1/11 Procedimiento Nº: A/00032/2014 RESOLUCIÓN: R/01077/2014 En el procedimiento A/00032/2014, instruido por la Agencia Española de Protección de Datos a la entidad TECHNICAL PLATING, S.L., vista la denuncia presentada por Don D.D.D. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 15 de abril de 2013 se registra de entrada en esta Agencia denuncia interpuesta por Don D.D.D., indicando, entre otras cuestiones a las que se ha dado el curso procedimental oportuno, que la página web , de la que es responsable la entidad TECHNICAL PLATING, S.L., no ofrecía la información prevista en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), al recabar datos personales a través del formulario de contacto ubicado en la URL . SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia realizan una serie de actuaciones a raíz de las cuales se tiene conocimiento de los siguientes extremos: 1. Con fecha 10 de septiembre de 2013 se obtiene la siguiente información: 1.1 Don C.C.C. figura en el Registro Mercantil Central como administrador Único de la entidad TECHNICAL PLATING, S.L., en adelante TECHNICAL. 1.2 El citado administrador único de TECHNICAL aparece señalado en el servicio whois como titular del dominio F.F.F. y como persona de contacto administrativo y técnico del mismo. También se ha constatado que la dirección de correo electrónico E.E.E. que figura en el mencionado servicio whois asociada a los datos de contacto técnico y administrativo del citado dominio coincide con la que aparece entre los datos de contacto de TECHNICAL en la página web de su titularidad. 2. Con fecha 10 de septiembre de 2013 se comprueba que la página un Formulario de Contacto. incluía 3. Con fecha 11 de septiembre de 2013 se remitió una solicitud de información al domicilio de TECHNICAL que consta en el Registro Mercantil Central, la cual consta como entregada el 16 de septiembre de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Al no recibir respuesta a dicho requerimiento de información, con fecha el 11 de noviembre de 2013 se dirigió un nuevo escrito al citado domicilio reiterando la solicitud de información, el cual fue devuelto por el servicio de correos con indicación de que a 13 de noviembre de 2013 el destinatario era desconocido. 4. Con fecha 27 de noviembre de 2013 se trató de acceder nuevamente al sitio web , resultando que éste no era accesible. Mediante el uso del servicio de caché proporcionado por el buscador Google se accedió a una copia de la página web tal y como se mostraba el día 20 de noviembre de 2013, comprobándose que el “Formulario de contacto” incluido en dicha página web, en el que se recababa el nombre y dirección de correo electrónico del usuario que lo cumplimentaba, no incluía la información y advertencias recogidas en el artículo 5.1 de la LOPD, referentes a la finalidad del tratamiento y destinatarios de la información recogida en el fichero en que se registraban los datos solicitados, la identidad y dirección del responsable del mencionado tratamiento o su representante y la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO). TERCERO: Con fecha 18 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00032/2014. CUARTO: Intentada la notificación del citado acuerdo de audiencia previa al apercibimiento a las 11:15 horas del día 25 de febrero de 2014 en el último domicilio conocido de la entidad imputada ( A.A.A. de la localidad de Torrent (Valencia) ésta no pudo practicarse por domicilio “Desconocido”, según consta en el “Aviso” del servicio de Correos. Con fecha 10 de marzo de 2014, se envió por esta Agencia el citado acuerdo de audiencia previa al apercibimiento para su exposición en el Tablón de Edictos del Ayuntamiento de Torrent (Valencia). Con fecha 17 de marzo de 2014 se publicó el trámite de audiencia previa al apercibimiento nº A/00032/2014 en el Boletín Oficial del Estado nº 65, haciendo constar que si transcurridos siete días hábiles, contados desde el día siguiente al de la publicación del anuncio, no se hubiera comparecido la notificación se entenderá producida a todos los efectos legales desde el día siguiente al del vencimiento del plazo señalado para comparecer. Con fecha 26 de mayo de 2014, tuvo entrada en esta Agencia escrito de la Alcaldía del Ayuntamiento de Torrent en el que se hace constar que el anuncio correspondiente a la notificación del acuerdo de audiencia previa al apercibimiento nº A/00032/2014 estuvo expuesto en el Tablón de Edictos desde el día 22 de febrero de 2014 hasta el día 18 de marzo de 2014. QUINTO: Con fecha 3 de junio de 2014 se constata que al pie del formulario de contacto de la reseñada página web se incluye un enlace al “Aviso Legal” de la misma, el cual contiene un apartado con la leyenda “Política de Privacidad y Protección de Datos”. En dicho apartado se identifica a TECHNICAL PLATING, S.L. como responsable de los ficheros en los que se incorporan los datos facilitados por los usuarios, también se informa sobre la dirección y correo electrónico a través de los cuales ejercer ante dicha entidad los derechos a los que se refiere el artículo 5.1 de la LOPD, al igual que se señala que tales datos serán utilizados con fines comerciales por dicha sociedad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 HECHOS PROBADOS PRIMERO: Con fecha 15 de abril de 2013 tiene entrada en esta Agencia denuncia formulada por Don D.D.D. manifestando que la entidad TECHNICAL PLATING, S.L. recababa datos personales a través del formulario de contacto ubicado en la URL incumpliendo lo previsto en el artículo 5 de la LOPD. SEGUNDO: La entidad TECHNICAL PLATING, S.L. es responsable del sitio web , en el que se informa sobre los servicios de recubrimientos electrolíticos y químicos de metales prestados por dicha entidad. TERCERO: Consta que con fecha 20 de noviembre de 2013 la página web incluía un “Formulario de contacto” en el que se recababan el nombre y dirección de correo electrónico de los usuarios que lo cumplimentaban a fin de poder contestar las solicitudes de información efectuadas por éstos a través del envío de un mensaje mediante el citado formulario. La recogida de dichos datos personales se llevaba a cabo sin facilitar a los afectados la información que el artículo 5.1 de la LOPD establece debe prestarse a los interesados a los que se solicitan datos personales. CUARTO: Con fecha 3 de junio de 2014 se constata que al pie del citado “Formulario de Contacto” se aparece un enlace que dirige al “Aviso Legal” de la reseñada página web, uno de cuyos apartados se refiere a la “Política de privacidad y Protección de Datos” de TECHNICAL PLATING, S.L. en los siguientes términos: “Todos los datos de carácter personal que sean facilitados por el Usuario a través del envío de un correo electrónico serán tratados con estricta confidencialidad de acuerdo con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal. De modo expreso, el Usuario queda informado de que los mismos serán incorporados a ficheros existentes en TECHNICAL PLATING, S.L. y que tiene derecho de acceso, rectificación, cancelación y oposición del mismo, pudiendo ejercitar tales derechos enviando por escrito una solicitud a la dirección: (C/.........1) – Valencia – Spain o mediante el envío a la siguiente dirección de correo electrónico E.E.E. o por cualquier medio que garantice la identificación del interesado y en la que conste el fichero o ficheros a consultar. Mediante el envío de un mensaje de correo electrónico por parte del Usuario, el remitente presta su consentimiento al tratamiento automatizado de los datos incluidos en el mismo. Los datos que se faciliten serán utilizados para fines comerciales, siendo sus destinatarios los servicios administrativos, comerciales y técnicos de TECHNICAL PLATING, S.L. TECHNICAL PLATING, S.L. adoptará las medidas necesarias para evitar la alteración, tratamiento, pérdida o acceso no autorizado de los datos de carácter personal, teniendo en cuenta el estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, en aras del cumplimiento de su obligación de secreto y de su deber de guarda de los mismos. De igual forma, TECHNICAL PLATING, S.L. queda autorizada para enviar al Usuario informaciones comerciales y técnicas de sus productos. En el caso de comunicaciones comerciales y técnicas enviadas a través de correo electrónico o medio equivalente, el Usuario nos presta su consentimiento expreso para el envío de publicidad por dicho medio. ” QUINTO: El “Formulario de contacto” no ofrece a los usuarios cuyos nombre y correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 electrónico se recaban ningún procedimiento, o casilla sin marcar, que les permita manifestar de forma expresa su negativa al tratamiento de sus datos personales con los fines comerciales indicados en apartado de “Política de privacidad y Protección de Datos” del “Aviso Legal” de TECHNICAL PLATING, S.L. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El tratamiento de datos viene definido en el artículo 3.
- c)de la LOPD como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, el artículo 5.
- t)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, describe el tratamiento de datos como “Cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, TECHNICAL PLATING, S.L., es responsable del tratamiento derivado de la recogida de datos personales de los usuarios que cumplimentan el formulario de contacto contenido en su página web, por lo que está sujeta a los requisitos y obligaciones impuestas por la normativa de protección de datos. Y por consiguiente, dicha entidad está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. III En relación con el cumplimiento del deber de información, también denominado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 principio de transparencia en el tratamiento de datos, éste constituye uno de los pilares esenciales del sistema establecido en la Ley Orgánica 15/1999. De este modo, para que sea posible el tratamiento de los datos de carácter personal, con independencia de que sea preciso el consentimiento del afectado o de que los datos procedan de aquél o de terceras fuentes en virtud de una cesión lícita, será preciso que el afectado sea adecuadamente informado, en los términos establecidos por el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal. La información al afectado debe producirse en el momento de la recogida de sus datos de carácter personal, y abarcar los extremos esenciales relacionados con el tratamiento. Dicho deber de información al afectado está regulado en el artículo 5.1 de la LOPD que dispone lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. La exigencia de esta información, en la recogida de los datos, que regula este artículo constituye un derecho del afectado que es objeto de protección por sí mismo aunque es también un complemento previo de la prestación del consentimiento, principio respecto del cual el artículo 6 de la LOPD dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal……..; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.” De esto se deduce que dada la necesidad de que el interesado sea previamente informado, su omisión puede determinar un vicio de consentimiento. La LOPD reconoce, junto al deber de información, el momento en que se ha de informar al interesado y el contenido de dicha información. La recogida de datos se puede definir como la comunicación de los datos por el interesado al responsable del fichero o la obtención de dichos datos por otros medios distintos del propio afectado. Los procedimientos en la recogida de datos pueden ser diversos; declaraciones o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 formularios, encuestas o entrevistas, transmisión electrónica, páginas web… Por otro lado, en el artículo 5.2 de la LOPD se establece que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Este apartado hace una referencia expresa a los supuestos en que para la recogida de datos se utilicen impresos o cuestionarios estandarizados, remarcándose la necesidad de que el interesado sea informado realmente de dichos extremos, al disponer que en dichos impresos deben figurar en forma legible las advertencias a las que se refiere el apartado 5.1. Así, de acuerdo con lo establecido en el artículo 5 trascrito, TECHNICAL PLATING, S.L., debe informar a los usuarios del mencionado formulario de contacto, con carácter previo a la solicitud de sus datos personales, en forma expresa, precisa e inequívoca, sobre los reseñados extremos. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo que las mismas sean “determinadas, explícitas y legítimas”. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. IV Por su parte, el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RDLOPD), desarrolla el citado artículo 5 de la LOPD en cuanto a la información que se ha de facilitar a los afectados cuando se solicita el consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma, disponiendo que se deberá permitir a los afectados que manifiesten expresamente su negativa al mencionado tratamiento o comunicación de datos ajeno a dicha relación contractual. Así, el artículo 15 del RDLOPD dispone lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” Precisamente, en el supuesto examinado, se ha constatado que la entidad TECHNICAL PLATING, S.L. recaba, a través del formulario de contacto contenido en su página web, el nombre y dirección de correo electrónico de los afectados que desean obtener contestación a sus solicitudes de información enviadas mediante la cumplimentación del propio formulario. En relación con dicho tratamiento, con fecha 20 de noviembre de 2013 se comprobó que dicha empresa recogía datos personales de los afectados sin facilitarles previamente, y de modo expreso, preciso e inequívoco, la información preceptiva en materia de protección de datos personales que señala el artículo 5.1 de la LOPD. Con posterioridad, en concreto el día 3 de junio de 2014, se constató que en el “Aviso Legal” del sitio web al que dirigía el enlace que se había incluido en el pie del mencionado formulario aparecía la siguiente información: se identificaba a dicha entidad como responsable de los ficheros en los que se incorporaban los datos facilitados por los usuarios y se facilitaba la dirección y correo electrónico a través de que ejercer ante dicha entidad los derechos de acceso, rectificación, cancelación y oposición a los que se refiere el artículo 5.1 de la LOPD. También se señalaba que tales datos serían utilizados con fines comerciales por dicha sociedad. Teniendo en cuenta que la recogida de los datos personales recabados se produce, según se desprende de lo indicado en el propio formulario, para disponer de un medio de contacto a través del cual responder a la información solicitada por los usuarios, los datos recabados no pueden utilizarse por el responsable del fichero para fines comerciales ajenos y adicionales a los que se prestaron por sus titulares sin establecer, para ello, un mecanismo de oposición a este tipo de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 publicitario. Esta circunstancia supone una vulneración del cumplimiento de las exigencias recogidas en el citado artículo 5.1.
- a)de la LOPD en su relación con lo previsto en el artículo 15 del RDLOPD. En este sentido, la Audiencia Nacional ha dictado Sentencia con fecha 30/01/2013, (Rec. núm 400/2011), señalando en su Fundamento de Derecho Sexto a que: ”La persona que una vez elegido su producto por catálogo llama por teléfono a la entidad recurrente para realizar el pedido, sabe lógicamente, que tiene que entregar una serie de datos para tramitar y gestionar el pedido. Ahora bien, cuando se trata del tratamiento de datos para actividades como por ejemplo de prospección comercial, que no tienen relación directa con el mantenimiento, desarrollo o control de la relación contractual que motivó la recogida de datos, no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el artículo 15 del RDLOP en relación con el deber de información en la recogida de datos regulado en el citado artículo 5.1 LOPD . “ Es decir, en el presente caso, para cumplir con los requisitos establecidos en los señalados preceptos de la normativa de protección de datos, no basta con informar que “Los datos que se faciliten serán utilizados para fines comerciales, siendo sus destinatarios los servicios administrativos, comerciales y técnicos de TECHNICAL PLATING, S.L. ”, tal y como se indica en el apartado de “Política de Privacidad y Protección de Datos” contenido en el “Aviso Legal”. Para que dichos datos puedan ser utilizados con posterioridad al momento de su recogida con los fines indicados en el citado documento se considera necesario que dicha entidad, en su condición de responsable del fichero y del tratamiento, permita a los afectados que manifiesten expresamente su negativa al tratamiento de sus datos para finalidades ajenas a la relación contractual, pues sólo así se observa plenamente el requisito de informar sobre la finalidad del tratamiento. Dicha exigencia puede solucionarse habilitando una casilla cuya marcación en el propio formulario implique la oposición al tratamiento publicitario de las señas de contacto facilitadas, o, en su caso, estableciendo un procedimiento equivalente que permita manifestar a los afectados su negativa a este tipo de tratamiento. Debe además tenerse en cuenta que comoquiera que la publicidad habría de efectuarse a través de un medio de comunicación electrónica, toda vez que el dato recabado consite en una dirección de e-mail, el envío de los mensajes publicitarios supondría un incumplimiento de la Ley 34/2002 de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI) que prohibe en el artículo 21.1 “el envío de comunicaciones publicitarias o promnocionales por correo electrónico u otro medio de comunicación electrónico equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.” En el apartado 2 del mismo artículo 21 de la precitada LSSI se establecen los supuestos en que la prohibición anterior queda exceptuada al manifestar que: “2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” V El artículo 44.2.
- c)de la Ley Orgánica 15/1999 considera infracción leve: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, de lo actuado se desprende tanto que TECHNICAL PLATING, S.L. recabó a través de un formulario de contacto contenido en su página web datos personales sin facilitar previamente a sus titulares la información que señala el artículo 5.1 de la LOPD, como que cuando, posteriormente, incluyó un apartado sobre “Política de Privacidad y Protección de Datos” en el “Aviso Legal” de su sitio web la información prestada no cumplía lo exigido en el artículo 5.1.
- a)de la LOPD en su relación con el artículo 15 de su reglamento de desarrollo, y ello teniendo en cuenta que dicha empresa no ofrecía a los usuarios un mecanismo a través del cual aceptar el tratamiento posterior de sus datos con la finalidad publicitaria para la que indicaba se utilizarían los datos inicialmente recogidos para responder a los mensajes de solicitud de información efectuados vía formulario de contacto, uso que excedía, por tanto, del marco propio al que debía circunscribirse el tratamiento de sus datos y frente al cual no podía oponerse en la forma establecida legal y reglamentariamente, esto es mediante la posibilidad de oponerse a esa finalidad en el mismo momento de rellenar el formulario de contacto en la forma anteriormente indicada. Dicha circunstancia supone una vulneración del artículo 5 de la LOPD, en relación con el art. 15 el RD 1720/2007. Por consiguiente la entidad denunciada ha incurrido en la infracción leve descrita ya que el cumplimiento del deber de información, o principio de transparencia, es un principio básico del derecho a la protección de datos, recogido en el artículo 5 de la LOPD, siendo necesario que el titular de los datos sea informado en los términos establecidos en dicho artículo y en sus normas de desarrollo. VI El apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad de la citada entidad teniendo en cuenta que no consta vinculación relevante de la actividad desarrollada por la misma con la realización de tratamientos de datos de carácter personal, no habiendo constancia, tampoco, de la obtención de beneficios por parte de dicha empresa como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00032/2014) a la entidad TECHNICAL PLATING, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 5.1 y 2 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. 2.- REQUERIR a la entidad TECHNICAL PLATING, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el apartado 1.
- a)del artículo 5 de la LOPD en su relación con lo dispuesto en el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. En concreto, se insta a dicha entidad a insertar en el “Formulario de Contacto” que emplea en su página web para la recogida de datos de carácter personal una casilla claramente visible y sin marcar , o, en su caso, un mecanismo equivalente, que permitan a los usuarios manifestar su negativa al tratamiento de sus datos con fines publicitarios. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando el contenido íntegro del “Formulario de Contacto” y del “Aviso Legal” conteniendo la información prevista en los citados preceptos, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/03131/2014, podría incurrir en una infracción del artículo 37.1.
- f)de la LOPD, que señala que “son funciones de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Agencia de Protección de Datos:
- f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la entidad TECHNICAL PLATING, S.L. 4.- NOTIFICAR el presente Acuerdo a Don D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es