Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP. Expediente N° 188-2020-JUSIDGTAIPD-PAS Lima, 07 de diciembre de 2021 VISTOS: El Informe N° 069-2021-JUS/DGTAIPD-DFI del 31 de mayo de 2021", emitido por la Direccién de Fiscalizacién e Instruccién de la Direccién General de Transparencia, Acceso a la Informacién Publica y Proteccién de Datos Personales (en adelante, la DFI), y demas documentos que obran en el respectivo expedient, y; CONSIDERANDO: |. Antecedentes 4. Pormedio del correo electrénico del 3 de marzo de 2020, a> [en adelante, el denunciante) reports haber recibido llamadas por parte de la empresa Oncosalud S.A.C. (en adelante, la administrada), sin haber brindado antes sus datos personales para entablar tales comunicaciones, por lo cual solicit6 que se elimine su ntimero telefonico de su base de datos, Como sustento, adjunté la grabacién de dos llamadas recibidas ese dia, en la segunda de las cuales, solicitd que se le ayude a que se eliminen sus datos. 2. Mediante el Oficio N° 739-2020-JUS/DGTAIPD-DFI’, notificado el 24 de agosto de 2020, se solicité a la administrada la siguiente informacion: * Identidad de la empresa encargada de la gestién de televentas que haya contactado al denunciante, indicando la fecha de tal contacto. ‘* Discurso de venta que entregado a la empresa encargada que ha realizado el contacto. * Contrato suscrito con dicha empresa. “Fotos 606 a 534 2Folos 103 2Folos 11 012 Esta 0s une copia auléntica morimible 6e un documento electronic archivage por el Minstetio de Justicia y Derechos Humanos, aplicando lo dspuesto por el Art. 25 de DS, O70-2013-PCHM y la Tercera Disposicién Complementaria Final del D.S, 026-2016-PCM. Su autentcidad e integrided pueden ser contrastadas a raves de la siguiente dreccion ved: itp s/fegd minjus.god.pe/gesdoc_webfioginjsp ¢ ingresando el Tipo de Documento, Numero y Rango de Fechas de ser ‘C2500 ipsi/sgo.minjus.gob pelgesdoc_webiverfica sp eingresando Tipo de Document, Numero, Remiente yf, segin corresponda, Pagina 1 ae 26Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 3. Por medio del escrito ingresado con el Registro N° 33826-2020 del 4 de septiembre de 2020, la administrada dio respuesta al requerimiento efectuado, remitiendo los documentos solicitados, asi como informé sobre su contrato con la ‘empresa Grupo Salud del Perti Servicios Comerciales SAC. (en adelante, GSP), encargada de los servicios de asesoria, promocién y venta de sus productos (fondos de aseguramiento prepagado en salud); empresa que contrata a otras que prestan los servicios de televentas de tales productos, e identificando a Biznes S.AC., como aquella que contacté al denunciante. 4. Mediante el Informe de Fiscalizacién N° 181-2020-JUS/DGTAIPD-DFI-AARM del 14 de septiembre de 2020°, se remitié a la Directora de la DFI el resultado de la fiscalizacion a la administrada, concluyendo que se han determinado preliminarmente las circunstancias que justifican el inicio de un procedimiento administrative sancionador contra ella, relativas al supuesto incumplimiento de lo establecido en la Ley N* 29733, Ley de Proteccién de Datos Personales (en adelante, LPDP) y su reglamento, aprobado por Decreto Supremo N° 003-2013- JUS (en adelante, Reglamento de la LPDP). Dicho informe fue notificado a la administrada a través del Oficio N° 875-2020-JUSIDGTAIPD-DFI, el 24 de septiembre de 2020° 5. — Mediante el escrito presentado ol 20 de octubre de 2020, ingresado con el Registro N° 480129-2020", la administrada presenté sus argumentos respecto de las conclusiones del mencionado informe de fiscalizacién, asi como documentacién adicional. 6. Por medio de la Resolucién Directoral N° 204-2020-JUS/DGTAIPD-DFI del 30 de diciembre de 2020°, la DFI resolvié iniciar procedimiento administrativo sancionador a la administrada por haber realizado el tratamiento de los datos personales del denunciante, para fines publicitarios y comerciales, sin haber ‘obtenido su consentimiento, segin dispone el numeral 13.5 del articulo 13 de la LPDP y el articulo 12 del Reglamento de la LPDP; hecho que configuraria la infraceién grave tipificada en el literal b) de! numeral 2 del atticulo 132 de dicho reglamento, 7. Através del Oficio N° 03-2021-JUS/DGTAIPD-DFF se notificé a la administrada dicha resolucién directoral, el 12 de enero de 2021. 8. Por medio del escrito ingresado con Registro N° 118150-2021MSC del 2 de febrero de 2021", la administrada presentd sus descargos, adjuntando documentacién sustentatoria de sus argumentos. 9. Mediante la Carta N° 099-2021-JUS/DGTAIPD-DFI del 16 de marzo de 2021, se solicité a la administrada remitir lo siguiente: Folios 138 a 140 Folios 147 2 268, ® Folios 269 a 276 » Folios 277 @ 281 "" Folios 283 @ 430 Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 2 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 10. " 12. 13. 14. 15. ‘+ Los correos electrénicos enviados tanto por la administrada como por GSP, mediante los cuales se establecié el contacto con los call centers, a fin de que se eliminen los datos personales del denunciante de sus bases de datos, debiendo contener la informacién completa sobre su contenido, nombres, fechas, correos de los que se envid el requerimiento, la solicitud efectuada, entre otros, y no solo parte de la imagen de los mismos. ‘+ Los correos electrénicos de respuesta de los call centers al requerimiento de climinar los datos personales del denunciante, debiendo contener la informacién completa sobre su contenido, nombres, fechas, correos de los que se envié el requerimiento, la respuesta proporcionada, entre otros, y no solo parte de la imagen de los mismos. Asimismo, mediante la Carta N° 104-2021-JUS/DGTAIPD-DFl del 23 de marzo de 2021", se solicité a la administrada indicar la cantidad de productos y programas que vendieron a través de los call centers desde el 2017 hasta tal fecha Mediante el escrito ingresado con la Hoja de Tramite N* 57196-2021MSC del 26 de marzo de 2021", la administrada absolvio la solicitud realizada por medio de Carta N° 099-2021-JUS/DGTAIPD-DFI. Por medio del escrito ingresado con la Hoja de Tramite N° 59470-2021MSC del 30 de marzo de 2021", la administrada absolvié la solicitud realizada por medio de Carta N° 104-2021-JUS/DGTAIPD-DFI. Mediante el Informe N* 069-2021-JUS/DGTAIPD-DF, la DFI rerritié a la Direccién de Proteccin de Datos Personales de la Direccién General de Transparencia, Acceso a la Informacién Publica y Proteccién de Datos Personales (en adelante, la DPDP), el presente expediente para que resuelva en primera instancia el procedimiento administrative sancionador iniciado, recomendando imponer a la administrada la sancién de multa ascendente a treinta y uno coma cincuenta Unidades Impositivas Tributarias (31,50) por la presunta comisién de la infraccién grave tipificada en el literal b) del numeral 2 del articulo 132 del Reglamento de la LPDP. Mediante la Resolucién Directoral N° 100-2021-JUS/DGTAIPD-DFI del 31 de mayo de 2021", la DFI por concluidas las actuaciones instructivas correspondientes al procedimiento sancionador. Dichos documentos fueron notificados a la administrada a través de la Cédula de Notificacién N° 430-2021-JUS/DGTAIPD-DFI. Por medio del escrito ingresado con la Hoja de Trémite N° 126958-2021MSC del 15 de junio de 2021'S, la administrada presents sus descargos contra el informe final de instruccién mencionado, adjuntando documentacién y solicitando el uso de la palabra en un informe oral. " Folios 535 2 539 "" Folios 545 @ 567 Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 3 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 17. Mediante la Carta N* 1976-2021-JUS/DGTAIPD-DPDP del 13 de septiembre de 2021'°, se programé dicho informe oral, realizado el 22 de septiembre de 2021 18. Por medio de la Carta N° 2043-2021-JUS/DGTAIPD-DPDP del 22 de septiembre de 2021", se requirié a la administrada remitir la siguiente informacion: + Archivos de las grabaciones de las llamadas de televentas realizadas al denunciante, entre el 1 de febrero de 2020 y el 3 de marzo de 2020. ‘+ Especificacién de la fecha de realizaci6n de cada una de dichas llamadas y la identidad de la empresa que realizé cada cual. ‘+ Especificacién de la fecha en que se ordené a Biznes S.A.C. el bloqueo de los teléfonos del denunciante, a fin de que no se le siga haciendo las llamadas mencionadas, incluyendo el documento (correo electronico) mediante el cual se efectué esas érdenes, el cual debe presentarse conteniendo la informacién completa sobre su contenido, nombres, fechas, correo desde el que se envid la orden, asi como la respuesta proporcionada inmediatamente después de su recepcién, entre otros; no solo parte de la imagen de los mismos. 19, Mediante el escrito ingresado con la Hoja de Trémite N° 254345 del 6 de octubre de 2021, la administrada remitié informacién requerida respecto de las acciones que emprendié con miras al bloqueo de las comunicaciones de televentas con el denunciante. 20. Por medio de la Resolucién Directoral N° 2846-2021-JUS/DGTAIPD-DPOP del 6 de octubre de 2021, se dispuso la ampliacién del plazo de caducidad del procedimiento por dos meses, desde el 11 de octubre de 2021 21, El 29 de octubre de 2021, personal de la DPDP accedié a la pagina web https://www.oncosalud.pe/arupo-economico-y-socios-comerciales/, a fin de ‘conocer la identidad de las empresas vinculadas con la administrada, I Competencia 22. De conformidad con el articulo 74 del Reglamento de Organizacién y Funciones del Ministerio de Justicia y Derechos Humanos, aprobado por Decreto Supremo N° 013-2017-JUS, la DPDP es la unidad organica competente para resolver en primera instancia, los procedimientos administrativos sancionadores iniciados por la DFA 23. En tal sentido, la autoridad que debe conocer el presente procedimiento sancionador, a fin de emitir resolucién en primera instancia, es la Directora de Proteccién de Datos Personales, Ill. Normas concernientes a la responsabilidad de la administrada 24, Para la determinacién de la responsabilidad de la administrada respecto de una infraccién, se debera tomar en cuenta lo establecido en el articulo 257 del Texto "© Foo 568 "Foie 580 Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 4 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP Unico Ordenado de la Ley N° 27444, Ley del Procedimiento Administrative General, aprobado por Decreto Supremo N° 004-2019-JUS (en adelante, la LPAG), en su calidad de norma comiin para los procedimientos administrativos, conjuntamente con lo establecido en el Reglamento de la LPDP. 25, Ental sentido, se atiende al hecho de que el literal f) del numeral 1 de dicho articulo de la LPAG, establece como una causal eximente de la responsabilidad por infracciones, la subsanacién del hecho imputado como infractor, sies realizada de forma previa a la notificacién de imputacion de cargos y a iniciativa voluntaria por parte de la administrada’®, sin provenir del mandato de la autoridad a través de algtin documento mediante el cual se solicite subsanar el acto calificable como infraceién, como sefiala adecuadamente Morén'®. 26. Porsuparte, eno que atafie a las atenuantes de la responsabilidad administrativa, ‘se debe prestar atencién a lo dispuesto en el numeral 2 del mismo articulo de la LPAG®, en virtud del cual la aplicacién de aquellas dependera del reconocimiento ‘expreso de la infraccién, conjuntamente con los factores establecidos en la norma especial, el aiticulo 126 del Reglamento de la LPDP: El reconocimiento ‘esponténeo y preponderantemente, acciones para su enmienda y colaboracién con las acciones de la autoridad, factores que, de acuerdo con lo oportuno del reconocimiento y la efectividad de dicha enmienda, pueden conllevar la reducci6n motivada de la sancién hasta por debajo del rango previsto”’. 27. Por supuesto, la efectividad de los actos de enmienda mencionados, de acuerdo con el objetivo de las normas de proteccién de datos personales y del procedimiento administrativo, dependerd de su capacidad de diluir la trascendencia y los efectos antijuridicos de la conducta infractora, reparando la situacién al punto de acercaria lo mas posible al estado anterior al hecho infractor. IV. Primera cuestion previa: Sobre la vinculacion entre el Informe de Instruccion y el pronunciamiento de esta direccion 28. El articulo 254 de la LPAG establece como cardcter fundamental del procedimiento administrative sancionador, la separacién entre la autoridad instructora y la autoridad sancionadora o resolutora: '" Articulo 257.- Eximentes y atenuantes de responsabilidad por infracciones 41=-Constityen condiciones eximentes de la responsablided por inftacciones las siguientes © £) La subsanacion voluntara por parte det posible sancionad del acto u envision imputade como constitutive de infraccign ‘adminstrativa, con anteriondad a la natficacicn de Ia imputacion de cargos a que se refiere el inciso 3) cel aticulo 255, "= MORON URBINA, Juan Carlos: “Comentarios a Ia Ley del Procedimiento Adminisrativo General’, Decimo quinte fedicion. Lima, Gaceta Juries, 2020, omoll,p. 522. 2 Articulo 257.- Eximentes y atonuantes de responsabilidad por Infracciones So 2- Consltuyen consiciones atenuantes de fa respensebiled por intracciones las siguientes 4) Si iniiade un procedimiento administrative sencionador el infactorrecenoce su respensebided de forma expresa y or escrito, En los casos en que la sancién aplicable sea una multe esta se reduce hasta un monto no menor de la mitad de su importe 'b) Otros que se estabiezcan por norma especie. 2" aniculo 126. Aten Ls colaboracién con las acciones de la autridad y el reconosimiento esponténeo de las infracclones acompafiado de acciones de enmienda se consideraran atenuantes. Atendiendo @ la oportunidad del reconocimiento y las formulas de ‘enmienda, Ia atenuacion permitia incluso le reduccion mativaca dela sancion por debajo del rango prevsto‘en la Ley, Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 5 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP “Articulo 254.- Caracteres del procedimiento sancionador 254.1 Para el ejercicio de la potestad sancionadora se requiere obligatoriamente haber seguido el procedimiento legal o reglamentariamente establecido caracterizado por: 1. Diferenciar en su estructura entre la autoridad que conduce Ia fase instructora y la que decide la aplicacién de la sanci6n. tol" 29. Por su parte, el articulo 255 de dicha ley establece lo siguiente: “Articulo 255.- Procedimiento sancionador Las entidades en el ejercicio de su potestad sancionadora se cifien a las siguientes disposiciones: ras) 5. Concluida, de ser el caso, la recoleccién de pruebas, la autoridad instructora del procedimiento concluye determinando la existencia de una infraccién y, por ende, la imposicién de una sanci6n; o la no existencia de infraccién. La autoridad instructora formula un informe final de instruccién en el que se determina, de manera motivada, las conductas que se consideren probadas constitutivas de infracci6n, la norma que prevé la imposicién de sancién; y, la sancién propuesta o la declaracién de no existencia de infraccién, segtin corresponda. Recibido el informe final, el érgano competente para decidir la aplicacién de la sancién puede disponer a realizacién de actuaciones complementarias, siempre que las considere indispensables para resolver el procedimiento. El informe final de instruccién debe ser notificado al administrado para que formule sus descargos en un plazo no menor de cinco (5) dias hébiles.” 30. De los articulos transorites, se desprende que la separacién de las dos autoridades, asi como la previsién de ejercicio de actuaciones por parte de la autoridad sancionadora o resolutora, situaciones que implican la autonomia de criterio de cada una de ellas. 31, En tal sentido, la autoridad sancionadora 0 resolutora puede hacer suyos todos los argumentos, conelusiones y recomendaciones expuestos por la autoridad instructora, asi como puede efectuar una distinta evaluacién de los hechos ‘comprobados o inclusive, cuestionar estos hechos o evaluar situaciones que, si bien fueron tomadas en cuenta al momento de efectuar la imputacién, no se evaluaron de la misma manera al finalizar la instruccion. 32, Por tal motivo, la resolucién que emita una autoridad sancionadora o resolutora, puede apartarse de las recomendaciones del informe final de instruccién o incluso cuestionar los hechos expuestos y su valoracién, haciendo una evaluacion diferente, teniendo en cuenta la su naturaleza no vinculante de dicho informe, sin que ello conileve una vulneracion de la predictibilidad 0 de la expectativa legitima del administrado, esta ultima que no encuentra asidero en la normativa referida al procedimiento administrativo Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 6 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 33, 34, 35, 36, Por supuesto, la divergencia de criterios mencionada, no puede implicar vulneraciones al debido procedimiento, como el impedir el derecho de defensa de los administrados, ni ampliar 0 variar los hechos imputados y su valoracién como presuntas infracciones. ‘Segunda cuestién previa: Acerca del interés que define la responsabilidad sobre el tratamiento de datos personales objeto de encargo y/o subcontratacién, y la exigencia de ejercer diligentemente el control Entre los participes en los procesos que involucran tratamiento de datos personales, se encuentra no solo el titular del banco de datos personales y/o el responsable de dicho tratamiento; se desarrollan actividades de tratamiento de datos personales que son parte de dichos procesos, a través de otras empresas, © personas, o se emplean los datos personales que estas entidades ponen a su disposicién, circunstancias que constituyen el encargo de tratamiento. El articulo 2 de la LPP contiene sus definiciones, transcritas a continuacién: “Articulo 2. Definiciones Para todos los efectos de /a presente Ley, se entiende por: fan 7. Encargado de tratamiento de datos personales. Toda persona natural, persona juridica de derecho privado 0 entidad piiblica que sola o actuando conjuntamente con otra realiza el tratamiento de los datos personales por encargo del titular de! banco de datos personales en virtud de una relacién Juridica que le vincula con el mismo y delimita el 4mbito de su actuaci6n. Incluye a quien realice el tratamiento sin la existencia de un banco de datos personales. 8. Encargo de tratamiento. Entrega por parte del titular del banco de datos personales a un encargado de tratamiento de datos personales en virtud de una relaci6n juridica que los vincula. Dicha relacién juridica delimita el mbito de actuacién del encargado de tratamiento de Jos datos personales. () 17. Titular del banco de datos personales. Persona natural, persona Juridica de derecho privado 0 entidad piiblica que determina la finalidad y contenido del banco de datos personales, el tratamiento de estos y las medidas de seguridad. Por su parte, el Reglamento de la LPDP, de forma complementaria, contiene las siguientes definiciones: “Articulo 1.- Objeto. EI presente reglamento tiene por objeto desarrollar la Ley N° 29733, Ley de Proteccién de Datos Personales, en adelante la Ley, a fin de garantizar el derecho fundamental a la proteccién de datos personales, regulando un adecuado tratamiento, tanto por las entidades publicas, como por las instituciones pertenecientes al sector privado. Sus disposiciones constituyen normas de orden ptiblico y de cumplimiento obligatorio. Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 7 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 37, 38, 39, 40, Articulo 2.- Definiciones. Para los efectos de la aplicacién del presente reglamento, sin perjuicio de las definiciones contenidas en la Ley, complementariamente, se entiende las siguientes definiciones: (0) 10. Encargado del tratamiento: Es quien realiza el tratamiento de los datos personales, pudiendo ser el propio titular de! banco de datos personales 0 el encargado del banco de datos personales u otra persona por encargo del titular del banco de datos personales en virtud de una relacién juridica que le vincula con el mismo y delimita ef ambito de su actuacién. Incluye a quien realice el tratamiento de datos personales por orden del responsable de! tratamiento cuando este se realice sin la existencia de un banco de datos personales. i) 14. Responsable del tratamiento: Es aquél que decide sobre ef tratamiento de datos personales, aun cuando no se encuentren en un banco de datos personales. 18, Tercero: Es toda persona natural, persona juridica de derecho privado o entidad publica, distinta del titular de datos personales, del titular 0 encargado del banco de datos personales y del responsable del tratamiento, incluyendo 2 quienes tratan los datos bajo autoridad directa de aquellos." De las normas citadas, se desprende que existe una pluralidad de niveles de patticipacién en el tratamiento; teniendo como el concepto mas amplio el del responsable del tratamiento, definido llanamente como quien “decide sobre el tratamiento de datos personales”, que a su vez comprende en si, al concepto de titular de los bancos de datos personales, que es una persona o entidad que decide sobre las actividades de tratamiento y la estructura, finalidad y preservacién de la seguridad de los datos personales incorporados en un conjunto estructurado. En ambos casos, esta presente el poder de decisién que tienen sobre los datos personales, estructurados 0 no en un banco de datos personales, que se ejerce a través de la eleccién de los datos personales que seran objeto de tratamiento (en ‘el caso de los bancos de datos personales, en su contenido y estructura), de las actividades de tratamiento de datos personales a realizar, de quiénes intervienen en tales actividades y, principalmente, de la finalidad a alcanzar, relacionada con el interés del responsable que se busca atender con dicho tratamiento En tal sentido, debe entenderse que dicho interés se satisface a través de medios (acciones, actividades de tratamiento, bienes empleados, datos personales objeto de tratamiento, bases de datos personales, entre otros), provistos o desarrollados Por otras empresas, cuya contratacién le resulta mas provechosa que realizar la actividad encargada por su propia cuenta Sobre la finalidad y el correcto empleo de estos medios contratados, a fin de que ‘sean compatibles con dicha finalidad, el responsable decide y ejerce el contro! ‘supremo, a la vez que goza de los beneficios que surta la actividad que conlleva el tratamiento de datos personales. Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 8 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 41 42, 43, ‘A estar orientados hacia la satisfaccién del responsable del tratamiento, tales medios se emplean en favor de este y su interés, siendo estos cualesquiera con los que desarrollen alguna actividad de tratamiento de datos personales, los mismo que pueden ser proporcionados por el mismo responsable, por el encargado 0 por algiin tercero subcontratado, cuyas acciones se entenderan Tealizadas a nombre y por cuenta de dicho responsable, de acuerdo con los alticulos 37 y 38 del Reglamento de la LPDP citados a continuacién: “Articulo 37.- Tratamiento a través de subcontratacién. El tratamiento de datos personales puede realizarse por un tercero diferente al encargado del tratamiento, a través de un convenio o contrato entre estos dos. Para este supuesto se requeriré de manera previa una autorizacién por parte del titular del banco de datos personales o responsable del tratamiento. Dicha autorizacién se entenderé también concedida si estaba prevista en el instrumento juridico mediante e! cual se formalizé la relacién entre el responsable del tratamiento y el encargado del mismo. EI tratamiento que haga el subcontratista se realizaré en nombre y por cuenta del responsable del tratamiento, pero la carga de probar la autorizacién le corresponde al encargado del tratamiento. Articulo 38.- Responsabilidad del tercero subcontratado. La persona natural o juridica subcontratada asume las mismas obligaciones que se establezcan para el encargado del tratamiento en la Ley, el presente reglamento y demés disposiciones aplicables. Sin embargo, asumiré las obligaciones del titular del banco de datos personales 0 encargado del tratamiento cuando: 1. Destine 0 utllice Jos datos personales con una finalidad distinta a la autorizada por el titular del banco de datos o responsable del tratamiento; 0 2. Efectie una transferencia, incumpliendo las instrucciones del titular de! banco de datos personales, aun cuando sea para la conservacién de dichos datos." Alatenderse en este proceso comercial el interés del responsable del tratamiento, surge la obligacién a cargo de este, de garantizar un licito y adecuado tratamiento de datos personales a lo largo de todo ese proceso, a fin de que la satisfaccién de tal interés mantenga compatibilidad con el ordenamiento juridico y con los derechos de las personas, los titulares de los datos personales. Dichas circunstancias obligan al encargado y a los subcontratados por este, a cefiir su desempefio a lo que establezca el responsable y a los resultados que este requiera, situaci6n que conlleva dos factores concernientes al responsable: ‘+ Llevar a cabo con diligencia, las acciones de control necesarias pata que ol encargo se cumpla de acuerdo con lo pactado, en proteccién de sus intereses, sin efectos ilicitos en la prestacién. ‘+ Enlo relativo a evitar los efectos negatives sefialados, la obligacién de controlar y supervisar el cumplimiento de disposiciones legales y reglamentarias y/o evitar que algiin dajio ilicito se produzca como consecuencia de un desarrollo negligente de las actividades que satisfacen su interés, desarrolladas por los encargados y terceros subcontratados. Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 9 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 44. 45, 46. El control ejercido sobre la actuacién del encargado y de los terceros subcontratados, se traduce en la instruccién sobre los objetivos y modalidades de tratamiento, provisién de medios e instrucciones necesarias (seguin se tenga previsto en los contratos, como sucede en este caso con los discursos de venta 0 ‘speechs), asi como en la implementacion de medios para que los titulares de los datos personales ejerzan sus derechos ante el responsable (como sucede con la puesta a disposicién de medios de contacto para solicitar la supresién de los datos personales del denunciante) y contacto permanente del responsable con estos, la disposicién de acciones a efectuar por el encargado y por el tercero subcontratado, ‘como instruirlos a brindar el ntimero telefénico, que en este caso, se incluye en el discurso de venta o speech, asi como requerir informacién u ordenar acciones especificas, sin que estas necesariamente se deriven de estipulaciones contractuales, sino del deber de control del responsable. Asimismo, al estar obligado a ejercer dicho control, el responsable debe ser capaz de demostrar en cualquier momento que lo efecta de manera efectiva, durante la vigencia del contrato de encargo, durante el periodo en el que se ejecutan las prestaciones respectivas, asi como después de dicha vigencia y de haberse completado la mencionada ejecucién, cuando haya efectos remanentes del tratamiento de datos personales objeto de encargo; situacién que se aplica también a la subcontratacién, sobre la conducta del tercero subcontratado. Entonces, cuando en un contrato de encargo de tratamiento o en la subcontratacién derivada de este, se configure la comisién de una infraccién y/o de cualquier hecho que implique un dafio efectivo o potencial, debe torarse en ‘cuenta respecto de la responsabilidad, lo siguiente: ‘+ El principal obligado para preservar la licitud del tratamiento de los datos personales es el responsable de este, al ser necesario dicho tratamiento para satisfacer su interés, por lo que debe ejercer diligentemente el contro! de! mismo y ser capaz de demostrar dicho control en todo momento. ‘+ En.caso de que el responsable no haya ejercido diligentemente su rol de control sobre el encargo de dicho tratamiento y sobre el objeto de la subcontratacién en tal encargo y/o no demuestre tal actuacién, deberd responder por la infraccién ‘+ Sin perjuicio de lo anterior, la responsabilidad del encargado por el incumplimiento o el tratamiento ilicto, subsistira respecto de aquellas acciones que implican una conducta distinta a la que se estipulé para el encargo y a las instruidas por el responsable durante la prestacién del servicio. ‘+ Iguaimente, la responsabilidad del tercero subcontratado existe, en tanto haya efectuado acciones distintas a lo estipulado en el contrato suscrito con el encargado 0 a lo que este le haya instruido. ‘+ En caso de que el responsable haya ejercido de forma diligente el control de las acciones de tratamiento de datos personales objeto de encargo y de sucesiva subcontratacién, y sustente adecuadamente el haber ejercitado dicho Control, no le seran imputables los hechos ilicitos o dafiosos. ‘+ En-ese mismo caso, al detectarse un hecho infractor que haya sobrepasado el diligente control del responsable, el encargado 0 el tercero subcontratado seran responsables. Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 10 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 47. 48. 49, 50. vi 51 52, 53, Ahora bien, la capacidad de ejercicio del control por parte del responsable de! tratamiento’ de los datos personales, asi como la de demostrar tal control, no puede evaluarse de la misma manera para todas las empresas ni para todos los. Tubros 0 actividades del mercado; debiendo obedecerse a las particularidades que ‘se presentan en cada caso concreto. Asi, la exigencia de control y demostracién de su ejercicio, sera alta cuando el encargo se vincule con una actividad de alta extensién en el mercado o en un inumeroso ptiblico objetivo, como los casos de productos de consumo masivo o la prestacién de servicios de salud y educacién, debiendo ser menor en los casos de actividades mas reducidas 0 especializadas; también se evaluara tal factor en funcién a la mayor o menor especializacién o alcances para aplicar la normativa de proteccién de datos personales, la posicién de dominio, presencia, tamafio 0 reconocimiento de la presencia de la responsable en su mercado relevant. De lo expuesto, se desprende que quien determina y controla las finalidades y modalidades de las actividades de tratamiento de datos personales, dirigidas a la satisfaccién de su interés, es responsable por dicho tratamiento, debiendo ejercer el control sobre tales actividades encargadas de formar diligente y poder demostrar siempre tal ejercicio, asumiendo un rol proactive para preservar los derechos de los titulares de los datos personales. Por ello, antes de evaluar lo concemiente a la existencia de infraccién, es necesario examinar factores como el interés de la administrada, asi como el ejercicio del control sobre las actividades dirigidas a satisfacerlo, por parte del o de los encargados, asi como del o de los terceros subcontratados. Tercera cuestién previa: Sobre la carga de la prueba respecto de la obtencién del consentimiento y la responsabilidad proactiva del responsable del tratamiento de datos personales El articulo 15 del Reglamento de la LPDP establece, respecto de la carga de la prueba acerca de la obtencién del consentimiento, lo siguiente: “Articulo 15.- Consentimiento y carga de la prueba. Para efectos de demostrar la obtencién del consentimiento en los términos establecides en la Ley y en el presente reglamento, la carga de la prueba recaeré en todos los casos en el titular del banco de datos personales 0 quien resulte el responsable del tratamiento.” Debe entenderse que el consentimiento para el tratamiento de datos personales, ‘en la LPDP y su reglamento, es explicito, no es una situacién activa "por defecto”, sino que en los casos en los que se requiere, se activa con la manifestacién de voluntad del titular de los datos personales que es objeto de solicitud por parte del responsable, encargado o tercero subcontratado. Por tal motivo, es exigible que quien ha solicitado y obtenido tal consentimiento, tenga el registro respectivo, que este se encuentre siempre expedito para sustentar el consentimiento o en el caso de las denegatorias, para impedir el Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 11 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP tratamiento de datos personales no consentido, a cargo de los encargados y/o terceros subcontratados. 54, De otro lado, el responsable del tratamiento esta obligado a sostener la legitimidad de la actividad de tratamiento para que sus intereses no se vean perjudicados por las consecuencias de un tratamiento ilicito, como sucede cuando, sin haber solicitado e! consentimiento del titular de los datos personales (en caso de ser obligatorio), se inicia o se prosigue con una determinada actividad de tratamiento 55. Dicha necesidad de proteger ta licitud de sus intereses (estudiada en la cuestién previa anterior), refuerza la prevalente posicién del responsable para sustentar la legitimidad del tratamiento de datos personales, debiendo actuar con diligencia respecto de las solicitudes de consentimiento, los registros de otorgamiento denegatoria de este, los cuales también le son tiles para la atencién de solicitudes. de ejercicio de derechos por parte de los titulares de los datos personales. 56. Entendiendo el cardcter explicito del consentimiento, el deber de diligencia de! responsable respecto de la obtencién del mismo y de su actuacién ante la denegatoria, se confirma que la LPDP y su reglamento obligan a este a adoptar un rol proactive respecto de la defensa de los derechos de los titulares de los datos personales, que debe aplicarse, por ejemplo, a través de la permanente capacidad de comprobar la obtencién del consentimiento y en el caso de denegatoria, la actuacién diligente dedicada a la resiriccién del tratamiento no consentido. Vil. Cuestiones en discusién 57. Para emitit pronunciamiento en el presente caso, se debe determinar lo siguiente: 57.1 Sila administrada es responsable por haber realizado el tratamiento de los datos personales del denunciante, para fines publicitarios y comerciales, sin haber obtenido su consentimiento, seguin dispone el numeral 13.5 del articulo 13 de la LPDP y el articulo 12 del Reglamento de la LPDP. 57.2. En el supuesto de resultar responsable, si debe aplicarse la exencién de responsabilidad por la subsanacién de la infraccién, segtin lo previsto en el numeral 1 del articulo 257 de la LPAG. o las atenuantes, de acuerdo con lo dispuesto en el articulo 126 del reglamento de la LPDP, en consonancia con el numeral 2 del articulo 257 de la LPAG. 57.3. Determinar en cada caso, la multa que corresponde imponer, tomando en consideracién los criterios de graduacién contemplados en el numeral 3) del articulo 248 de la LPAG, vil Anilisis de las cuestiones en discusién Acerca del proceso de comercializacion de los productos de la administrada 58. En el caso materia de anilisis, es necesario tomar en cuenta que existe un proceso de comercializacién de productos de la administrada, el mismo que se desarrolla en una cadena de tres niveles. Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 12 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 59, Se debe saber entonces que la administrada, desde el 2013, mantiene un vinculo contractual continuamente renovado con GSP”, cuyo objeto es la prestacién de servicios de asesoria, promocién y venta de los productos que la administrada ofrece en el mercado (fondos de aseguramiento en salud prepagados). 60. En el punto 5.2 de la cléusula quinta de dicho contrato, se especifican los componentes del servicio de venta de los productos de la administrada y se autoriza a GSP a utilizar su propio personal o a subcontratar empresas colectivas 0 individuales, canales de venta 0 cualquier otro medio util para dicha actividad, a ‘quienes debera instruir en lo concerniente a brindar la informacién necesaria a los prospectos de clientes y a la comercializacion de los productos; asi también, en el limo parrafo de dicho punto, se establece que el pago de los productos o programas vendidos es derivado a la administrada, quien emite los comprobantes de pago respectivos. 61. En mérito a la mencionada autorizacién de subcontratacién, GSP suscribe un contrato de prestacién de servicios con una empresa proveedora (como Biznes SAC 0 cualquier otra entre las mencionadas en el escrito del 4 de septiembre de 2020), quien se obliga a brindar los servicios de “gestién comercial para la venta de planes oncolégicos prepagados de Oncosalud S.A.C.”, el mismo que implica la realizacién de llamadas de televentas, como se establece en el Anexo 2 del mencionado contrato. 62. Acerca de este tltimo contrato, es pertinente sefialar que el Anexo 4 contiene el discurso de venta 0 speech que los trabajadores del tercero subcontratado deben utilizar para vender los productos 0 programas, el mismo que se facilita a esta ‘empresa en el marco de la obligacién de instruirla sobre los pormenores de la informacién a ofrecer para vender los productos; lo cual es realizado por GSP en cumplimiento de lo establecido en el punto 5.2 de la cléusula quinta del contrato suscrito con la administrada. 63. Los hechos detallados demuestran que las actividades tanto de GSP como de los tetceros que esta subcontrata, asi como aquellos en los que ambas empresas se relacionan (las instrucciones sobre las llamadas de televentas), estan dirigidas a satisfacer el interés comercial de la administrada, consistente en la prospeccién de sus productos, que tiene como intencién la obtencién de ingresos econdmicos. 64, Otro factor relevante sobre la responsabilidad que la administrada tiene sobre estos productos, los servicios de aseguramiento en salud, es su condicién de IAFAS (Institucién Administradora de Fondos de Aseguramiento en Salud)*, con % Decreto Legistativo N° 1158, Decreto Legislativo que dispone medidas destinadas al fortalecimiento y cambio do denominacién de la Superintendencia Nacional de Aseguramiento en Salud “Articula 6. De las tnstiluclones Administradoras de Fondos de Aseguramiento en Salud - IAFAS. Les Insituclones Adminisiadoras de Fendes de Aseguremiento en Salud (IAFAS) son aquellas entidades o empresas Publices, privadas o mixtas, creadas o por crearse, que reciban, capten yo gestionen fonds para la cobertura de las fatenciones de selud o que oferten ccbertura de riesges de salud, bajo cualquier modalad EF registro en la Superintendencia Nacicnal de Salud es requisito ndlspensable par la oferta de las coberturas antes sefialades, ‘Son IAFAS las siguientes oO Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 13 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP la que se presenta contractualmente en las condiciones generales del Contrato de Prestaciones de Salud Prepagado™ 65. Si bien este ultimo factor presenta a la administrada en el ambito de una relacién de consumo, como proveedora responsable de la idoneidad de sus productos, ‘cabe mencionarla porque sustenta la existencia de dicho interés comercial por parte de la administrada, al tener correlato en la responsabilidad ante los consumidores, a quienes llega (en muchos casos) a través de la prospeccién, de las lamadas de televenta, y ante quienes se presenta a la administrada como proveedora de los productos objeto de prospeccién. 66, Por otra parte, de lo actuado en el expediente, se evidencia también el vinculo entre la administrada y GSP, pues en el contrato firmado por ambas el 14 de diciembre de 2017%, ambas empresas tienen un representante comin am situacién que se habia dado previamente con la firma de las adendas N* 2 y N° 3 del contrato firmado en enero de 2013”, siendo que el Gerente General de la administrada también figura como Gerente General de GSP. 67. Asimismo, en la pagina web de la administrada, se presenta a GSP como una ‘empresa Vinculada a ella; mientras que, en la documentacién remitida por la administrada con el fin de sustentar las acciones encaminadas a suprimir los datos personales de! denunciante de las listas de receptores de llamadas, se aprecia que los correos electrénicos de todos los empleados de ventas de la administrada y GSP, corresponden al dominio “@auna.pe”. 68. Sin perjuicio del cumplimiento contractual analizado, esta ultima situacién delata que no existe una total independencia de los intereses de GSP y de la administrada, habiendo en su lugar un control de esta tltima sobre la organizacién de GSP, lo cual hace que los intereses de ambas se conjuguen, afianzando la responsabilidad y control por parte de la administrada sobre las actividades ‘estudiadas, que implican el tratamiento de datos personales. 69. En su escrito de descargos ante la Resolucién Directoral N° 204-2020- JUS/DGTAIPD-DFI, la administrada sefiala que no percibe un beneficio ‘econémico con la sola realizacién de las llamadas, sino solo cuando se logra vender alguno de sus productos y hay una afiliacién de un nuevo cliente, estando ‘supeditado el beneficio a ello, asi como el hecho de que al aceptar el receptor de la llamada adquirir el producto, se le informe acerca de los pormenores del tratamiento. 5, Entidades Prestadoras de Salud (EPS). 8. Empresas de Seguros contampladas en los rumerales 1, 23 del incised) del atioulo 18 de Ccobertura de riesgos de salud de modo exclusivo 0 en adicién a cto tipo de cobertures, 7-Asoziaciones de Fondos Regonales y Provinciales Contra Accidentes de Trénsito (AFOCAT) 8. Enidades de Salud que ottecen servicios de solud prepagadas. 8. Autosequros y fondos de salud, que gestionen fondos pare la cobertura de selud de modo exclusive o en acicién @ iro tpode coberturas, 410, Otras modalidades de aseguramiento publico,privado omibto dstintas alas sefiladas anteriormente.* * Folios 47 #1 58 * Foi 98 al 107, Folios 28 al 31 .6y 26702, que oferten Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 14 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 70. Sobre ello, es necesario distinguir entre el "beneficio econémico” que se obtiene por cada venta hecha y el “interés comercial” que se persigue al realizar tales llamadas de televentas. 71. A ejecutarse las llamadas de televentas, se procura cumplir con la prospeccién de los productos de la administrada con la intencién de su venta, que es el interés comercial que la administrada encomendé a GSP y por el cual esta subcontraté a terceros; una vez que se cumpli6, es cuando se puede apreciar dos resultados: ‘+ Beneficio econémico, en los casos donde se consiguié comprometer al receptor de la llamada a adquirir el producto, implicando un ingreso para la administrada. * Carencia de beneficio econémico, en los casos en que la actividad de prospeccién (|lamada de televenta) no se complets. 72. Entonces, el beneficio econémico es una de las dos consecuencias posibles de las actividades de prospeccién, con las que ya se satisfizo el interés comercial de la administrada, siendo esto Ultimo lo que determina su responsabilidad sobre el tratamiento de los datos personales en las llamadas de televentas. Acerca de la responsabilidad de la administrada en el tratamiento de los datos personales efectuado a través de las Ilamadas de televentas 73. Teniendo claro que la actividad comercial tiene como finalidad suprema satisfacer el interés econémico de la administrada, resulta pertinente otras cuestiones importantes, relacionadas especificamente con el tratamiento de los datos personales de los receptores de las llamadas de televentas. 74, Como se mencioné en el anterior subtitulo, para cumplir con los servicios de venta de los productos de la administrada, GSP contrata a terceros como Biznes S.A.C. a fin de que efectuien las llamadas de televentas, entregandole para ello la documentacién necesatia, como el discurso de televentas, las condiciones generales y particulares del Contrato de Prestaciones de Salud Prepagado y otros, materiales con informacién. 75. En su comunicacién del 4 de septiembre de 2020, la administrada sefiala que la tetcerizacién del servicio de televentas implica que la empresa subcontratada (Biznes S.AC. en el caso del contrato remitido) utilizaria su propia base de datos, para extraer de ella la informacion sobre los potenciales clientes a quienes se realizaria las llamadas de televentas, de acuetdo con el Anexo 2 del contrato estipulado con GSP, en cuyo numeral 3 se prevé lo siguiente “Para la ejecucién de los servicios, EL PRESTADOR utilizaré una base de datos de prospectos propia, es decir, EL PRESTADOR declara ser titular de un banco de datos personales de prospectos. En ese sentido, EL PRESTADOR declara contar con el consentimiento y la autorizacién de cada uno de los titulares de dichos datos personales para dar tratamiento a sus datos personales con /a finalidad de offecerles diversos productos y/o servicios, dentro de los cuales se encuentran incluidos los Programas Prepagados de Proteccién Oncolégica. de Oncosalud S.A.C.” Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 15 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 76. 77. 78. 79, 80, Dicho argumento es profundizado en los descargos del 2 de febrero de 2021, sefalando la administrada que al ser la subcontratada quien es titular de dicho banco de datos personales (circunstancia que fue reconocida en un pronunciamiento anterior de esta Direccién, de la Resolucién Directoral N° 378- 2017-JUS/DGTAIPD-DPDP), y que por ello, controla también la finalidad del tratamiento. Como se ha sefialado en la segunda cuestién previa, el encargo de tratamiento de datos personales no implica necesariamente la entrega de estos desde un banco de datos personales de titularidad del responsable, sino que el encargo puede tener como objeto una actividad de tratamiento de datos personales recopilados 0 incorporados en un banco de datos personales de titularidad del ‘encargado 0 terceto subcontratado, que tengan come finalidad ser incorporados, ‘en el banco de datos de del titular que encarga el tratamiento, Siguiendo con los razonamientos ya desarrollados, cuando esta actividad ‘encargada se dirija a satisfacer el interés de una determinada empresa, sera esta la responsable del tratamiento que se realice, debiendo ejercer el control sobre el desarrollo de dicha actividad asignada a la encargada y al tercero subcontratado. En ol presente caso, al verificarse ol interés de la administrada, se tiene que esta es la responsable del tratamiento, mas alla de que este se realice con datos personales que no estan incorporados atin en bancos de datos de su titularidad; con lo cual se obliga a ejercer el control sobre dicho tratamiento de datos personales encargado, a fin de que este se efectile en cumplimiento de las disposiciones de la LPDP y su reglamento. Cabe sefialar que, como correlato de tal satisfaccién de intereses, de acuerdo con la comunicacién del 4 de septiembre de 2020, la administrada proporcionaba a los tetceros subcontratados, a través de GSP, el discurso de venta o speech a utilizar por dichos subcontratados”, en el cual se aprecian textos como el siguiente: “1. SALUDO SEGMENTO 1 (LIMA MODERNA) Buenos dias / tardes / noches (...) nos estamos comunicando por encargo de Oncosalud, zNOS PERMITE CONTINUAR CON LA LLAMADA Y OFRECERLE LOS BENEFICIOS QUE TENEMOS PARA USTED Y PARTICIPAR DEL SORTEO DE UN PAQUETE DOBLE AL CARIBE? (oes SEGMENTO 2 (LIMA NO MODERNA) Buenos dias/ tardes / noches (...) nos estamos comunicando por encargo de Oncosalud, gNOS PERMITE CONTINUAR CON LA LLAMADA Y OFRECERLE LOS BENEFICIOS QUE TENEMOS PARA USTED Y PARTICIPAR DEL SORTEO DE UN PAQUETE DOBLE AL CARIBE? () SEGMENTO 3 (PROVINCIA CON PRESENCIA) Buenos dias /tardes/noches (...) nos estamos comunicando por encargo de Oncosalud, gNOS PERMITE CONTINUAR CON LA LLAMADA Y * Folios 78 al &2 Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 16 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 81 82, 83, 84, OFRECERLE LOS BENEFICIOS QUE TENEMOS PARA USTED Y PARTICIPAR DEL SORTEO DE UN PAQUETE DOBLE AL CARIBE? fed 2. OBJETIVO DE LA LLAMADA Ei motivo de nuestra llamada es para informarle que a partir de ahora con las tarjetas Visa 0 Mastercard usted podré pertenecer a un programa de beneficios y contaré con asistencia médica a domiciio a S/ 35, servicio brindado por nuestro aliado estratégico; ademés contara con orientaci6n médica telefénica por teléfono las 24 horas del dia sin costo alguno brindado también por nuestro aliado estratégico. Para ello, usted dnicamente deberd contratar /a cobertura contra el céncer con Oncosalud. () Recuerde que deberé estar al dia en sus pagos para acceder a los beneficios. del programa. 1. Una. vez realizado ef primer pago, usted podré acceder a nuestros beneficios —transversales através de!_— siguiente link: afiiado.oncosalud.pe/beneficios 2. Para activar el Programa de Beneficios, deberé llamar a nuestra central 513 7900 y dentro de las 48 horas podré utilizar el servicio de feleasistencias. Para solicitar el servicio deberé contactarse al 01-700-6693.Aplica s6lo para Lima y Arequipa.” La elaboracién y entrega de dicho discurso de venta o speech delata el control que, como responsable del tratamiento, ejerce la administrada sobre la actividad ‘encargada; leyéndose en los fragmentos transcritos que la misma es quien activa los productos comercializados, debido a que la comercializacién en la que se efectiia el tratamiento de datos personales se hace a su nombre. En tal sentido, no se puede acoger el argumento presentado por la administrada fen sus descargos, en las que se endilga la responsabilidad respecto del consentimiento para la realizacién de llamadas a las empresas subcontratadas para ello, de no efectuarlo en caso de denegatoria, ni considerar que las instrucciones de la administrada como meras "tecomendaciones” De otro lado, corresponde evaluar lo alegado respecto del procedimiento trilateral de tutela del expediente N° 004-2017-PTT, aludido en los descargos, que se ‘riginé por una solicitud de acceso presentada ante la administrada, por medio de la cual el reclamante solicitaba conocer toda la informacién de su persona que es objeto de tratamiento en los bancos de datos personales de la administrada, la forma, razones y a pedido de quién se realizé la recopilacién y las transferencias, realizadas sobre sus datos. La reclamacién por la falta de atencién a dicha solicitud fue declarada infundada debido a que se habia comprobado que la administrada no realizaba el tratamiento de datos personales de sus prospectos, lo cual era efectuado por empresas de call center contratadas, ni tenia almacenados en sus sistemas datos personales del reclamante, resultando materialmente imposible acceder a su pedido; habiendo sefialado la administrada, en el marco de dicho procedimiento, que “pese 4 no contar con sus datos, se habla procedido a notificar formalmente a Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 17 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP todos fos ‘call center’ externos para que cesen toda comunicacién a EL RECLAMANTE, trasladandoles a su vez las solicitudes def usuario". 85. No obstante, esta Direccién, en la Resolucién Directoral N° 378-2018- JUSIDGTAIPD-DPOP, reconoce Ia responsabilidad de la administrada sobre el tratamiento de datos personales, més alld de que estos se encuentren en bancos de datos personales de encargados 0 terceros subcontratados, sefialando lo siguiente: “8.1.5 En atenci6n al quinto aspecto, el reclamado en su contestaci6n de fecha 18 de mayo de 2017, manifesté que tienen contratos vigentes con 14 empresas de Call Center quienes se encargarian de la gestién comercial de los productos oncolégicos via telemarketing; por tanto, no es posible separar al reclamado de la responsabilidad sobre los tratamientos que se realiza de los datos personales. En ese sentido, aunque no es objeto de la solicitud del procedimiento trilateral de tutela, e! numeral 20 del articulo 33 de la LPOP faculta a la DF! a iniciar fiscalizaciones de oficio por presuntos actos contrarios a lo establecido en la LPDP y su Reglamento, de forma que la participacién de las Calll Center en la ejecucién de los tratamientos puede ser fiscalizada con el objeto de determinar si concurren circunstancias que justifiquen la iniciacién del procedimiento sancionador, con identificacién del titular del banco de datos personales o del responsable del tratamiento y la presunta comisién de actos contrarios a la LPDP y su Reglamento.” 86. Debe entenderse entonces que el reconocimiento de la no titularidad de la administrada, respecto de los bancos de datos personales de sus prospectos de clientes, no altera la responsabilidad sobre el tratamiento, la misma que se manifesté en dicho caso, con la disposicién adoptada por la administrada sobre las empresas contratadas, consistente en requerirles el cese de comunicaciones con el reclamante en dicho caso. 87. Por lo tanto, no se aprecia que del resultado de aquel procedimiento trilateral de tutela, surja una expectativa razonable que esté siendo contradicha en el presente procedimiento administrativo sancionador, existiendo en ambos escenarios, distintos, el reconocimiento de un mismo factor: La responsabilidad de la administrada sobre el tratamiento de los datos personales no incluidos en un banco de datos personales de su titularidad. Sobre el tratamiento de los datos personales de! denunciante en Ilamadas de televentas de los productos de la administrada, sin su consentimiento valido 88. La LPDP establece que todo tratamiento de datos personales requiere el consentimiento del titular de los datos personales. Asi, el principio de consentimiento se tiene previsto en su articulo 5: “Articulo 5. Principio de consentimiento Para el tratamiento de los datos personales debe mediar el consentimiento de su titular.” Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 18 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 89, Asimismo, segtn lo dispone el inciso 13.5 del articulo 13 de la LPDP, el consentimiento del titular de los datos personales deberd ser otorgado de manera previa, informada, expresa e inequivoca “Articulo 13, Alcances sobre el tratamiento de datos personales C) 13.5 Los datos personales solo pueden ser objeto de tratamiento con consentimiento de su titular, salvo ley autoritativa al respecto. El consentimiento debe ser previo, informado, expreso ¢ inequivoco.” 90. Porsu patte, el articulo 12 del Reglamento de la LPDP establece los presupuestos bajo los cuales se otorga validamente el consentimiento para el tratamiento de los datos personales: 1. Libre; 2. Previo; 3. Expreso e Inequivoco; y, 4. Informado™. 91. Por otro lado, es preciso tener en cuenta que la obligacién de obtener el ‘consentimiento tiene excepciones, las cuales se encuentran previstas en el articulo 14 de la LPDP®, 2 antcuo 12.-Caracterisicas dol consentimiento, fen elo Gapuestoon aio 1 de Ley en eal presscente de presentregaren a oberon Consentminto debe ser {Libre Sn ae mete err, mala fe, vislensa dle ave pueden afectar le mantestcion de vountd del lr de los dstos persenales. Le envoys de cbseauos ol torgamento de benefcos lular els dates personel con ccaion eu consertimiert no afetan fa conscon de ibertad le tone para carga, sao nel caso de meneres de eded Sh los supuostos en que se adres censentmiento, ey ale no se conaldcars tore el consentmiene loroace mediando obsequoso benefcos,£lcondclonemieno de la prestacion de un sevico, ola adverencle oamenace de donegere| acceso a beneicoso servicios ave normalrente sn de aczosoMo resting, fetal bertad de aien ‘ara consenimento para al etemiento de Sus Glos personales, 5 os datos slags no Son ispensabes pare Ie prestecen dels beneio oservcion. 2. revo: Con sttereridade a recoplacin dos datos 0 en su 6250 ane atrtamiento sito # aque por el cua ase reopen 3 Stpreso e mequivoco: Con antreidae a a reconiacien de fos dos on 3930, anterio ltatamiento sito # acuel por el unl ya se recepron eda © pueda serimpreso en una superice oe papel sini. La conden de Sibreso nose tia aa mantestacion verbal oesetn, En sentco reste y sempre de acer con le dspuesto por ‘treo’ sel presente reglamento se consicerars consentmiento expreso a aq! que se manese mecate Te Sondste de tlr que evsenele te ha eonsentse Ineqlvseamerte. Sado. que ae lo conrao a eonicte neteseramerte, hubira so ott “rtendose del entoro cig, también $= considera expres la mantestacin conistente en hacer ce’, “chquear’ 0 pinchar, “run toque, touch’ o Pad U gos Smlares, En este context el consentniento esorto pore ctergrse ‘median fa eecnic, mesianteeseura que quedegrabada, deforma fl ue pueda ser leica empresa, 0 que or cunleuer ero meant o poceamintoestableiso perma renter al uly recaber su consenimien, © tras desta sai, También pods lergarse mediante exo prestaterido, tisimente visible legible y en longusie enclo, ue etular puede hacer suyo no, mediate une respuesta esc, grea ermedanie ete o pnchado. Lo S00 conducts de expresarvuntas en cvalgiers de ns formas reguadaa en el presente ramerl no elmo, ca por Foto 482 Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 26 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 133, 134, 135, 136, Los niimeros ya estaban bloqueados con anterioridad. No tenemos fecha exacta, pero estamos seguros que fueron bloqueados cuando fueron incluidos en la lista enviados por uds, ya que no tenemos a este cliente en nuestras bases de datos. Por otro lado, tampoco hay registro alguno de habernos contactado con este cliente. Adjunto pantallazo con biisqueda de llamadas a ambos numeros desde el 1 de Agosto a la fecha (...)” (sic) Acctiterio de DF, la indicacién de dicho representante haria alusién a una lista de datos que se habria enviado a aquel tercero subcontratado, para realizar las, llamadas de televentas, lo cual contradice lo declarado por la administrada en sus ‘comunicaciones, iniciando con la del 4 de septiembre de 2020: “(...) la relacién de Oncosalud y los clientes Gnicamente se da cuando ellos aceptan Ia afiliacién a alguno de nuestros programas oncolégicos, no existiondo antes de dicha etapa relacién alguna con estas personas, niforman parte de nuestros bancos de datos personales. Ahora bien, de acuerdo a lo informado por GSP, los contratos de prestacién de servicios celebrados entre GSP y cada una de las empresas de call centers citadas en el cuadro anterior, establecen que para la ejecucién del servicio las empresas utilizarén su propia base de datos. Asi pues, dichas empresas son titulares de bancos de datos personales destinados a contactar prospectos de clientes, por lo que deben contar con ef consentimiento y la autorizacién de cada uno de los titulares de dichos datos para tratarlos con el objeto de offeceries diversos productos y servicios (entre ellos, los programas de ‘Oncosalud)” Por su parte, esta Direccién aprecia la administrada en el mismo escrito: iguiente indicacién efectuada por la "8. La Autoridad requirié a Oncosalud indicar la empresa encargada de haber contactado ian: segiin la denuncia de este ultimo, se habria realizado ef 3 de marzo de 2020. 9. Al respecto, sin perjuicio de lo sefialado en el punto anterior, cumplimos con indicar @ la Autoridad que, producto de las averiguaciones y coordinaciones efectuadas con GSP, se ha identificado que la empresa que se contacté con e/ TEED ef 3 de marzo de 2020 fue Biznes, una de las empresas enlistadas en el punto anterior que subcontraté GSP para la gestién comercial de ventas de programas y planes que brinda Oncosalud.” No obstante, dicha indicacién seria inconsistente con lo que informé el personal de la empresa Biznes S.A.C., transcrito en el considerando 117 de esta resolucin .ctoral, segtin lo cual, desde esta, nunca se habria realizado alguna llamada de televentas al denunciante. Cabe sefialar que dicha indicacién orienté parte de las indagaciones efectuadas en la fiscalizacién y durante el presente procedimiento, a requerir cosas especificas concernientes a la relacién contractual de la administrada con Biznes Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 27 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP S.AC., sin perjuicio de que, como se indicé en el considerando 119 de esta misma resolucién, los hechos esclarecidos no se refieren a dicha relacién contractual especifica, sino a la conducta de la administrada con el encargo. 187. En atencién a ello, corresponde remitir a DF para evaliie el inicio de acciones de fiscalizacién respecto de la administrada, ante una presunta comisién de la infraccién muy grave tipificada en el literal c) del numeral 3 del articulo 132 del Reglamento de la LPDP: “Suministrar documentos o informacién falsa @ la Autoridad”, sin perjuicio de que dicha conducta sea tomada en cuenta para la doterminacién de la cuantia de la mutta a imponer en este procedimiento sancionador. IX. Sobre el presunto tratamiento de los datos del denunciante, efectuado por un tercero subcontratado, verificado en las grabaciones de las llamadas de televentas 138. Por su parte, al hacer el contraste entre los discursos de venta establecidos por la administrada y la actuacién de los operadores de call cenfer plasmada en las, grabaciones de la denuncia, se aptecia una conducta del tercero subcontratado como operador de call center que excede el contenido de los discursos de venta proporcionados por la administrada, a través de GSP. 139. Dicha conducta consistiria en la pregunta de los motivos del rechazo e insistencia de parte de los operadores hacia el denunciante, que se perciben en las grabaciones adjuntas a la denuncia, que no corresponden a los discursos de venta © speech elaborados y proporcionados por la administrada para la realizacién de las llamadas de televentas. 140. De acuerdo con lo desarrollado en el considerando 46 de esta resolucién directoral, més alla de la evaluacién de la conducta de la administrada y de haberse detectado la deficiencia en el control que ejercer sobre el encargo, surge la responsabilidad independiente de la empresa o las empresas que realizaron las dos llamadas el 3 de marzo de 2020, por la presunta comisién de la infraccién tipificada como grave en el literal b) de numeral 2 del articulo 132 del Reglamento de la LPDP: ‘Dar tratamiento a los datos personales sin el consentimiento libre, expreso, inequivoco, previo e informado del titular, cuando el mismo sea necesario conforme a lo dispuesto en la Ley N° 29733 y su Reglamento”. 141. Corresponde entonces remitir a DFI la presente resolucién para que evaltie el inicio de las acciones de fiscalizacién pertinentes, a fin de identificar a la empresa © las empresas responsables y determinar la existencia de la infraccion. X. Sobre la determinacién de la sancién a imponer 142. La Tercera Disposicién Complementaria Modificatoria del Reglamento del Decreto Legislative N° 1353, modificé el articulo 38 de la LPDP que tipificaba las infracciones a la LPDP y su reglamento, incorporando el articulo 132 al Titulo VI sobre Infracciones y Sanciones de dicho reglamento, que en adelante tipifica las infracciones. Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 28 de 36Resolucion Directoral N° 3439-2021-JUS/DGTAIPD-DPDP 143. Por su parte, el articulo 39 de la LPDP establece las sanciones administrativas calificdndolas como leves, graves 0 muy graves y su imposicién va desde una mutta de cero coma cinco (0,5) unidades impositivas tributarias hasta una mutta de cien (100) unidades impositivas tributarias®, sin perjuicio de las medidas correctivas que puedan determinarse de acuerdo con el articulo 118 del Reglamento de la LPDP®, 144, En el presente caso, se ha establecido la responsabilidad de la administrada por haber realizado el tratamiento de los datos personales del denunciante, para fines publicitarios y comerciales (llamadas de televentas), sin haber obtenido el consentimiento para ello, de acuerdo con el numeral 13.5 del articulo 13 de la LPDP y el articulo 12 de! Reglamento de la LPDP, configurando la infraccién grave tipificada en el literal b) del numeral 2 del articulo 132 de dicho reglamento. 145. Con el objeto de establecer las pautas criterios para realizar el célculo del monto de las multas aplicables por infracciones a la normativa de proteccion de datos personales en el ejercicio de la potestad sancionadora de la Autoridad Nacional de Proteccién de Datos Personales, mediante Resolucién Ministerial N° 0326- 2020-JUS, se aprobé la Metodologia para el Célculo de Multas en materia de Proteccién de Datos Personales". 146. En tal contexto, se calculara la multa correspondiente a dicha infraccién. Realizar el tratamiento de los datos personales del denunciante, para fines publicitarios y comerciales (Ilamadas de televentas), sin haber obtenido el consentimiento para ello ‘Se ha determinado la comisién de la infraccién grave tipificada en el literal a) del numeral 2 del articulo 132 del Reglamento de la LPDP, a la cual, de acuerdo con lo establecido en el inciso 2 del articulo 39 de la LPDP. corresponde una multa desde més de cinco (5) U.|.T. hasta cincuenta (50) U.L.T. El beneficio ilicito no se ha podido determinar, pues en el tramite del procedimiento administrativo sancionador no se ha verificado el monto dinerario que la > Ley N* 29733, Ley de Proteccién de Datos Personales Articulo 38, Sanciones administrativas En caso de viclacién de las normas de esta Ley o de su reglamento, la Autoridad Nacional de Proteccién de Datos Personales puede aplear las siguientes multe 4 Las intfzcclones leves son sancionadas con una muita minima desde cero coma cinco de una unidad Impostiva {sbutaria (UIT) hasta cinco unidades impostivas tnbuteias (UT) 2. Las infacciones graves sen sancionadas con multa desde més de cinco unidades impositivastibutarias (UIT) hasta ‘incuenta unidades impostivas tbutaras (UI). 43. Las inracciones muy graves son sancionadas con multa desde mas de cincvente unidades impostivas troutenas, (UrTpnasta cen unidaces impostvas tnbutarias (UIT) >) *"Articulo 118.- Medidas cautelares y correctivas Une vez inifaco el procecimiento sancionader, la Direccién de Sanciones posta disponer, mediante acto metvado, le ‘adopcién de medidas de cardcter provisional que sseguren la eficaca de la resclucion final que puciera recaer en 2! Feferido procedmiento, con observanca de las normas aplicables de la Ley N° 27444 Ley del Provedimiento ‘Adnanitfative General ‘Asimismo, sin peruico de Ia sancién adminisrotiva que corresponds por une inftacion a las disposiciones contenidas| fen fa Ley y el presente regiamento, se podrén citar, cuando sea posible, medidas correctves destriadss a elimina. ear odelene’ los efectos de ls infracclones, *" Documento disponible en: hitos://bnl minjus.gob pe/bnl. Esta es una copia auténtica imprimible de un documento electtnico archivado por el Ministetio de Justicia y Derectios Humanos, aplieanc lo spueste por el Ar. 28 de D.S. 070-2013-PCM y la Tercera Disposicion Complementaria Final de! 0.5 026-2016-PCM Su autentcidad e ilegtidad pueden ser contrastadas a tres dela siguente dreccion wed ilps #sqc.minlus gab peioesdos_websogin jsp e ingresando el Tipo de Documento, Numero y Rango de Fechas de sec €1caso ohtips:/sgdminus.gob pe/gescoc_webivertica jp © ngresando Tipo de Dozumerto, Numero, Remitente y Ano. Seguin correspond, Pagina 29 de 36