A-00129-2018

1/7 Procedimiento Nº: A/00129/2018 RESOLUCIÓN: R/00982/2018 En el procedimiento A/00129/2018, instruido por la Agencia Española de Protección de Datos a B.B.B., vista la denuncia presentada por C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20/11/2017 tiene entrada en esta Agencia una denuncia presentada por C.C.C. (en lo sucesivo, el denunciante), en la que manifiesta que en la página web www.tucocheimportacion.es no figura la razón social ni domicilio de la empresa que presta los servicios. Además carece de una política de privacidad por lo que no se sabe el tratamiento que se da a los datos personales recabados a través del formulario de contacto. Se incumple la LOPD. A través del enlace de Facebook con dicha página aparece como miembro del equipo B.B.B. (el denunciado en lo sucesivo). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha de 29/11/2017 se accede a la página web tucocheimportacion.es y se verifica el uso de formulario de recogida de datos y como contacto figura info@tucocheimportacion.com y tlf, D.D.D.. No consta política de privacidad. Solicitada información a PEPEMOBILE, S.L, informan que la línea corresponde a B.B.B.. D.D.D. Consultada la página web nic.es respecto de la tucocheimportacion.es figura inscrita a nombre de B.B.B. dominio titularidad del Con fecha de 8/03/2018 tiene entrada un escrito del denunciado en el que informa que no recoge dato personal de ningún visitante, pues no se requiere el nombre en el formulario de contacto. Aporta captura de pantalla idéntica a la referenciada en el punto 1 del presente antecedente segundo, donde se verifica el uso de formulario de recogida de datos. TERCERO: Con fecha 4/04/2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00129/2018 a B.B.B., con arreglo a lo dispuesto en el artículo 45.6 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de la LOPD, con relación a la denuncia por infracción de su artículo 5, tipificada como leve en el artículo 44.2 c). CUARTO: El Acuerdo de Audiencia Previa fue enviado a notificar a la dirección C/ A.A.A.-, con resultado de “devuelto a origen”, por no acudir a la oficina de Correos a retirar el envío tras la realización de dos intentos. Dicho domicilio que es designado a estos efectos por el denunciado y dónde recogió el requerimiento de información realizado durante las actuaciones previas de investigación. QUINTO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 29/11/2017 se accede a la página web tucocheimportacion.es y se verifica el uso de formulario de recogida de datos y como contacto figura info@tucocheimportacion.com y tlf, D.D.D.. No consta política de privacidad. DOS. Solicitada información a PEPEMOBILE, S.L, informan que la línea corresponde a B.B.B.. D.D.D. TRES. Consultada la página web nic.es respecto de la titularidad del dominio tucocheimportacion.es figura inscrito a nombre de B.B.B. CUATRO.- B.B.B. reconoce que a través de la página web objeto de denuncia, recaba de los usuarios, dirección de correo electrónico y teléfono. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a B.B.B. la comisión de la Infracción del artículo 5 de la LOPD que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” Tipificada como leve en el artículo 44.2
7. c)de dicha norma, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
9. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
10. a)y
11. b)del citado apartado 6 del artículo 45 de la LOPD. IV Durante las presentes actuaciones se verificó que en la página web existen carencias informativas en el tratamiento de los datos que eran objeto de recogida, en relación con el deber de información que establece el art. 5 de la LOPD arriba transcrito. El denunciado manifestó durante las actuaciones previas de investigación que no se recogen datos personales, en concreto que (…) no se requiere nombre, solo la dirección de email o un teléfono (…). Frente a ello hay que acudir a lo dispuesto en el art. 3 de la LOPD que bajo la rúbrica “definiciones” señala en su apartado
12. a)que son Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables. En el caso analizado, se recoge dirección de correo electrónico y/o teléfono por lo que obviamente estamos ante un tratamiento de datos personales. En este sentido esta Agencia se ha pronunciado en numerosísimas ocasiones a través de sus resoluciones e Informes del Servicio Jurídico, pudiendo citarse a título de ejemplo el Informe 0437/2010 que señala (…)En lo que se refiere a la consideración del correo electrónico como dato personal debe hacerse referencia a lo señalado en informe de 15 de noviembre de 2005 que a continuación se reproduce: “La primera de las cuestiones a resolver en este caso estriba en determinar si la dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 electrónico es un dato de carácter personal. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. De lo antedicho se desprende que podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo: El primero de ellos se refiere a aquellos supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no estos en la denominación del dominio utilizado). En este supuesto, a nuestro juicio, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato de carácter personal. Ejemplos característicos de este supuesto serían aquellos en los que se hace constar como dirección de correo electrónico el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndose el dominio de primer nivel con el propio del estado en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso delimitarse el centro de trabajo en que se realiza la prestación). Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de la cuenta de correo a una denominación abstracta o a una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de este dato podría hacernos concluir que no nos encontramos ante un dato de carácter personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Por todo ello se considera que también en este caso, y en aras de asegurar, en los términos establecidos por la Jurisprudencia de nuestro Tribunal Constitucional, la máxima garantía de los Derechos Fundamentales de las personas, entre los que se encuentra el derecho a la “privacidad”, consagrado por el artículo 18.4 de la Constitución, será necesario que la dirección de correo electrónico se encuentre amparada por el régimen establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal. Junto con estos dos supuestos, debe añadirse, evidentemente, que si en un fichero junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como su nombre y apellidos, su número de teléfono o su domicilio, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante datos de carácter personal. ” En el mismo sentido la Sentencia de la Audiencia Nacional de fecha 15/01/2011 corrobora lo ya establecido con anterioridad: En relación con la dirección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de correo electrónico, esta Sala ha considerado en las SSAN, Sec. 1ª, de 23 de marzo 2006 y de 25 de mayo de 2006, que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque “con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 “. Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. A tenor de lo señalado, no cabe duda de que en el caso planteado la dirección de correo electrónico y el número de teléfono es un dato de carácter personal. Y por tanto obliga al responsable del tratamiento a someterse a las obligaciones de la LOPD, entre las que se encuentra el deber de información que recoge el art. 5 de la LOPD arriba transcrito. V Por lo expuesto se insta al denunciado a que adopte las medidas adecuadas a fin de que de cumplimiento al deber de informar que establezca el art. 5 de la LOPD. En el art. 45.6 de la LOPD se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 PRIMERO.- APERCIBIR (A/00129/2018) a B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
13. c)de la citada Ley Orgánica. SEGUNDO.- REQUERIR a B.B.B. de acuerdo con lo establecido en el artículo 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 5 de la LOPD, para lo que se insta al denunciado a que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. TERCERO.- NOTIFICAR la presente Resolución a B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es