1/8 Procedimiento Nº: A/00022/2015 RESOLUCIÓN: R/00503/2015 En el procedimiento A/00022/2015, instruido por la Agencia Española de Protección de Datos a la entidad EDICIONES FORO DIGITAL, S.L., vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 07/01/2014 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A., en el que denuncia la recepción de publicidad remitida por BIKEZONA-EDICIONES FORO DIGITAL, S.L. (en lo sucesivo la denunciada o BIKEZONA) a su dirección electrónica ( G.G.G. D.D.D.), pese a que en siete ocasiones ha solicitado la baja de los envíos publicitarios a través de la dirección de correo .....@bikezona.com. A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se comprobó que BIKEZONA posee una página web dedicada al mundo del ciclismo y edita un boletín electrónico que se recibe previa suscripción del interesado a través de la dirección www.bikezona.com, para lo cual debe facilitar sus datos personales básicos y una dirección electrónica en la que recibirá el boletín. Cada suscriptor dispone de una ficha con su perfil en la que consta habilitado un campo denominado “boletín”, que se utiliza como marca para controlar su remisión o no. La inspección de datos pudo comprobar también que la entidad denunciada tiene articulados dos mecanismos para que el interesado inste la baja a la recepción del boletín que edita: el suscriptor puede entrar en su ficha de perfil y desmarcar el campo denominado “boletín”, o bien, tal y como se informa en cada comunicación comercial, el suscriptor puede enviar un correo a la dirección indicada (.....@bikezona.com) con la palabra “baja”. Este último mecanismo responde perfectamente a la exigencia establecida en el artículo 21.2 de la LSSI. Asimismo, los servicios de inspección verificaron que la dirección electrónica del denunciante ( G.G.G. C.C.C.) estaba dada de alta en el sistema informático de la entidad denunciada con fecha 09/03/2007, con el “Nikc” “ E.E.E.”, de F.F.F.. Comprobaron también que al tiempo de la inspección (24/06/2014) en el campo “boletín” figura el valor “No”, por lo que el denunciante, en esa fecha, no era destinatario del citado boletín. Ahora bien, los responsables de la denunciada informaron durante la inspección que el sistema no almacena la fecha en la que se modifica el campo “boletín”, razón por la cual no fue posible determinar en qué fecha exactamente se procedió a la baja de la suscripción. Por tanto, consta que la denunciada dio de baja la dirección electrónica del denunciante de los envíos del boletín, pero no fue posible determinar en qué fecha se activó el “No” en el envío del boletín publicitario y si dicha fecha es anterior o posterior a los envíos objeto de aquella denuncia, por lo que se procedió al archivo de las actuaciones, mediante Resolución de 21/07/2014. C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es 2/8 SEGUNDO: Con fecha 25/09/2014, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un nuevo escrito de denuncia de D. A.A.A. (en lo sucesivo el denunciante) contra la entidad BIKEZONA, por el envío de correos no deseados posteriores a la citada resolución de 21/07/2014 y a pesar de que la ficha de cliente estaba marcada para no enviar publicidad. Aporta impresión de pantalla, en la que figura un correo electrónico de 11/09/2014, remitido desde la dirección de correo electrónico .....@bikezona.com a la dirección del denunciante B.B.B., con el siguiente texto: “BikeZona.com y su equipo te desean un feliz cumpleaños… Un saludo”. TERCERO: Con fecha 02/02/2015, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter a la entidad BIKEZONA a trámite de audiencia previa al apercibimiento, en relación con la denuncia por la presunta infracción del artículo 6 de dicha norma, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. CUARTO: Con tal motivo, se concedió a BIKEZONA plazo para formular alegaciones, recibiéndose escrito de la misma en el que solicita el archivo de las actuaciones y señala que, en caso contrario, se adoptarán las medidas correctoras que la Agencia estime oportunas. En relación con la infracción imputada, advierte que trata los datos del denunciante con su consentimiento previo, prestado en el año 2007, como usuario registrado de la página web www.bikezona.com, de la cual no se ha dado de baja. A este respecto, aporta captura de pantalla del perfil de usuario con “Nikc” “ E.E.E.”, de F.F.F., con detalle de sus datos personales relativos a fecha de nacimiento y dirección de correo electrónico. En este documento figuran sin marcar las casillas habilitadas para señalar el interés del usuario en recibir el boletín editado por BIKEZONA, las alertas de noticias, el boletín de Tv y la participación en promociones. Añade BIKEZONA que el denunciante ha sido objeto de felicitación durante todos los años desde que figura como usuario registrado en la plataforma www.bikezona.com, sin que se haya opuesto en ningún momento a dicho tratamiento a través de los cauces habilitados al efecto. BIKEZONA no ha recibido ninguna comunicación del interesado mediante la cual ejerza su derecho de oposición al tratamiento de datos objeto de denuncia o por la cual desee darse de baja como usuario de la plataforma. Por otra parte, en su escrito de alegaciones, BIKEZONA manifiesta que “en la actualidad, el interesado sigue siendo usuario activo de los servicios ofrecidos por la web www.bikezona.com, si bien entendemos que esta denuncia supone una oposición a su tratamiento, sin que se hayan seguido los trámites legales y procedimentales establecidos. Por tanto, en el afán colaborativo, cesaremos en el envío de felicitaciones en tanto en cuanto de la denuncia presentada parece manifestar su oposición a la recepción de las mismas”. HECHOS PROBADOS 1. BIKEZONA es titular de la página web www.bikezona.com, dedicada al mundo del ciclismo C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es 3/8 2. La entidad BIKEZONA edita un boletín electrónico que se recibe previa suscripción del interesado a través de la dirección www.bikezona.com, para lo cual debe facilitar sus datos personales básicos y una dirección electrónica en la que recibirá el boletín. Cada suscriptor dispone de una ficha con su perfil en la que consta habilitado un campo denominado “boletín”, que se utiliza como marca para controlar su remisión o no. 3. El denunciante se registró como usuario de la web www.bikezona.com, facilitando sus datos personales relativos a dirección de correo electrónico, lugar de residencia y fecha de nacimiento, además de un “Nikc”. 4. Con fecha 24/06/2014, los Servicios de Inspección de la AEPD comprobaron que en el perfil del denunciante, correspondiente a su registro en la web www.bikezona.com, en el campo “boletín” figura el valor “No”, por lo que el denunciante, en esa fecha, no era destinatario del citado boletín. 5. Con fecha 11/09/2014, el denunciante recibió un correo electrónico en la dirección facilitada al registrarse como usuario de la web www.bikezona.com, remitido desde la dirección de correo electrónico .....@bikezona.com, con el siguiente texto: “BikeZona.com y su equipo te desean un feliz cumpleaños… Un saludo”. 6. BIKEZONA ha manifestado que “en la actualidad, el interesado sigue siendo usuario activo de los servicios ofrecidos por la web www.bikezona.com, si bien entendemos que esta denuncia supone una oposición a su tratamiento, sin que se hayan seguido los trámites legales y procedimentales establecidos. Por tanto, en el afán colaborativo, cesaremos en el envío de felicitaciones en tanto en cuanto de la denuncia presentada parece manifestar su oposición a la recepción de las mismas”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En el presente caso, se imputa a la entidad BIKEZONA una infracción de lo establecido en el artículo 6 de la LOPD, por el envío al denunciante de un correo electrónico posterior a la oposición manifestada por el mismo para dicha utilización de su dirección de correo electrónico. El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es 4/8 refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Además, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Por otra parte, el artículo 16.1 de la LOPD establece lo siguiente: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es 5/8 responsable del tratamiento y el interesado”. Por otra parte, los artículos 31 y 32 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, establecen lo siguiente: “Artículo 31. Derechos de rectificación y cancelación. 1. El derecho de rectificación es el derecho del afectado a que se modifiquen los datos que resulten ser inexactos o incompletos. 2. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento”. “Artículo 32. Ejercicio de los derechos de rectificación y cancelación. 1. La solicitud de rectificación deberá indicar a qué datos se refiere y la corrección que haya de realizarse y deberá ir acompañada de la documentación justificativa de lo solicitado. En la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso. 2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo…”. En el mismo sentido, el citado Reglamento, en su artículo 34.
- a)establece que: “El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
- a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario”. Añadiendo el artículo 35 del mismo Reglamento de Protección de Datos de Carácter Personal que: “1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
- a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo”. C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es 6/8 III El presente procedimiento tiene por objeto el examen de la denuncia formulada por el tratamiento realizado por la entidad BIKEZONA de los datos personales del denunciante, concretamente el relativo a su dirección de correo electrónico, que, según el denunciante, se realizó en contra de la voluntad expresa del mismo, que había manifestado reiteradamente a aquella entidad su oposición a dicho tratamiento de datos. Esta denuncia tiene como causa un correo electrónico recibido por el denunciante en fecha 11/09/2014, en la dirección facilitada al registrarse como usuario de la web www.bikezona.com, remitido desde la dirección de correo electrónico .....@bikezona.com, con el texto “BikeZona.com y su equipo te desean un feliz cumpleaños… Un saludo”. Sin embargo, en el presente caso consta acreditado que el denunciante se registró como usuario de la web www.bikezona.com, facilitando sus datos personales relativos a dirección de correo electrónico, lugar de residencia y fecha de nacimiento, además de un “Nikc”; y, en cambio, no consta que el mismo hubiese solicitado a la entidad BIKEZONA, titular de la citada web, la cancelación de sus datos personales o que hubiese manifestado su oposición a la utilización de los mismos con la finalidad de remitir un correo electrónico con aquella felicitación. Únicamente consta que en el perfil correspondiente al registro del denunciante en la web www.bikezona.com, en el campo “boletín” figura el valor “No”, por lo que ha de entenderse que el mismo no era destinatario del citado boletín. Cabe decir, por tanto, que la entidad BIKEZONA contaba con el consentimiento del denunciante para el tratamiento de datos personales realizado, en concreto, la utilización de su dirección de correo electrónico con el fin señalado. En consecuencia, no se estima vulnerado por la citada entidad el artículo 6.1 de la LOPD, considerando que no consta formalmente que el denunciante hubiese manifestado su oposición a recibir comunicaciones de aquella entidad remitidas mediante correo electrónico a la dirección señalada expresamente por el denunciante. En cualquier caso, en su escrito de alegaciones, BIKEZONA ha manifestado que entiende que “esta denuncia supone una oposición a su tratamiento, sin que se hayan seguido los trámites legales y procedimentales establecidos. Por tanto, en el afán colaborativo, cesaremos en el envío de felicitaciones en tanto en cuanto de la denuncia presentada parece manifestar su oposición a la recepción de las mismas”. Tampoco consta en las actuaciones que el denunciante hubiese solicitada a BIKEZONA la cancelación de todos sus datos personales registrados en los ficheros de la misma, reconocido en el apartado 2 del artículo 16 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), que dispone que “Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos”. Este derecho de cancelación es personalísimo y debe, por tanto, ser ejercitado directamente por los interesados ante cada uno de los responsables de los ficheros o tratamientos de datos de carácter personal. Así, podrá dirigirse directamente ante la entidad C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es 7/8 responsable del fichero a través de un medio que acredite tanto el envío como la recepción de la solicitud, y acompañando copia de su D.N.I. o de cualquier otra documentación acreditativa de la identidad del solicitante. De este modo, el responsable de los ficheros o tratamientos ante los que se ha ejercitado el derecho de cancelación, deberá resolver sobre la solicitud en el plazo de diez días, a contar desde la recepción de la misma, pudiendo denegarla en los casos establecidos en los artículos 33 y 30, ambos del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. El procedimiento indicado, tendente al cese del tratamiento de los datos personales, posibilita la corrección con celeridad de aquel dato de carácter personal en el supuesto de que se encuentre indebidamente incluido. En el caso de que la solicitud no fuera convenientemente atendida por el responsable del fichero o tratamiento, podrá dirigirse a esta Agencia, acompañando copia de la solicitud cursada y de la contestación recibida, en su caso, para que la Agencia analice la procedencia de tutelar el ejercicio de sus derechos reconocidos en la citada LOPD y normativa que la desarrolla. En el presente caso y una vez analizada la documentación que acompaña junto a su denuncia, se comprueba que no se ha dirigido a la empresa denunciada para ejercer su derecho de cancelación, por lo que se le informa que podría ejercitar el citado derecho usando los modelos que figuran en el siguiente enlace: https://www.agpd.es De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00022/2015 seguido contra EDICIONES FORO DIGITAL, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 6 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a la entidad EDICIONES FORO DIGITAL, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es 8/8 artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – F.F.F. www.agpd.es sedeagpd.gob.es