← España

A-00112-2013

1/6 Procedimiento Nº: A/00112/2013 RESOLUCIÓN: R/02036/2013 En el procedimiento A/00112/2013, instruido por la Agencia Española de Protección de Datos a la entidad VILLAMATICA, S.L., vista la denuncia presentada por A.A.A.y en virtud de los siguientes, ANTECEDENTES PRIMERO.- Con fecha de 11 de diciembre de 2012 tiene entrada en esta Agencia un escrito de D. A.A.A., en adelante el denunciante, en el que manifiesta lo siguiente: 1. En fechas de 1/12/2012 y 3/12/2012 recibió dos correos electrónicos comerciales no deseados en su dirección de correo electrónico info@............1 siendo el remitente en ambos casos la cuenta villamatica......1@..... 2. Dichos correos electrónicos forman parte de una misma campaña en la que, mediante la remisión al enlace lotería.villamatica.com, se solicita la aportación de datos personales de terceros recibiendo por ello una participación en la lotería nacional correspondiente a la navidad del 2012. SEGUNDO: En fecha de 22/5/2013 se realiza una inspección a la entidad denunciada de la que se obtiene lo siguiente: 1. VILLAMATICA, S.L. es una empresa dedicada al negocio de la informática, comercializando todo tipo de productos relacionados con ordenadores así como formación relativa a su uso. 2. La empresa cuenta con un fichero de clientes de nombre FACTUSOL/GOOGLE DOCS inscrito en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos con el código ***COD.1. 3. Al objeto de captar nuevos clientes VILLAMATICA procedió a finales de 2012 a realizar una campaña de marketing. La campaña se desarrolló mediante la remisión de correos electrónicos dirigidos a las direcciones de clientes de la entidad. Dichos correos incluían el enlace lotería.villamatica.com. 4. Al seleccionar el enlace anterior se invocaba la página web https://docs.google.com..........................2 donde a través de un formulario al efecto se realizaba la captación de datos de la campaña. 5. La estructura de los datos personales a recabar era de nombre y apellidos, dirección de correo electrónico y población. Estos datos se utilizarían para una posterior remisión de correos electrónicos ofreciendo productos comercializados por VILLAMATICA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 6. Dado que únicamente se obtuvieron 47 registros se decidió no utilizarlos por lo que no se realizó campaña alguna sobre ellos. VILLAMATICA procedió al borrado de dichos registros durante la inspección realizada en fecha 22/5/2013. 7. En la inspección se constató que los datos del denunciante D. A.A.A., así como la dirección de correo electrónico a la que se le remitieron los dos correos electrónicos publicitarios objeto de la denuncia (info@............1.) figuran en el fichero de clientes de VILLAMATICA, quien ha aportado como acreditación de tal condición una factura de fecha 27/2/2012, anterior a la campaña, emitida por VILLAMATIA a nombre de D. A.A.A.. TERCERO: Con fecha 4 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00112/2013. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: De las Actuaciones Practicadas han resultado acreditados los siguientes hechos: UNO.- Los datos personales del denunciante, y la dirección de correo utilizada para el envío de la comunicación electrónica analizada, se incorporaron a los sistemas de VILLAMATICA, S.L. al adquirir éste un producto de la citada entidad. DOS.- VILLAMATICA, S.L. remitió un correo comercial al denunciante en el que le instaba a aportar los datos personales de al menos 5 contactos a cambio de una participación de lotería. La finalidad de la campaña era la captación de datos personales para su posterior uso en promociones de productos informáticos por la propia empresa. TRES.Como consecuencia del sistema de captación de datos de terceros, VILLAMATICA, S.L. incorporo a su base de datos 47 registros. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD II De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento o del fichero donde se encuentren de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, VILLAMATICA, S.L. ha de considerarse responsable del fichero y del tratamiento, y por tanto ostentando una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. III Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Principio de consentimiento que esta ligado al principio de finalidad en el tratamiento de los datos, recogido en el art. 4.2 de la LOPD que señala que Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. IV Señala el art. 6.1 de la LOPD: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Señala el art. 4.2 de la LOPD: 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. V En el presente caso, ha resultado probado que VILLAMATICA, S.L. ha tratado datos sin consentimiento al haber utilizado los mismos para una finalidad distinta a la que justificaba su recogida. VILLAMATICA S.L. remitió un correo electrónico al denunciante en el que se le invitaba a que aportara datos personales de terceros a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 cambio de una participación de lotería. En concreto la actuación de VILLAMATICA, S.L. incumpliendo los mandatos de la LOPD se concreta en dos momentos diferenciados: el primero, respecto del denunciante, pues el tratamiento de datos cuya legitimación ostentaba la entidad denunciada, tenía su razón de ser en la prestación del servicio contratado, y no para utilizarlo con el fin de enviar un correo electrónico como medio de captación de potenciales clientes a cambio de un beneficio( en este caso, un décimo de lotería) y el segundo momento, acontece cuando a través de terceros destinatarios del citado mensaje de correo electrónico, la entidad se nutre de una base de datos para envío de publicidad, ya que no tiene el consentimiento de estas personas para tener sus datos. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Así las cosas el titular de los datos observa cómo éstos son tratados para fines al margen de su cualidad de cliente, lo que escapa del poder de “disposición y control” que en palabras del Tribunal Constitucional (STC 292/2000) configura la base del principio de consentimiento al tratamiento de datos personales. De conformidad con la definición de tratamiento de datos personales, se ha acreditado el tratamiento por parte de VILLAMATICA, S.L. de los datos del denunciante y de los terceros incorporados a su base de datos, sin que haya presentado ninguna prueba que acredite que contaba con su consentimiento , así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. De acuerdo con lo señalado VILLAMATICA, S.L. ha tratado los datos personales del denunciante y de los terceros incorporados a su base de datos, sin su consentimiento. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Dispone el artículo 44.3.
  2. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VII La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  3. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  5. a)y
  6. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00112/2013) a D. VILLAMATICA, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  7. b)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 2.- Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante, se solicita se comuniquen las que de forma autónoma decida adoptar. 3.- NOTIFICAR el presente Acuerdo a D. VILLAMATICA, S.L.. 4.- NOTIFICAR el presente Acuerdo a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.