacién y las audios remitidos por fa administrada para ‘sustentar ef consentimiento de las personas que figuran en los bancos de datos emviados a los centros de contacto para fines comerciales, se venfica lo siguiente, Tar dor Tipo de] Fecha de pessonales Dee, documento | contratacién ierisenciasienea! ConsenTTTE TE ump conser Conta de intrmedo an (| mmm |g | 2 | score | ements tet —— cares ispesio ones ee | sone | 9277 | circus 10- ala puma 4 dol RLPOP 18" dla LPOP 265 a 269). ConsontimaniS 7 cumple con sor Contato de irtrmado 90 fesse sarcos | 41 ge ge | commer al cents 2 | MM | eeMan | sarcones | 11 e2iUloce | Cicpuesio ones ef eons tous 1" = retuct numeral 4 del RLPOP y 18° de la LPDP (f 270 a 272). =m [a [conte ae 8c — [ Consontimenis no Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: https sqc.minjus gab peloesdos_webslogin jsp e ingresando el Tipo de Documento, Numero y Rango de chase Ser el ca50 0 hips Sp minjus.goo pe/gesdoc._webVveriica jsp ingresando Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 21 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP Mim | M2058 | Sefer ce | cumple con sr = créaiode |” 2017 | informado ai no — Grediscota comunicar al chente fo dispuesto on ios arteuios 122 humoral de! RLPOP y 18° de la LPOP; simismo, no cumple on ser expreso al no verticarse a acoplacén do alionto. (f 291 a 298). Cansentimenia cumple con ser soto informeco aio 05 de | comunicar a chnto rosie, go | setiombre de | fo lspuesto en os sumen de | "2017 | arteules 120 numeral eset: 401 RLPOPy 16° dela LPDP. (f. 376 a 383) Consonants cumple con ser informado ai no — Contrato de ‘comunicar al cliente (|= HE | orestamode | 295 2051 | io dispuesto en fos = | de 2018 i Crediscota artoulos 124 — ‘numeral 4 del RLPOP y 18° de la LPDP (f. 384 a 392) Canseniianis mo cumple con ser Solitude informado a 0 productos | 02de | comunicar al cente tajeta de | noviembre | fo dispuesto en fos aébito | "30.2018 | arteuios 12° orediscoia humeral 4 del RLPOP 18° dala LPOP ¢. 393 a 396) Consentimenia cumple con sr Sot. infomeco an 5 | BM | | reine | 8 ce mayo | gomumica at clente Mims | pemmem | Resumen ce | oe 2018 i a a arteuios 122 ee numeral 4 del RLPOP va y 18° de la LPDP (f 435 443) Conseniimienia mo cumple con ser Soteitud- informed al no Contratoy | 22de | comunicar a conte 6 = Hoja de | octubre de | lo dispuesto en los MM Ff Resumende | 2018 | articulos 12°, eréato humeral 4 del RLPOP y 18° de la LPOP; asimismo, no cumple Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: https sqc.minjus gab peloesdos_webslogin jsp e ingresando el Tipo de Documento, Numero y Rango de chase Ser el ca50 0 hips Sp minjus.goo pe/gesdoc._webVveriica jsp ingresando Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 22 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP con er aupreso ano verfcarse le scoviacin del clonte (f 490 a 496), Consentment 05 cunpicon ser sofetua intrmede oi no — contatoy Comunicar a chnts | | oe” | 27 eopuiode | Fa nsencenice —$§ ee ees rot rumora/4 del PLPOP 10°C la (POP 534 a 541), Tar de Tos Tipo de Fecha de poten, | OM | aocumento | connaracian | Consentiniento a Contato de No existe clausuia | = a tayela de | 04 de junio | de consentimiento (E ee = Greasooia | 7"? | 2000286) Contato de o | mmm | pan | 3768222 | ccture ce | ce consontmion = Cemnecdte 2017 287 a 290). Contre de 10 |S | om | teseiade | 21 dejuno | Me ercentmont — Crediscotia. 289 @ 302) — Conratode- | 08a | Nooxsteosasua ee — — Contato de | — 30 do —| Nooxsie las 12 | mmm | Bt | Sireisc0" | nove [Se consonimens — cesto | "se2ote | 4480464) Contra — somes ro | Noonste cdusua so | RE | em | sstoores- | 27g0eee | So Sarcrrment sone 2 — ee #620466) Natural Contato Sonos 6 | Noedisteceusuia =—_ 30 de No existe cléusul 1“ ancares | diembre de | do conseniment( —— deem a = Ma Persone 2006 — | 474 a 483). Natura Canta ‘nor — rare joo | Nori causa a — eer Lael Condiciones 483 489), expocticas — Aperire = | cuentede | 25. febrero | Be ercentmiont f mms | | eros | ce 2015 | Seserss =n raberes 7 | mmm |__| Solita | 20 ae n> | No erste cise Mmmm | ms | face'a de | “0 2015 | de consentimiento (t Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: https sqc.minjus gab peloesdos_webslogin jsp e ingresando el Tipo de Documento, Numero y Rango de chase Ser el ca50 0 hips Sp minjus.goo pe/gesdoc._webVveriica jsp ingresando Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 23 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP — erect Bia Si) Contato de = servicios, 20de —_| Noexiste cléusula 18 bancarios - | diciembre de | de consentimiento(t = Persona 2017 | 519.2 528) — Natural Sofcitud = contratoy i | = : Hoa de | 22 de agosio | 1° Srventimiente( mmm | mm | 2222007 co | do 2018 | Se-pensen = tarjeta de crédito 2) MEE, 2ocUner!=C160 deni de a cual figura un contrato de tarjeta de crédito de Crediscotia, de 24 de diciembre de 2018 (f 273 a 279), donde figura una clausula de consentimiento, que verifcada no cumple con ser informada al no comunicar.j) La existencia del banco de daios personales en ol que se almacenaran los datos personales: y i) La posibildad de ejercer fos derechos que la ley le concede y Jos medkos previstos para elo, i a a a ee documentacion dentro de la cual figura un contrato de tarjeta de crédiio de Crediscotia, de 18 de enero de 2013 (f 303 a 310), donde figura una cléusula de consentimiento, que verificada no cumple con ser libre, ai no contar con una casilla mediante la cual el ttular pueda 0 no ofergar su consentimiento para que Sus datos sean remitidos al Grupo Scotiabank para fines comerciales y/o publicitarios. Asimismo, no cumple con ser informada al no comunicar: i) La existencia del banco de datos personales en al que se almacenaran los datos personales. yi) La identidad de los destinatarios de los datos (empresas del Grupo Scotiabank). TT, 69°. °0 050 dientro de fa cual figura un contfafo de tajeta do credo de Crediscotia, de 28 de octubre de 2016 (f 317 a 317), donde figura una cldusula de consentimiento, que verificada no cumple con ser libre, al no contar con una casilla mediante la cual ef titular pueda 0 no otorgar su consentimiento para que sus datos sean remitos al Grupo Scotiabank para fines comerciales y/o publicitarios. Asimismo, no cumple on Ser informada al no comunicar:) La existoneia del banco de datos personales en ef que se almacenaran los dalos personales, y i) La identidad de bos destinatarios de los datos (empresas del Grupo Scotiabani) ERE documentacien dentro de fa cual figura un oontrato de tayeta de oréaio de Crediscotia, de 10 de enero de 2014 (f. 318 a 330), donde figura una olausula de consentimiento, que verificada no cumple con ser libre, al no contar con una casilla mediante la cual ef tlular pueda 0 no oforgar su consentimiento para que Sus datos sean remitides al Grupo Sootiabank para fines comerciales yf publeitaros. ‘Asimismo, no cumple con ser informada al no comunicar. |) La existencia del banco de datos personales en el que se almacenaran los datos personales; y ii) La identidad de los destinatarios de los datos (empresas de! Grupo Scotiabank). a Sy TE) ee EE documentacién dentro de la cual figura un contrato de tarjeta de crédito de Scotiabank, de 28 de enero de 2014 (f 331 a 338), donde figura una clausula de consentimiento, que verificada no cumple con ser libre, al no contar con una casilla mediante la cual ef tiular pueda 0 no ofergar su consentimianto para que SUS datos sean remitides al Grupo Scotiabank para fines comerciales yf publtcitaros. ‘Asiismo, no cumple con ser informada al no comunicar. |) La existencia del Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 24 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP banco de datos personales en 8l que se almavenaran los datos personales; y i) La ‘deontidad de los destinatarios de los datos (empresas del Grupo Scotiabank) 5 TT | 200.7 272c1c7) dentro de la cual figura un contrato de tarjeta de crédito de Scotiabank, de 24 de octubre de 2018 (f. 339 a 248), donde figura una cldusula de consentimiento, que verificada no cumple can ser libre, al no contar con una casilla mediante la cual el titular pueda o no otorgar su consentimiento para que sus datos sean remitidos al Grupo Scotiabank para fines comerciales y/o publicitaros. Asimismo, no cumple on ser informada aI no comunicar i) La existercta del banco de datos porsonales en a! que se almacenaran los datos personales; y i) La identidad de los destinatarios de los datos (empresas de! Grupo Scotiabank). FE a a documentacion donde figura la ficha Ge modificacion de datos personales, contrato de cuenta club sueldo scotiabank, y contrato de servicios bancarios de 29 de agosto de! 2015 (f. 349 a 360) y el contrato de tarjeta de crédito de 25 de octubre de 2018 {f. 361 a 367), que evaluados se verifica que en todos los documentos citados figura una cldusula de consentimiento, la cual no cumple con ser libre, al no contar con una casilia mediante fa cual el titular pueda o no otorgar su consentimienio para que sus datos sean remifidos al Grupo Scotiabank para fines comerciales y/o publicitarios. Asimismo, no cumple con ser informada al no comunicar. j) La existencia del banco de datos personales on el que se almacenaran los datos personales; y il) La identidad de los destinatarios de los datos (empresas de! Grupo Scotiabank) 7 a a 2 documentacion dentro de fa cual gure ur Contrato de taljeta Ge CUeTIa OB aPOTTOS de Crediscotia de 05 de septiembre de 2017 (f 368 a 375), donde figura una eléusula de consentimiento, que venticada no cumple con ser lie, al no contar con una casila mediante la cual et titular pueda o no otorgar su consentimianto para quo sus datos sean remiios al Grupo Scotiabank para fines comerciales y/o publcttarios. Asimismo, no cumple con ser informada al no comunicar. )) La existencia de! banco de datos personales en e/ que se almacenaran los datos personales; y ii) La identidad de los destinatarios de los datos (empresas de! Grupo Scotiabank). 7, EE, ocureniacion dentro de ia cual figura un contrato ds tarjeta de credfo de Crediscotia de 29 de diciembre de 2014 (f. 399 a 406), donde figura una cléusula de consentimiento, que verificada no cumple con ser libre, al no contar con una casilla mediante Ja cual el titular pueda o no otorgar su consentimiento para que sus datos sean remitidos al Grupo ‘Scotiabank para fines comerciales ylo publicitarios. Asimismo, no cumple con ser informada al no comunicar: i) La existencia del banco de datos personales en ef que so almacenaran los datos personales. yi) La identidad de los destinatarios de Jos datos (empresas del Grupo Scotiabank). 29 ee ee. decumentacion dentio de fs cual figure un-contrato de tarjeta de creo de 20 de septiembre de 2017 (f. 424 a 434), donde figura una cléusuia de consentimiento, que verificada no cumple con ser libre, al no contar con una casilla mediante la cual ef titular pueda o no oforgar su consentimiento para que sus datos sean remitidos al Grupo Scotiabank para fines comerciales y/o publiotarios. Asimismo, no cumple con ser informada al no comunicar: i) La existencia del banco de datos personales on el que se almacenaran los datos personales; y i) La Identidad de los destinatarios de los datas (empresas de! Grupo Scotiabank). TT, 507271516 dentro 08 fa cual igura un contrato Ue tarjeta de credo de 23 de septiembre de 2018 (f. 457 a 463), donde figura una clausula de consentimiento, que verificada ‘no cumple con ser libre, al no contar con una casilla mediante [a cual ef titular Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 25 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP pueda 0 no otorgar su consentimiento para que sus datos sean remitidos al Grupo Scotabank para fines comerciales yo publiefarios. Asimisma. no cumple con sor informada al no comunicar: i) La existencia del banco de datos personales en ef que se almacenaran los datos personales; y il) La identidad de los destinatarios de Jos datos (empresas de Grupo Scotiabank). 1 EEN, 0627 2n!2ci6n dentro de la cual figura un contrato de servicios bancanos - persona natural de 23 de septiembre de 2018 (f. 464 2 473), donde figura una cléusula de consentimiento, que verificada no cumple con ser libre, al no contar con una casilla mediante ia ual e) ular pueda 0 no olorgar su consentimiento para que sus datos sean remitidos al Grupo Scotiabank para fines comerciales y/o publicitarios. Asimismo, rho cumple con sar informaca a! no comunicar./) La existencia Gel hance de catos personales en el que se almacenaran los datos personales. 2 , 20°u767'2017 conto de le cual Mga une lena ce cates perscrales ce To ce [uo de 2015 (1 465 vuelta @ 4926), donde figura ura clausula de consentimianto, que verticada no cumple con Ser libre, al no confar con una casila meciante la cual el ftular pueda 0 no oforgar su consentimiento para que sus datos sean remitidos al Grupo Scotiabank para fines comerciales y/0 pubictarios Asimismo, no cumple con Ser informaca 2! NO comunicar: i) La existencia de! banco de datos personales en el que se aimacenaran los datos personales, y i) La identidad de fos destinataros de los datos (empresas de! Grupo Scotiabank). 33. decumentacion dentro ce Te cua’ figure un confelo de servicios barca/ios = persona natural de 08 de noviembre de 2018 (f. 497 @ 499), donde figura una ciéusula de consentimiento, que verificada no cumple can ser libre, al no contar con una casilla mediante la cual el titular pueda © no otorgar su consentimiento para que sus datos sean remitidos al Grupo Scotiabank para fines comerciales y/o publicitarios. Asimismo, no cumple con sor informada al no comuncar. ) La existencia det Banco de datos personales en el que se almacenaran los datos personales. 1) NE, cocUnenisci6n dentro de ie cual figura una ficha de datos personales de 10 de julio de 2015 (f. 485 vuelta a 486), donde figura una clausula de consentimiento, que verificada no cumple con ser libre, al no confer con una casila mediante la cual ef titular pueda o no otorgar su consentimionto para que sus datos sean remitidos al Grupo Scotiabank para fines comerciales yo publicitarios. Asimismo, no cumple con ser informada al no comunicar: i) La existencia de! banco de datos personales en ef que se aimacenarén fos datos personales, y i) La identidad de Jos destinatarios de los datos (empresas de! Grupo Scotiabank). SN 025U72N'sc/6n dentro de la cual figura un contrato de tarjeta de crécito de 22 de junio de 2017 (f 510 2 516), donde figura una cléusula de consentimiento, que verificada no cumple con ser libre, al ne contar con una casila mediante fa cul el titular pueda o ro otorgar Su consentimionto para que sus datos sean remitidos al Grupo Scotiabank para fines comerciales ylo publictarios. Asimismo, no cumple con ser informada al no comunicar: i) La existencia de! banco de datos personales en el que se aimacenarén los datos personales; i) El tiempo durante el cual se conservaran los datos personales: y il) La identidad de los destinatarios de los datos (empresas de! Grupo Scotiabank). [ 60020259 cent de Ia cual figura un contrato de crecito personal Crediscotia do 09 de marzo de 2013 (f. 542 a 553), donde figura una cldusula de consentimiento, que verificada no cumple con ser libre, al no contar con una casilla mediante fa cual ef titular >pusda © no otorgar su consentimiento para que sus datos sean remitidos al Grupo Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el ca50 0 hips Sp minjus.goo pe/gesdoc._webVveriica jsp ingresando Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 26 de 38Resolucion Directoral N° 1442-2021-JUS/DGTAIPD-DPDP 67. La administrada en sus descargos 07 de setiembre de 2020 (f ‘Scotiabank para fines comerciales y/o publicitarios. Asimismo, no cumple con ser informada al no comunicar: i) La existencia del banco de datos personales en ef que se almacenaran los datos personales, i) La identidad de los destinalarios de Jos datos (empresas dei Grupo Scotiabank). | TT, 96.727 515° dentro de la cual figura un contrato de tajeta de crédito de 06 de junio de 2016 (f 566 a 581), donde figura una clausula de consentimiento, que verificada no cumple con ser itre, l no contar con una casila mediante la cual el titular pueda © ‘no otorgar su corsentimionto para quo sus datos sean remitidos al Grupo ‘Scotiabank para fines comerciales yf publictarios. Asimismo, no cumple con ser informada al no comunicar: i) La existencia del banco de datos personales en el que se almacenaran los datos personales, i) La identidad de los destinatarios de los datos (empresas del Grupo Scotiabank). 36 Respect 2 (05 $< 5 (NEE 2 2011 1511203 enV Un CD que contiene cos audios (F 407). Al ser escuchados, 0 variica que el operadr solita consentimionto para brindarles informacién, més no figura el consentimiento de las citadas personas para que Ja administrade utlice sus datos personales para ser includes en banco de datos de prospecoién comercial y/o publiitara, 2) Por lo expuesto, se advierte que la administrada no contaria con ei Consentimiento de los ttulares de los dates incluidos en los banoos de datos personales de prospeccién comercial y/o publicitaria enviados a los centros de Contacto y, on otros casos, ol consentimionto obtenido para dicho tratamiento sera invélico 5 625 a 653) y del 19 de octubre de 2020 (folios 749 a 763) manifiesta lo siguiente: Reconoce expresamente la comisién de la infraccién imputada, y solicita que se considere su reconocimiento como un atenuante de responsabilidad y por tanto la reduccién a la potencial mutta, hasta el monto no menor a la mmitad de su importe. Adjunta en calidad de anexo un reporte mediante el cual recopila la informacién de su sistema CRM (folio 653) en el cual se puede apreciar un listado de usuarios objeto de fiscalizacién, a quienes a la fecha ya no se les remite informacion publicitaria. La fecha de cese de tales comunicaciones se podra apreciar en la celda denominada "Flag Matriz Negative”. En atencién a este medio probatorio, solicitan a la Autoridad corroborar las acciones de enmienda adoptadas, a fin de evitar la imposicién de una medida correctiva innecesaria, sin perjuicio de la aplicacién de la atenuante correspondiente. Al tomarse conocimiento de la invalidez de las politicas como del speech informativo, se suprimié y/o eliminé de sus bases de datos la informacion personal de los clientes citados, a fin de evitar su utlizacién indebida en adelante, y, ademas, con el propésito de dar inicio a una actualizacién y regularizacién de documentos a la normativa de datos personales. La autoridad debera tener en cuenta que, al no haber un tratamiento efectivo de dicha informacién debido a su eliminacién, dicha accién de "no hacer” por parte de SCOTIABANK constituiria un mecanismo de enmienda sobre los datos materia de investigacién para fines publicitarios. Esta es une conia auténtica Impemible de un documento electrénico archivado por et Minsterlo de Justicla y Derechos Humanos, aplicanc lo spueste par el Ar. 25 de DS. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e integridea pueden ser contrastadas a traves de la siguiente dieccion web: ilps sqc.minlus gab peloesdos_websogn jsp @ ingresando el Tipo de Documento, Numero y Rango de Fecnas ce Ser el 6850 0 hips /spd minjus.go pe/gesoc_webiveritca jsp e ingresendo Tipo de Documento, Nimero, Remtente y ‘io, segun corresponde, Pagina 27 de 38