← España

A-00127-2018

1/11 Procedimiento Nº: A/00127/2018 RESOLUCIÓN: R/00884/2018 En el procedimiento A/00127/2018, instruido por la Agencia Española de Protección de Datos a la entidad AECS-EMPRENDE CON SENTIDO, A.A.A., vista la denuncia presentada por D.D.D. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9/11/201 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por D.D.D., en adelante el denunciante, cuyos aspectos más relevantes se describen a continuación:  Ha proporcionado sus datos personales en un formulario del blog Territorio Bitcoin (***WEB.1) , pero no encuentra la inscripción del fichero para poder ejercer sus derechos ARCO. Además, echa en falta la información previa que establece la LOPD en relación a la recogida de los datos personales, ya que en particular éstos, originalmente suministrados con el propósito de realizar un comentario en el blog, han sido asignados a un grupo de noticias o “newsletter” sin su conocimiento.  Asimismo, en el blog ***BLOG.1 , que según el denunciante está administrado por la misma persona, se recaban datos personales sin ofrecer información para poder ejercer sus derechos ARCO. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1 En lo relativo al blog “Territorio Bitcoin”:  Existe un formulario de recogida de datos personales (URL ***URL.1 ), a saber: nombre y correo electrónico, además del comentario que se quiera publicar. En la parte superior se lee “Contacta con nosotros si necesitas más información o simplemente para resolver cualquier duda que te podamos aclarar. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Territorio Bitcoin creemos que internet es el medio más poderoso de comunicación.”, sin mencionar nada de grupos de noticias o “newsletters”.  Existe otro formulario de recogida de datos personales (URL ***URL.2 ), en el que se lee “Bienvenido a nuestro boletín”. Se recoge nombre, apellido y dirección de e-mail, y existe un botón con el literal “Suscribirse a la lista”. Más abajo se visualiza un botón que reza “MailChimp”, el cual redirige al sitio web de dicha marca registrada. Se accede a este formulario haciendo click en la palabra “suscribirte” en la frase “Puedes apuntarte a alguno de los eventos o suscribirte a nuestra newsletter” que se observa en la parte inferior de la página inicial del blog.  Existe una política de privacidad de datos (URL ***URL.3 ) en la que se lee lo siguiente: De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y su normativa de desarrollo, el responsable del sitio web, en cumplimiento de lo dispuesto en el art. 5 y 6 de la LOPD, informa a todos los usuarios del sitio web que faciliten o vayan a facilitar sus datos personales, que estos serán incorporados en un fichero automatizado. Garantizamos expresamente a los usuarios que sus datos personales no serán cedidos en ningún caso a terceras compañías, y que siempre que fuera a realizarse algún tipo de cesión de datos personales, de forma previa, se solicitaría el consentimiento expreso, informado, e inequívoco por parte de los titulares. Garantizamos en todo caso al usuario el ejercicio de los derechos de acceso, rectificación, cancelación, información y oposición, en los términos dispuestos en la legislación vigente. Por ello, de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) podrá ejercer sus derechos remitiendo una solicitud a través de el siguientes correo electrónico: ***EMAIL.1 Garantizamos todas las medidas técnicas y de organización necesarias para garantizar la seguridad e integridad de los datos de carácter personal que trate, así como para evitar su pérdida, alteración y/o acceso por parte de terceros no autorizados.  En la sección del blog “Quienes Somos” con URL ***URL.4 aparece, después de la relación con los miembros del blog, partners, historia del blog y premios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 obtenidos, la siguiente información: “Territorio Bitcoin, CIF ***CIF.1, CowUp, (C/...1) (Madrid)”.  Tal CIF aparece en el Registro Mercantil Central asociado a una empresa, KNOWCHAIN TECHNOLOGY SOLUTIONS S.L. domiciliada en ***LOC.1, Madrid.  No se encuentran en el Registro General de Protección de Datos ficheros inscritos a nombre de Territorio Bitcoin ni del CIF ***CIF.1. 2 En lo relativo al blog “Emprende con Sentido”:  Existe un formulario de recogida de datos personales en la URL ***BLOG.1/contacto/ , donde ser recaban nombre y apellidos, correo electrónico y cuerpo del mensaje que se quiera transmitir a los administradores del blog.  En la misma página se lee el siguiente párrafo: En virtud de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos de que sus datos de carácter personal, recogidos de fuentes accesibles al público o datos que usted nos ha facilitado previamente, proceden de un fichero propiedad de AECS., con la finalidad de gestionar la relación negocial que nos vincula e informarle de nuestros productos y servicios.  También existe una sección con campos donde se recaba información personal en la parte inferior de la página inicial del blog (***BLOG.1/ ). Se observan dos áreas: un área marcada con la palabra “Newsletter”, donde se visualizan los campos de e-mail, nombre y apellido, ciudad y teléfono a rellenar por la persona que quiera suscribirse, y un área de contacto, en la que se recogen nombre, e-mail y cuerpo del mensaje. En ambas áreas se visualiza un botón con el texto “Enviar”.  En fecha de 21/02/2018, y posteriormente a la recepción de la respuesta del administrador del blog al requerimiento de información de la Agencia, se observan los siguientes cambios en el blog: o C/ Jorge Juan, 6 28001 – Madrid Inclusión de un aviso legal, con URL ***URL.5. Además de informar de su CIF ***CIF.2 (antes no se visualizaba esta información), en su apartado 8 (“TRATAMIENTO DE DATOS PERSONALES Y POLÍTICA DE PRIVACIDAD”) se puede leer “Cuando sea necesario que el Usuario se registre o aporte datos personales para poder acceder a servicios, solicitar información, remitir consultas o inscribirse en eventos o actividades formativas, entre otros supuestos, la recogida y el www.agpd.es sedeagpd.gob.es 4/11 tratamiento de los datos personales se regirá por lo dispuesto en la Política de Privacidad del Sitio Web.” o Inclusión de una política de privacidad y protección de datos, con URL ***URL.6 donde se leen los siguientes párrafos: La Asociación Emprende Con Sentido (AECS) está especialmente sensibilizada en la protección de los datos de los usuarios, de los servicios a los que se accede a través de su web o de los mensajes que son enviados y recibidos desde el correo electrónico y cualquier tipo de comunicación realizada tipo newsletter. Mediante la presente Política de Privacidad informamos a nuestros usuarios que en cumplimiento del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter personal y del Real Decreto 1720/2007, de 21 de diciembre, Reglamento de desarrollo de la LOPD, los datos personales recabados por o en su nombre, serán incorporados a ficheros titularidad de AECS, con el fin de que los usuarios decidan, libre y voluntariamente, si desean facilitar la información solicitada o ejercer su derecho de acceso, rectificación o desistimiento. La AECS se reserva la facultad de modificar esta Política con el objeto de adaptarla a novedades legislativas, criterios jurisprudenciales, prácticas del sector, o intereses de la entidad. Cualquier modificación en la misma será anunciada con la debida antelación, a fin de que tengas perfecto conocimiento de su contenido. (…) Seguridad de los datos La AECS ha adoptado en su sistema de información las medidas técnicas y organizativas legalmente requeridas, a fin de garantizar la seguridad y confidencialidad de los datos almacenados, evitando así, en la medida de lo posible, su alteración, pérdida, tratamiento o acceso no autorizado. Derechos de los usuarios En todos los casos, los usuarios podrán acceder a sus datos, con el fin de rectificarlos, cancelarlos y/o en su caso, oponerse a su tratamiento:

  1. a)bien mediante solicitud acompañada de una fotocopia de tu D.N.I., remitida a la siguiente dirección postal: (C/...1) (Madrid) España C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11
  2. b)bien mandando un e-mail a la siguiente dirección de correo: ***EMAIL.2 o Unificación de los dos formularios de la parte inferior en un único formulario con el epígrafe “Newsletter”, donde se recaban los datos de e-mail, nombre y apellidos, empresa, ciudad y teléfono.  El CIF ***CIF.2 aparece en el servicio AXESOR vinculado a la entrada ASOC EMPRENDE CON SENTIDO.  No se encuentran en el Registro General de Protección de Datos ficheros inscritos a nombre de la Asociación Emprende con Sentido ni del CIF ***CIF.2 que aparece en la sección del aviso legal del blog. 3 En relación con las respuestas a los requerimientos de información: Como parte de las actuaciones previas de inspección, se han enviados sendos requerimientos de información a los contactos administrativos de ambos blogs, C.C.C. de “Territorio Bitcoin” y A.A.A., de “Asociación Emprende con Sentido”. Se han recibido respuestas de ambos requerimientos, muy similares en estructura y contenido. También se ha enviado requerimiento de información a la empresa KNOWCHAIN TECHNOLOGY SOLUTIONS SL, a la atención de su administrador B.B.B., pero no se ha obtenido respuesta.  En el caso de “Territorio Bitcoin”, su contacto administrativo C.C.C. declara que: C/ Jorge Juan, 6 28001 – Madrid o La finalidad principal del tratamiento de datos personales no es la recopilación de datos, sino informar respecto a una actividad novedosa, las “criptomonedas”. o Los únicos datos personales que pueden ser recabados, recopilados de forma voluntaria y libre, son los denominados básicos a través de formularios reproducidos al efecto. En el sitio web se dispone de la información legal al respecto de dicha recopilación. o La finalidad única de tratamiento es la remisión de boletines electrónicos informativos de actualidad sobre la temática referenciada a los usuarios que deciden libre y voluntariamente dado su interés, recibir de forma periódica dichos boletines informativos. o Los boletines informativos insertan la posibilidad de desistir de envíos futuros, pudiendo por mail o comunicación a través de los medios que se encuentran disponibles en el sitio web ejercer los derechos ARCO. Los procedimientos se disponen, bien a través del propio boletín, bien mediante la remisión de correo electrónico a ***EMAIL.1 www.agpd.es sedeagpd.gob.es 6/11 o Los datos personales recabados para dicha finalidad (remisión de boletines) solo son comunicados a un tercero, en aras a realizar dicha finalidad: se dispone de una cuenta asociada en el proveedor del servicio, MailChimp, y para garantizar la privacidad de los destinatarios, se procedió a la comprobación de que dicho proveedor está adherido al Privacy Shield. o El sitio web se encuentra en pleno proceso de regularización al nuevo reglamento europeo, llevándose a cabo y documentándose el Registro de Actividades de Tratamiento (“sustitutivo del registro de ficheros” según comentan en el escrito), establecimiento del proceso para posibles brechas de seguridad, y valoración/adecuación de los textos legales reproducidos en la web. o En las impresiones de pantalla que incluyen en el escrito de alegaciones, solo se visualiza el formulario que recaba datos para la suscripción al boletín, no el que se usa para recoger comentarios.  En el caso de “Emprende con Sentido”, su contacto administrativo A.A.A. declara que: C/ Jorge Juan, 6 28001 – Madrid o En cuanto a la posible recogida y tratamiento de datos personales, la asociación únicamente recoge datos que son facilitados de forma voluntaria por aquellos interesados en formar parte de la asociación o que tienen interés en conocer más respecto de las actividades que organiza la misma. o Los únicos datos personales que pueden ser recabados, recopilados de forma voluntaria y libre, son los denominados básicos a través de formularios reproducidos al efecto. En el sitio web se dispone de la información legal al respecto de dicha recopilación. o La finalidad única de tratamiento es la remisión de boletines electrónicos informativos de actualidad sobre la temática referenciada a los usuarios que deciden libre y voluntariamente dado su interés, recibir de forma periódica dichos boletines informativos. o Los boletines informativos insertan la posibilidad de desistir de envíos futuros, pudiendo por mail o comunicación a través de los medios que se encuentran disponibles en el sitio web ejercer los derechos ARCO. Los procedimientos se disponen, bien a través del propio formulario de solicitud mediante la opción de suscripción/desvinculación (suscribe/unsuscribe), bien mediante la remisión de correo electrónico a ***EMAIL.2 www.agpd.es sedeagpd.gob.es 7/11 o El sitio web se encuentra en pleno proceso de regularización al nuevo reglamento europeo, llevándose a cabo y documentándose el Registro de Actividades de Tratamiento (“sustitutivo del registro de ficheros” según comentan en el escrito), establecimiento del proceso para posibles brechas de seguridad, y valoración/adecuación de los textos legales reproducidos en la web. o La asociación es la única que recopila y trata datos personales a través de su web mediante un fichero automatizado, no existiendo tercero alguno diferente a aquella en cuanto a recopilación y tratamiento. 4 Tras las actuaciones practicadas se desprende lo siguiente:  Blog “Territorio Bitcoin”: o En la política de privacidad del blog no se indica quién es el responsable del fichero de datos personales gestionado por el mismo, ni se expresa la finalidad del tratamiento de datos. Se informa de una dirección de correo electrónico a la que recurrir en caso de querer ejercer los derechos ARCO. o El denunciante no aporta evidencia de haber sido suscrito automáticamente a una “newsletter” con la mera introducción de sus datos en el formulario establecido para remitir comentarios a los gestores del blog. Sin embargo, no se observa en ninguno de los dos formularios ninguna cláusula informativa de la finalidad de los tratamientos de datos personales asociados.  Blog “Emprende con Sentido”: o Se ha observado la introducción de aviso legal y política de protección de datos a raíz del requerimiento de la Agencia. o En estas secciones se menciona la información relativa a los derechos ARCO, que no existía al principio. o En el aviso legal indican su CIF como Asociación, extremo que tampoco constaba antes en el blog. o No se observa ninguna mención a la finalidad de los tratamientos de los datos personales que realiza la asociación a través del blog. TERCERO: Con fecha 4/04/2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00127/2018 a AECS-EMPRENDE CON SENTIDO, con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 su artículo 5, tipificada como leve en el artículo 44.2
  3. c)de la LOPD y con relación a la denuncia por infracción de su artículo 26, tipificada como leve en el artículo 44.2 b LOPD. Dicho acuerdo fue notificado al denunciado. CUARTO: En la misma fecha se inició el correspondiente procedimiento de apercibimiento A/000128/2018 a KNOWCHAIN TECHNOLOGY SOLUTIONS SL. QUINTO: Con fecha 27/04/2018 se recibe en esta Agencia escrito del denunciado en el que comunica: Ha procedido a notificar la inscripción del fichero en el RGPD denominado ASOCIACION. Asimismo ha modificado la Política de Privacidad de la página web incluyendo la finalidad del tratamiento, el responsable del fichero y el medio para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. SEXTO: En fecha de 4/05/2018 por el Instructor del procedimiento se accedió al sitio web objeto de denuncia verificando las modificaciones que el denunciado manifestó en su escrito de alegaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a parte de AECS-EMPRENDE CON SENTIDO, , la comisión de la Infracción del artículo 5 de la LOPD que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11
  6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” Tipificada como leve en el artículo 44.2
  10. c)de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ Asimismo se atribuye la comisión de la infracción del art. 26 de la LOPD que señala: 1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos tipificada como infracción leve en el artículo 44.2
  11. b)de dicha LOPD. III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  13. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
  14. a)y
  15. b)del citado apartado 6 del artículo 45 de la LOPD. IV Al inicio de las presentes actuaciones se verificó que en la página web existían carencias informativas en el tratamiento de los datos que eran objeto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 recogida, en relación con el deber de información que establece el art. 5 de la LOPD arriba transcrito. Asimismo tampoco constaba en el Registro General de Ficheros (RGPD) de la Agencia Española de Protección de Datos la correspondiente inscripción de fichero titularidad de la entidad denunciada. Ambas conductas encuentran su tipificación como infracción leve en el art. 44.2 aparado b y c de la LOPD. No obstante lo anterior, tras las alegaciones del denunciado, se comprobó que la página web había adecuado la información ofrecida en la recogida de datos al mandato del art. 5 de la LOPD y se verificó en el RGPD la inscripción del fichero denominado ASOCIACION cuya titularidad corresponde a la entidad denunciada. V Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura, regulada en el artículo 45.6 de la LOPD advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta que la entidad denunciada ha subsanado las carencias informativas en la recogida de datos y ha procedido a la inscripción del fichero y por tanto son medidas que impedirían que los hechos se volvieran a producir, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a AECS-EMPRENDE CON SENTIDO, y a A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.