1/7 Procedimiento Nº: A/00151/2018 RESOLUCIÓN: R/00959/2018 En el procedimiento A/00151/2018, instruido por la Agencia Española de Protección de Datos a la entidad GESTION Y TRANSMISION DE SOCIEDADES EXPANSIÓN, S.L., vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 10/11/2017 tiene entrada en esta Agencia denuncia presentada por D. A.A.A. (en lo sucesivo, el denunciante), en la que manifiesta que la página web ***WEB.1dispone de un formulario para recoger datos personales y no informa de lo indicado en el artículo 5 de la LOPD. SEGUNDO: Con fecha 16/11/2017 figura Diligencia de Inspección en la que consta el acceso a la citada web habiendo acreditado que disponen de un formulario para recabar datos personales y de un aviso legal en el que se hace constar que la denominación social de la entidad es EUROSL.SL, así como la dirección postal y de correo electrónico. En el apartado 2 se da información sobre los tratamientos de datos personales, se indica quien es responsable del fichero y la finalidad con la que se tratan los datos. No se observa que se especifique el procedimiento para ejercitar los derechos ARCO. TERCERO: Solicitada información a la entidad EUROSL.SL. Los responsables de la web manifiestan que la entidad responsable de la misma es GESTIÓN Y TRANSMISIÓN DE SOCIEDADES EXPANSIÓN, S.L. (en lo sucesivo el denunciado) con CIF ***CIF.
- Esta entidad cuenta con dos socios y una trabajadora y se dedica a la trasmisión de sociedades mercantiles a empresarios y emprendedores. El formulario de contacto sirve para recabar datos de los interesados y contactar con ellos. La mayoría de los clientes les llama por lo que muy pocos cumplimentan el formulario. Una vez contactado con el cliente se envía por correo o se le llama dando información de sus tarifas, los datos aportados en los formularios no se almacenan en lugar alguno, no disponen de fichero ni base de datos de contactos, por este motivo no informan de la identidad y dirección del responsable del fichero. CUARTO: Con fecha 27 de marzo de 2018 se ha comprobado que en el aviso legal de la compañía han eliminado la información facilitada sobre protección de datos pero mantienen el formulario para recabar datos de los clientes e interesados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 QUINTO: Consultada el 5/04/2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado no le constan registros previos. SEXTO: Con fecha 13 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00151/2018, de conformidad con lo establecido en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), con relación a la denuncia por infracción de su artículo 5, tipificada como leve en el artículo 44.2.c). Dicho acuerdo fue notificado al denunciado. SEPTIMO: Con fecha 30/04/2018 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…Que esta parte ha tomado conciencia de la necesidad de dar cumplimiento a la normativa vigente, y en especial a la entrada en vigor el próximo 25 de mayo del Reglamento, y a los efectos de adecuarnos a la legalidad y viendo que se nos indica en la alegación cuarta, que sí que hemos eliminado la información facilitada sobre protección de datos pero mantenemos el formulario para recabar datos de los interesados, es por ello que consideramos que debemos modificar varias cosas en nuestra web y sistema de trabajo para que a partir del 25 de mayo todo esté correcto. Hemos pensado en añadir un recuadro en el formulario de contacto que indique lo siguiente: Sí, acepto expresamente y estoy de acuerdo con los términos y condiciones del aviso legal de GTS y autorizo el tratamiento de mis datos por parte de GTS con fines comerciales y de contratación. El cliente no podrá enviarnos ningún dato sin marcar positivamente la casilla y al clicar en la parte subrayada se le abrirá automáticamente nuestro aviso legal, que contendrá un nuevo apartado que dirá lo siguiente…>> OCTAVO: Con fecha 14/05/2018 se accede a la web del denunciando en la que se comunica: <<…
- Política de privacidad Cuando Vd. a través de nuestra web, en el formulario de contacto marca la casilla correspondiente, o a través de correo electrónico, nos envía datos de carácter personal, nos está autorizando a que incorporemos dichos datos a un fichero propiedad de GTS, Gestión y Transmisión de Sociedades Expansión, S.L. provista de CIF ***CIF.1, con domicilio en (C/...1), provista de tf. ***TELF.1, ***EMAIL.
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 De conformidad con el art.13 del Reglamento (UE) del Parlamento Europeo y del Consejo de 27 de abril de 2016, le informamos que sus datos personales serán tratados de manera lícita, leal y transparente e irán destinados únicamente a facilitarle información sobre los productos que se ajustan a sus necesidades en función de la petición que Vd. nos realiza a través del formulario de contacto. GTS recaba sus datos de carácter personal porque son necesarios para contratar nuestros productos. GTS se compromete a mantener el carácter confidencial de los datos de carácter personal que recabe adoptando las medidas que resulten precisas para evitar la alteración, pérdida, tratamiento o acceso no autorizados. Sus datos no serán destinados a terceros, únicamente formarán parte de un fichero interno de GTS, formando parte de nuestros archivos una vez finalizado el negocio jurídico durante un plazo máximo de 5 años, en todo caso con fines estadísticos y comerciales a fin de ofrecerle nuevos productos. Vd. en todo momento, podrá solicitar a GTS, el acceso, la rectificación, oposición o supresión de dichos datos, mediante escrito dirigido a Gestión y Transmisión de Sociedades Expansión, (C/...1). Así mismo, le informamos que en el caso de que entienda que el tratamiento de datos por parte de GTS no ha sido leal o transparente, o no se ha cumplido con lo indicado en el presente apartado, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de datos.” La web contiene un formulario de recogida de datos que contiene la siguiente leyenda precedida de una casilla sin marcar “Acepto recibir publicidad de GTS” HECHOS PROBADOS PRIMERO: Con fecha 10/11/2017 tiene entrada en esta Agencia escrito presentado por el denunciante, en la que manifiesta que la página web ***WEB.1dispone de un formulario para recoger datos personales y no informa de lo indicado en el artículo 5 de la LOPD. SEGUNDO: Con fecha 16/11/2017 figura Diligencia de Inspección en la que consta el acceso a la citada web habiendo acreditado que disponen de un formulario para recabar datos personales y de un aviso legal en el que se hace constar que la denominación social de la entidad es EUROSL.SL, así como la dirección postal y de correo electrónico. En el apartado 2 se da información sobre los tratamientos de datos personales, se indica quien es responsable del fichero y la finalidad con la que se tratan los datos. No se observa que se especifique el procedimiento para ejercitar los derechos ARCO. TERCERO: Solicitada información a la entidad EUROSL.SL. Los responsables de la web manifiestan que la entidad responsable de la misma es GESTIÓN Y TRANSMISIÓN DE SOCIEDADES EXPANSIÓN, S.L. (en lo sucesivo el denunciado) con CIF ***CIF.
- Esta entidad cuenta con dos socios y una trabajadora y se dedica a la trasmisión de sociedades mercantiles a empresarios y emprendedores. El formulario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 de contacto sirve para recabar datos de los interesados y contactar con ellos. La mayoría de los clientes les llama por lo que muy pocos cumplimentan el formulario. Una vez contactado con el cliente se envía por correo o se le llama dando información de sus tarifas, los datos aportados en los formularios no se almacenan en lugar alguno, no disponen de fichero ni base de datos de contactos, por este motivo no informan de la identidad y dirección del responsable del fichero. CUARTO: Con fecha 27 de marzo de 2018 se ha comprobado que en el aviso legal de la compañía han eliminado la información facilitada sobre protección de datos pero mantienen el formulario para recabar datos de los clientes e interesados. QUINTO: Consultada el 5/04/2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado no le constan registros previos. SEXTO: Con fecha 30/04/2018 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…Que esta parte ha tomado conciencia de la necesidad de dar cumplimiento a la normativa vigente, y en especial a la entrada en vigor el próximo 25 de mayo del Reglamento, y a los efectos de adecuarnos a la legalidad y viendo que se nos indica en la alegación cuarta, que sí que hemos eliminado la información facilitada sobre protección de datos pero mantenemos el formulario para recabar datos de los interesados, es por ello que consideramos que debemos modificar varias cosas en nuestra web y sistema de trabajo para que a partir del 25 de mayo todo esté correcto. Hemos pensado en añadir un recuadro en el formulario de contacto que indique lo siguiente: Sí, acepto expresamente y estoy de acuerdo con los términos y condiciones del aviso legal de GTS y autorizo el tratamiento de mis datos por parte de GTS con fines comerciales y de contratación. El cliente no podrá enviarnos ningún dato sin marcar positivamente la casilla y al clicar en la parte subrayada se le abrirá automáticamente nuestro aviso legal, que contendrá un nuevo apartado que dirá lo siguiente…>> SEPTIMO: Con fecha 14/05/2018 se accede a la web del denunciando en la que se comunica: <<…
- Política de privacidad Cuando Vd. a través de nuestra web, en el formulario de contacto marca la casilla correspondiente, o a través de correo electrónico, nos envía datos de carácter personal, nos está autorizando a que incorporemos dichos datos a un fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 propiedad de GTS, Gestión y Transmisión de Sociedades Expansión, S.L. provista de CIF ***CIF.1, con domicilio en (C/...1), provista de tf. ***TELF.1, ***EMAIL.1 De conformidad con el art.13 del Reglamento (UE) del Parlamento Europeo y del Consejo de 27 de abril de 2016, le informamos que sus datos personales serán tratados de manera lícita, leal y transparente e irán destinados únicamente a facilitarle información sobre los productos que se ajustan a sus necesidades en función de la petición que Vd. nos realiza a través del formulario de contacto. GTS recaba sus datos de carácter personal porque son necesarios para contratar nuestros productos. GTS se compromete a mantener el carácter confidencial de los datos de carácter personal que recabe adoptando las medidas que resulten precisas para evitar la alteración, pérdida, tratamiento o acceso no autorizados. Sus datos no serán destinados a terceros, únicamente formarán parte de un fichero interno de GTS, formando parte de nuestros archivos una vez finalizado el negocio jurídico durante un plazo máximo de 5 años, en todo caso con fines estadísticos y comerciales a fin de ofrecerle nuevos productos. Vd. en todo momento, podrá solicitar a GTS, el acceso, la rectificación, oposición o supresión de dichos datos, mediante escrito dirigido a Gestión y Transmisión de Sociedades Expansión, (C/...1). Así mismo, le informamos que en el caso de que entienda que el tratamiento de datos por parte de GTS no ha sido leal o transparente, o no se ha cumplido con lo indicado en el presente apartado, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de datos.” La web contiene un formulario de recogida de datos que contiene la siguiente leyenda precedida de una casilla sin marcar “Acepto recibir publicidad de GTS” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo
- g) en relación con el artículo 36 de la LOPD. II Los hechos expuestos (que la citada web tenga formularios de recogida de datos personales pero no informen del art. 5 de la LOPD) supone por parte del denunciado una infracción del artículo 5 de la LOPD que señala que: “
- Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” Infracción tipificada como leve en el artículo 44.2.c) de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado” III El artículo 45.6 de la LOPD, indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Teniendo en cuenta que en el presente supuesto se cumplen los requisitos recogidos en los apartados a) y b) del citado apartado 6 y el denunciado no tiene como actividad principal el tratamiento de datos, se aplica el procedimiento de apercibimiento. En el presente caso, ha quedado acreditado que el denunciado ha incluido una clausula informativa que cumple con las exigencias del artículo 5 de la LOPD, por lo que no procede requerimiento alguno. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Para adecuarse al art. 13 del Reglamento Europeo 2016/679 deberá indicar todos los derechos que se recogen en el art. 13.2.b) y deberá informar a los usuarios que el consentimiento que preste para el tratamiento de sus datos con fines publicitarios podrá ser revocado en cualquier momento. Así las cosas teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el archivo del presente procedimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00151/2018) a GESTION Y TRANSMISION DE SOCIEDADES EXPANSIÓN, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.c) de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a GESTION Y TRANSMISION DE SOCIEDADES EXPANSIÓN, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es