← España

A-00019-2017

1/9 Procedimiento Nº: A/00019/2017 RESOLUCIÓN: R/01069/2017 En el procedimiento A/00019/2017, instruido por la Agencia Española de Protección de Datos a la entidad D.D.D., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12 de junio de 2014 tuvo entrada en esta Agencia un escrito de B.B.B. dando lugar a la apertura de las actuaciones de inspección E/4900/214. El denunciante declara lo siguiente: La web www.despedidasprive.com, propiedad de E.E.E., ofrece servicios para contratar despedidas de solteros y recoge datos de contactos de usuarios para formalizar reservas, sin que conste la mención de política de protección de datos en apartado alguno de la web. Con fecha 17 de abril de 2015 se acuerda inicio de procedimiento de apercibimiento A/00107/2015, en cuya resolución R/02108/2015 de fecha 28 de agosto de 2015 se advierte al denunciado que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/04968/2015, podría incurrir en una infracción del artículo 37.1.

  1. f)de la LOPD Con fecha 26 de febrero de 2016 se la Directora de la Agencia Española de Protección de Datos acuerda el archivo de las actuaciones de investigación E/04968/2015, dado que si bien de las actuaciones practicadas se constató que el denunciado no ha atendido el requerimiento que le fue efectuado en la resolución recaída el 1 de septiembre de 2015 en el Apercibimiento de referencia A/00107/2015, sin embargo también ha quedado el dominio asociado a la página web www.despedidasprive.com figura bajo la titularidad de otra persona, al parecer, con fecha anterior a la de la citada resolución R/02108/2015 según se desprende de la información obtenida en la página de registro de dominios https://whois.is con motivo de las presentes actuaciones de investigación. Mediante resolución de fecha 26 de febrero de 2016 la Directora de la Agencia Española de Protección de Datos acuerda PROCEDER AL ARCHIVO de las actuaciones de investigación practicadas en el expediente de referencia E/04968/2015 y ORDENA el inicio de las actuaciones frente a D.D.D., dando lugar al inicio de las actuaciones de investigación E/4187/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 SEGUNDO.- A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de inspección de esta Agencia, se practican diligencias teniendo conocimiento de que: 1. Con fecha de 23 de noviembre de 2016 se practica diligencia en la que se constata lo siguiente: 1.1. Se accede a la página web www.despedidasprive.com con el siguiente resultado: 1.1.1.Se comprueba que al acceder a dicha dirección de internet, se produce un redireccionamiento a la página web www.despedidaskaramba.com. 1.1.2.Se trata de un conjunto de páginas web donde se ofrece la contratación de eventos asociados a despedidas de solteros. 1.1.3.Como información legal asociada figura que el responsable es D.D.D. con NIF F.F.F. y domicilio en C.C.C., Alicante. Figurando también a efectos de contacto la dirección de correo ...@despedidasprive.com y el teléfono G.G.G.. 1.1.4.En diferentes páginas web se ofrece un formulario para la recogida de datos personales básicos como paso previo a la contratación de un evento: nombre, apellidos, correo electrónico, teléfono móvil, fecha del evento y texto de mensaje. 1.1.5.El resto de la información que se ofrece es un catálogo de servicios y precios. No encontrándose información alguna relativa a política de privacidad o de protección de datos. 1.2. Se accede al registro de nombres de Internet comprobándose que el dominio despedidaskaramba.com se encuentra registrado a nombre de D.D.D.. 2. Con fecha 23 de noviembre de 2016 se solicita información y documentación a D.D.D. mediante escrito remitido a la dirección postal que consta en la página web, siendo devuelto por el servicio de correos anotando como motivo de la devolución “NO RETIRADO EN LA OFICINA” TERCERO: Con fecha 9/02/2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00019/2017. CUARTO: En fechas de 13/02/2017 y 14/02/2017 (a las 11:16 h y a las 13:38 h), se intentó a través de la Sociedad Estatal de Correos y Telégrafos, la notificación del citado Acuerdo de Audiencia Previa en el último domicilio conocido de D.D.D. dejando aviso para su recogida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 I.En fecha de 22/02/2017 la Sociedad Estatal de Correos y Telégrafos, procede la devolución del envío indicando como motivo ““NO RETIRADO EN LA OFICINA” II.En fecha de 1/03/2017, de acuerdo con los artículos 44, 45 y 46 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se publicó en el B.O.E la notificación del Acuerdo de Audiencia Previa. QUINTO: En fecha de 12/04/2017 por el instructor del procedimiento se accede al sitio web denunciado y se obtiene información relativa al Aviso Legal y a la Política de Privacidad y dirección del responsable, incorporándose al expediente mediante la correspondiente diligencia. HECHOS PROBADOS UNO.- En fecha de 26/11/2016 se accede a la página web www.despedidasprive.com y se produce un redireccionamiento a la página web www.despedidaskaramba.com. DOS.- En la misma fecha, se verifica que la página web www.despedidaskaramba.com ofrece la contratación de eventos asociados a despedidas de solteros. Y se informa de que el responsable es D.D.D. con NIF F.F.F. y domicilio en C.C.C.. Como contacto muestra la dirección de correo ...@despedidasprive.com y el teléfono G.G.G.. TRES.- Se accede al registro de nombres de Internet comprobándose que el dominio despedidaskaramba.com se encuentra registrado a nombre de D.D.D.. CUATRO.- En la página web se ofrece un formulario para la recogida de datos personales básicos como paso previo a la contratación de un evento: nombre, apellidos, correo electrónico, teléfono móvil, fecha del evento y texto de mensaje. No encontrándose información alguna relativa a política de privacidad o de protección de datos. CINCO.- En fecha de 12/04/2017 se verifica que en el Aviso Legal de la página web consta el mismo responsable, y teléfono de contacto y como domicilio A.A.A.. En el apartado Política de Privacidad consta lo siguiente: (…)el usuario acepta que los datos aportados por medio de esta página web sean incorporados a ficheros titularidad de Despedidas Karamba, con la finalidad de facilitar la prestación de los servicios solicitados y otros relacionados descritos en esta página web, así como, en su caso, la cesión a terceros para la estricta y exclusiva prestación de dichos servicios.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 (…)Mediante el uso, por parte de usuario, de los formularios de contacto y del correo electrónico facilitado en la página web http://www.despedidaskaramba.com, el cliente autoriza expresamente a Despedidas Karamba al envío de comunicaciones comerciales por correo ordinario y/o electrónico, así como al previsible contacto telefónico con el fin de ofrecer los servicios ofertados en esta página web.(…) (…)Los clientes y/o usuarios de http://www.despedidaskaramba.com pueden, en todo momento, ejercitar los derechos de acceso, rectificación, cancelación y oposición sobre sus datos personales comunicándolo por escrito a Despedidas Karamba, A.A.A., Alicante, o bien enviando un E-Mail a ...@despedidaskaramba.com.(...) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado». Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la Comunidad Autónoma o de la Provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del Consulado o Sección Consular de la Embajada correspondiente. Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el «Boletín Oficial del Estado». En el presente caso se han observado las prescripciones legales, tal como se ha señalado en el Antecedente Cuarto de la presente Resolución. III Dispone el artículo 5 de la LOPD señala que 1. Los interesados a los que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso ha resultado probado que la página web www.despedidaskaramba.com disponía de distintos medios de obtención de datos de carácter personal. En las pruebas de acceso realizadas en fecha de 26/11/2016 no constaba información relativa al tratamiento de los datos personales de los usuarios de la misma. En la prueba de acceso realizada en fecha de 12/04/2017 se constató la existencia de información relativa al responsable de fichero identificado con dirección a la que dirigirse para ejercer los derechos de acceso, rectificación, cancelación y oposición. Asimismo se hacía consta lo siguiente (…) el usuario acepta que los datos aportados por medio de esta página web sean incorporados a ficheros titularidad de Despedidas Karamba, con la finalidad de facilitar la prestación de los servicios solicitados y otros relacionados descritos en esta página web, así como, en su caso, la cesión a terceros para la estricta y exclusiva prestación de dichos servicios(…) Esta información hace que se incumpla el deber de información previsto en el art. 5 de la LOPD, pues expresiones como (…) y otros relacionados descritos en esta página web (…) o (…) la cesión a terceros (…) sin identificación alguna de dichos servicios y de los terceros, no permiten obtener un consentimiento informado para la recogida y tratamiento, con las exigencias del precepto y la jurisprudencia. El destinatario de dicha información no conoce a priori, para qué y a quién van a ser comunicados los datos que proporciones (pues ofrece diferentes tipos de servicios que presumiblemente se prestan a través de distintos agentes que se desconocen). Sobre esta cuestión ha de observarse lo dispuesto en el art. 12.2 del Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal ( RDLOPD en adelante ) (…) Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. (…) Asimismo en cuanto a las expresiones reseñadas dada su inconcreción y ambigüedad debe estarse a lo recogido en la Sentencia de la Audiencia Nacional de 30/11/2005 que señala que (…)«dados los inconcretos términos de dicha leyenda, no es posible entender que en ella se contenga la información precisa que se exige para que pueda hablarse de la existencia de un consentimiento inequívoco que habilite a la hoy demandante para conservar y tratar los datos, ni para cederlos a otras empresas (…)En definitiva, la leyenda examinada no cumple con las exigencias que la legislación sobre protección de datos requiere para la prestación del consentimiento, por no haberse facilitado una información expresa, precisa e inequívoca sobre las finalidades determinadas y explicitas para las que iban a tratarse dichos datos (…) Por otra parte debe recordarse lo dispuesto en el art. 15 del RDLOPD que bajo la rúbrica “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma” establece lo siguiente: Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. En el presente caso según la información que consta en la política de privacidad, ésta es aceptada para cuestiones como el envío de publicidad (…) el cliente autoriza expresamente a Despedidas Karamba al envío de comunicaciones comerciales por correo ordinario y/o electrónico, así como al previsible contacto telefónico con el fin de ofrecer los servicios ofertados en esta página web (…), sin que se ofrezca un medio para oponerse a ese tipo de tratamientos. Finalmente señalar que si bien se advirtieron modificaciones en la página web respecto de la fecha 26/11/2016 y la de 12/04/2017, se verificaron las condiciones anteriormente descritas y se obtuvo la misma conclusión: los usuarios de las citadas páginas webs que introduzcan sus datos personales desconocen el tratamiento ( en cuanto a la finalidad y cesión) al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control, que en la Sentencia del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Tribunal Constitucional 292/2000 se constituye como el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. El titular de los datos personales objeto de tratamiento, debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. El deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que se van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. En conclusión, a través de la recogida de datos en página web denunciada se ha verificado la vulneración lo dispuesto en el art. 5 de la LOPD en relación con los artículos 12.2 y 15 RDLOPD, suponiendo la infracción leve prevista en el art. 44.2
  8. c)que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. IV El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  10. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
  11. a)y
  12. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose a la entidad denunciada para que incluya la información relativa del art. 5 de la LOPD en la recogida de los datos que realice, indicando la finalidad en cada caso e identificando a los cesionarios de la información (art. 12.2 RDLOPD) y proporcionando un medio de oposición tal como establece el art. 15 del RDLOPD. De acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00019/2017) D.D.D. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD en relación con los artículos 12.2 y 15 del RDLOPD, tipificada como leve en el artículo 44.2
  13. c)de la citada Ley Orgánica. SEGUNDO.- REQUERIR a D.D.D. de acuerdo con lo establecido en el artículo 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 5 de la LOPD, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad de modo que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD, de acuerdo con lo indicado en el Fundamento de Derecho III y IV de la presente resolución. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. TERCERO.- NOTIFICAR la presente Resolución a D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.