A-00177-2018

1/10 Procedimiento Nº: A/00177/2018 RESOLUCIÓN: R/01525/2018 En el procedimiento A/00177/2018, instruido por la Agencia Española de Protección de Datos a la entidad IC SOFTWARE, S.L., vista la denuncia presentada por el INSTITUTO MUNICIPAL DE CONSUMO DE MADRID y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de marzo de 2018, tuvo entrada en esta Agencia un escrito del Instituto Municipal de Consumo del Ayuntamiento de Madrid (en lo sucesivo, el denunciante), en el que formula denuncia contra la entidad IC SOFTWARE, S.L. (en lo sucesivo, IC SOFTWARE), titular de la web www.generaltickets.com, por no ofrecer al usuario en el Aviso Legal la posibilidad de oponerse al envío de comunicaciones comerciales a pesar de que la política de privacidad hace constar que aquel “presta su consentimiento expreso”. Además, se denuncia que el usuario de la web www.generaltickets.com solo dispone de una casilla destinada a que acepte expresamente las condiciones generales, pero no se le ofrece otra similar para su aceptación de la política de privacidad. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se obtiene la siguiente información respecto de la página web www.generaltickets.com: 1 Respecto de la identidad del Prestador del Servicio: 1.1. Titularidad de la web: IC SOFTWARE SL 1.2. Información Mercantil: IC SOFTWARE SL, B59094938, C/GRAN VÍA DE CARLES III, 86 7 PLANTA, BARCELONA, 08028 BARCELONA. 1.3 Actividad: Actividades de consultoría informática. 2 Respecto de la recogida de datos de carácter personal y la información ofrecida en el Aviso Legal: 2.1 Se verifica la existencia de un formulario de recogida de datos de carácter personal cuando se desea finalizar una compra en la página web www.generaltickets.com, el cual solicita dirección de e-mail, nombre y apellidos, dirección, código postal, teléfono móvil, sexo, fecha de nacimiento y, en determinados supuestos, número IBAN. Para finalizar la compra exige marcar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 una única casilla con el siguiente texto: “He leído y acepto las Condiciones Generales”. 2.2 En las CONDICIONES GENERALES alojadas en el enlace http://www.generaltickets.com/condicionesgenerales.php consta, entre otras, la siguiente información: “(…) 10) TRATAMIENTO DE DATOS PERSONALES De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, IC SOFTWARE informa al cliente que los datos personales cumplimentados en el presente formulario serán incorporados un fichero del que es responsable la sociedad IC SOFTWARE, S.L., propietaria del Web site ubicado en la URL www.generaltickets.com, y tratados automatizadamente a los efectos de la gestión y cumplimiento de las obligaciones inherentes al trámite de compras y gestión de los servicios propios de IC SOFTWARE, así como para el envío por parte de IC SOFTWARE de comunicaciones comerciales por vía postal o por medios electrónicos, de los servicios que en cada momento ponga a disposición de sus clientes, o del público en general. Los datos bancarios inherentes a la operación de compraventa serán conservados por un periodo de dos años desde la fecha de celebración del evento, con el objeto de poder atender posibles incidencias, reclamaciones o aclaraciones respecto del mismo. Transcurrido este periodo los datos serán eliminados. Asimismo, se informa al cliente sobre la posibilidad de ejercitar los derechos de acceso, rectificación, y cancelación, mediante petición escrita dirigida a IC SOFTWARE, S.L., Edificio Trade - Gran Via Carlos III 86, 7ª Planta, 08028 de Barcelona". 3 Consultada la aplicación de esta Agencia que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, se comprueba que no constan registros previos asociados a la entidad IC SOFTWARE, S.L. TERCERO: Con fecha 7 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00177/2018 a IC SOFTWARE, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/199, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), por infracción del artículo 5 de esta Ley Orgánica, en relación con el artículo 15 del Reglamento de desarrollo de dicha norma, aprobado por Real Decreto 1720/2007, de 21 de diciembre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 (en adelante, RLOPD), tipificada como leve en el artículo 44.2.

1. c)de la LOPD. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 18 de julio de 2018 se recibe en esta Agencia escrito del denunciado en el que comunica que: - La información que aparece en la web de Generaltickets en el momento de la recogida de datos es la siguiente: “Usamos su información para la prestación de los servicios solicitados. Por favor, consulte el punto 10) TRATAMIENTO DE DATOS PERSONALES de las Condiciones Generales para más información”. Debajo de esta información hay una casilla con la leyenda “Quiero estar informado sobre estrenos, actividades y promociones”. Si el interesado no selecciona expresamente el deseo de recibir información, en ningún caso IC Software enviará publicidad de Generaltickets. - La información accesible al interesado que contiene el punto 10) TRATAMIENTO DE DATOS PERSONALES de las Condiciones Generales, es la siguiente: “De conformidad con lo dispuesto en el Reglamento (EU) 2016/679 Directiva 95/46/CE Reglamento General de Protección de Datos (RGPD) y demás legislación aplicable, IC SOFTWARE informa al cliente que los datos personales cumplimentados en el presente formulario serán incorporados a un fichero del que es responsable la sociedad IC SOFTWARE, S.L., propietaria del Web site ubicado en la URL www.generaltickets.com, y tratados automatizadamente a los efectos de la gestión y cumplimiento de las obligaciones inherentes al trámite de compras y gestión de los servicios propios de IC SOFTWARE, además, estos datos personales también se incorporarán a la base de datos de la entidad propietaria de los servicios solicitados a efectos de consulta ante posibles incidencias con las entradas o servicios contratados. Sus datos no serán compartidos con terceros. En todo momento, podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Para ejercer estos derechos, puede hacerlo mediante un correo electrónico a atencioncliente@generaltickets.com, o bien mediante petición escrita a: IC SOFTWARE, S.L, Edificio Trade, Gran Vía Carlos III, 86 7a Planta, 08028, Barcelona”. - IC SOFTWARE también ofrece toda la información sobre el tratamiento de datos obtenidos a través de la web en el punto 6.3 del AVISO LEGAL situado en la parte inferior de la portada de la web: “6.3. Tratamiento de los datos obtenidos a través del Web. De acuerdo con la normativa vigente en materia de protección de datos así como en materia de servicios de la sociedad de la información y de comercio electrónico, el Usuario acepta que los datos personales aportados en el momento de la contratación de un servicio o el registro, sean incorporados a ficheros titularidad de IC SOFTWARE con la finalidad de facilitar la prestación de los servicios solicitados, además, estos datos personales también se incorporarán a la base de datos de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 propietaria de los servicios solicitados a efectos de consulta ante posibles incidencias con las entradas o servicios contratados. Sus datos no serán compartidos con terceros. En todo momento, podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Para ejercer estos derechos, puede hacerlo mediante un correo electrónico a atencioncliente@generaltickets.com, o bien mediante petición escrita a: IC SOFTWARE, S.L, Edificio Trade, Gran Vía Carlos III, 86 7a Planta, 08028, Barcelona (…)”. QUINTO: Con fecha 3 de agosto de 2018, por la Subdirección General de Inspección de Datos se accede a la página web www.generaltickets.com y se comprueba que: - En el formulario de recogida de datos que se muestra al efectuar una compra, se muestra la leyenda “Usamos su información para la prestación de los servicios solicitados. Por favor, consulte el punto 10) TRATAMIENTO DE DATOS PERSONALES de las Condiciones Generales para más información”. Debajo de esta información, hay una casilla en blanco (sin premarcar) con la leyenda “Quiero estar informado sobre estrenos, actividades y promociones”. - En el punto 10) de las Condiciones Generales, se especifica lo siguiente: “De conformidad con lo dispuesto en el Reglamento (EU) 2016/679 Directiva 95/46/CE Reglamento General de Protección de Datos (RGPD) y demás legislación aplicable, IC SOFTWARE informa al cliente que los datos personales cumplimentados en el presente formulario serán incorporados a un fichero del que es responsable la sociedad IC SOFTWARE, S.L., propietaria del Web site ubicado en la URL www.generaltickets.com, y tratados automatizadamente a los efectos de la gestión y cumplimiento de las obligaciones inherentes al trámite de compras y gestión de los servicios propios de IC SOFTWARE, además, estos datos personales también se incorporarán a la base de datos de la entidad propietaria de los servicios solicitados a efectos de consulta ante posibles incidencias con las entradas o servicios contratados. Sus datos no serán compartidos con terceros. En todo momento, podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Para ejercer estos derechos, puede hacerlo mediante un correo electrónico a atencioncliente@generaltickets.com, o bien mediante petición escrita a: IC SOFTWARE, S.L, Edificio Trade, Gran Vía Carlos III, 86 7a Planta, 08028, Barcelona (…)”. - En el punto 6.3 del “Aviso legal” de la página web, se proporciona la siguiente información: “6.3. Tratamiento de los datos obtenidos a través del Web. De acuerdo con la normativa vigente en materia de protección de datos así como en materia de servicios de la sociedad de la información y de comercio electrónico, el Usuario acepta que los datos personales aportados en el momento de la contratación de un servicio o el registro, sean incorporados a ficheros titularidad de IC SOFTWARE con la finalidad de facilitar la prestación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 de los servicios solicitados, además, estos datos personales también se incorporarán a la base de datos de la entidad propietaria de los servicios solicitados a efectos de consulta ante posibles incidencias con las entradas o servicios contratados. Sus datos no serán compartidos con terceros. En todo momento, podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Para ejercer estos derechos, puede hacerlo mediante un correo electrónico a atencioncliente@generaltickets.com, o bien mediante petición escrita a: IC SOFTWARE, S.L, Edificio Trade, Gran Vía Carlos III, 86 7a Planta, 08028, Barcelona (…)”. HECHOS PROBADOS 1. Con fecha 10 de abril de 2018, se accede a la página web www.generaltickets.com y se comprueba que en el formulario de recogida de datos por el que los usuarios efectúan una compra en la página se muestra la leyenda “He leído y acepto las Condiciones Generales”. Por su parte, en las “Condiciones Generales ” se señala que “De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, IC SOFTWARE informa al cliente que los datos personales cumplimentados en el presente formulario serán incorporados un fichero del que es responsable la sociedad IC SOFTWARE, S.L., propietaria del Web site ubicado en la URL www.generaltickets.com, y tratados automatizadamente a los efectos de la gestión y cumplimiento de las obligaciones inherentes al trámite de compras y gestión de los servicios propios de IC SOFTWARE, así como para el envío por parte de IC SOFTWARE de comunicaciones comerciales por vía postal o por medios electrónicos, de los servicios que en cada momento ponga a disposición de sus clientes, o del público en general. (…) Asimismo, se informa al cliente sobre la posibilidad de ejercitar los derechos de acceso, rectificación, y cancelación, mediante petición escrita dirigida a IC SOFTWARE, S.L., Edificio Trade - Gran Via Carlos III 86, 7ª Planta, 08028 de Barcelona”. 2. Con fecha 3 de agosto de 2018, se accede a la web www.generaltickets.com y se comprueba que se ha modificado el documento “Condiciones Generales”. Este documento ahora señala que los usuarios que quieran ejercitar sus derechos de acceso, rectificación, cancelación y oposición pueden hacerlo mediante un correo electrónico, o bien mediante petición escrita. Además, en la actualidad, al final del formulario de recogida de datos que debe completarse para realizar una compra de entradas, se incorporó una casilla en blanco a fin de que el interesado otorgue su consentimiento para recibir información sobre estrenos, actividades y promociones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se atribuye a IC SOFTWARE, S.L. la comisión de la infracción del artículo 5 de la LOPD, en relación con el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 5 de la LOPD dispone: “Artículo 5. Derecho de información en la recogida de datos. 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
8. c)y
9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (…)” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Por su parte, el artículo 15 del RLOPD establece: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. En el presente caso, para el ejercicio del derecho de oposición al tratamiento de datos con fines publicitarios se ofrecía una dirección postal, impidiendo a los usuarios mostrar su negativa a dicho tratamiento en el momento de la contratación, lo cual infringe el citado artículo 15 del Reglamento de desarrollo de la LOPD. En un entorno como es el online, resulta adecuado con lo preceptuado en este artículo ofrecer a los usuarios la posibilidad de marcar una casilla, o bien, ofrecerles una dirección de correo electrónico para que puedan mostrar su negativa al tratamiento de sus datos con fines publicitarios. La infracción de estos preceptos está tipificada como leve en el artículo 44.2.
10. c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III El apartado 6 al artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 sancionador por dicho incumplimiento”. A este respecto, cabe considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que disponen: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
26. a)y
27. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la ausencia de beneficios y perjuicios distintos de los que derivan propiamente de la infracción, y que la actividad de la denunciada tiene escasa vinculación con la realización de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 tratamientos de datos de carácter personal, al tratarse de una microempresa. IV Al inicio de las presentes actuaciones se verificó que en la página web www.generaltickets.com existían carencias en cuanto al modo de recoger el consentimiento de los afectados para utilizar sus datos personales con finalidades publicitarias, sin habilitar una casilla específica para dar su consentimiento a tal fin ni facilitar una dirección de correo electrónico a fin de oponerse a tal tratamiento, incumpliendo así lo dispuesto con el deber de información que establece el art. 5 de la LOPD arriba transcrito, en relación con el mencionado artículo 15 del RLOPD. No obstante, tras las alegaciones de IC SOFTWARE, se comprobó que la citada página web había adecuado, a las observaciones realizadas por esta Agencia, su documento de “Condiciones Generales” y el formulario de recogida de datos para la compra de entradas, así como su documento “Aviso Legal”. V Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura regulada en el artículo 45.6 de la LOPD, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a esa Agencia una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso, teniendo en cuenta que la entidad denunciada ha subsanado la solicitud del consentimiento del interesado para el tratamiento de sus datos con fines publicitarios, así como las condiciones generales de compra de entradas y el aviso legal de su página web, se entiende que son medidas que impedirían que los hechos se volvieran a producir y, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011), debe acordarse el archivo de las actuaciones de investigación practicadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a IC SOFTWARE, S.L. y al INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es