← España

A-00179-2016

1/15 Procedimiento Nº: A/00179/2016 RESOLUCIÓN: R/01872/2016 En el procedimiento A/00179/2016, instruido por la Agencia Española de Protección de Datos a la entidad SERVIOCIO, MADRID SUR S.L., y ALTAFIT GRUPO DE GESTION S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 25/06/2015, tiene entrada en esta Agencia una denuncia de A.A.A., declarando que ha recibido por correo una carta promocional de la empresa SERVIOCIO MADRID SUR, S.L., en la que le solicitan el consentimiento para tratar sus datos personales en unas determinadas condiciones y fines, y que si no muestra oposición en un plazo determinado se entendería otorgado tácitamente. Añade que desconoce el origen de los datos obtenidos y no figura sede física para ejercitar los derechos Aporta copia de carta de 4/05/2015 de SERVIOCIO MADRID SUR SL indicando ”estimado abonado”, informándose que están llevando a cabo una revisión y verificación de exactitud de datos para actualizarlos para ofrecer todos los servicios que puedan ser de interés. En el reverso se contiene: “En cumplimiento de la legislación vigente sobre protección de datos de carácter personal, el abonado y/o usuario (“el abonado”) autoriza que sus datos personales se incorporen a los ficheros propiedad de SERVIOCIO, MADRID SUR S.L., que tienen como finalidad el mantenimiento de la relación comercial, prestación de servicios deportivos, análisis y formación de perfiles, y la realización de acciones comerciales, de promoción y/o marketing por cualquier medio (incluidos los electrónicos, que expresamente consiente), relacionadas con su objeto social, y otras relacionadas con los sectores del ocio, salud, bienestar, comunicaciones, finanzas y banca, formación, gran consumo, transporte, seguros, inmobiliario y otros servicios de valor añadido. A estos efectos, el abonado presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el grupo SERVIOCIO y a las administraciones públicas competentes, incluyendo la titular del servicio público, basándose por notificado de tales cesiones.” A continuación figura un recuadro para marcar, con la leyenda al lado” No consiento el tratamiento o comunicación de datos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. Se indica que se pueden ejercitar los derechos ARCO, ante SERVIOCIO MADRID SUR SL, pero no la dirección de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 No consiento el tratamiento o comunicación de datos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. Queda bajo la exclusiva responsabilidad del abonado la notificación de cualquier modificación en sus datos personales. El abonado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición a través de la recepción de cualquier centro deportivo o mediante escrito dirigido a SERVIOCIO, MADRID SUR S.L., adjuntando acreditación de su identidad.” En la carta se le informa que de transcurrir el plazo de 30 días sin manifestar lo contrario, entienden que presta el consentimiento tácito para los tratamientos de datos indicados Además, la carta contiene una promoción comercial válida hasta el 20/05/2016 para abonos individuales y familiares, presentando el cupón que contiene en “tu centro deportivo y la matricula costará solo 1 euro.” “Promoción válida hasta el 20/05/2015 para abonos individuales y familiares. Consulta bases de la promoción en tu centro deportivo” El denunciante declara que no reconoce haber proporcionado los datos a dicha entidad y no puede oponerse al tratamiento de datos ya que no figura la dirección de la sede para el ejercicio de derechos. Por si pudiera guardar relación con SERVIOCIO, manifiesta que el 11/12/2014 recibió un correo electrónico del gimnasio ALTAFIT al que estuvo acudiendo un tiempo. Aporta copia del correo en el que le solicitan una encuesta de los servicios ofrecidos por el citado gimnasio. En el pie del correo figura que los datos utilizados para la realización de esta campaña tienen su origen en el fichero CLIENTES Y/O PROVEEDORES del que es titular la entidad ALTAFIT GRUPO DE GESTIÓN SL. En el correo figura la sede para ejercitar los derechos y un apartado para “desuscribirse”. Manifiesta que solicitó la cancelación de sus datos y sin embargo ha recibido el citado correo. En la hoja justificativa pide la baja del gimnasio y la eliminación de base de datos, figura firmada por el denunciante, a 7/05/2012, con el sello de ALTAFIT GIMNASIOS, ALTAVAC GLOBAL SERVICE SL, en c / E.E.E. 24, cif B 863, en el literal informativo de protección de datos se contiene que el responsable del fichero es ALTAVAC GLOBAL SERVICES SL, razón social de ALTAFIT PARQUESUR. El contenido del correo es una encuesta de valoración respondiendo a cuatro preguntas que no se visionan, debiendo hacer clik en un aparatado para responder, supuestamente ahí se verían las preguntas. La dirección de correo electrónico a la que se manda la encuesta de valoración es la misma que figuraba en la hoja de petición de eliminación de datos. Añade que a esta entidad dejó de autorizarle el uso de sus datos. SEGUNDO: Con fecha 21/09/2015, se obtiene del Registro Mercantil de la web los datos de: -ALTAFIT GRUPO DE GESTION SL, cif b84…, domicilio social C/ E.E.E. Madrid -SERVIOCIO MADRID SUR SL, cif 70…, domicilio social c/ B.B.B., D.D.D.. TERCERO: Se solicita a SERVIOCIO, MADRID SUR, S.L que aporte copia de los datos que disponga del denunciante, origen de los mismos y copia de la relación que acredite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 la relación. Con fecha 27/10/2015, se recibe en esta Agencia escrito de respuesta indicando: 1.

  1. El denunciante se inscribió en las instalaciones deportivas de la Universidad Carlos III, gestionadas por SERVIOCIO, MADRID SUR, S.L. Los datos aportados utilizados en el envío son los aportados por el denunciante en la hoja de inscripción cuya copia se adjunta, suscrita por él, con fecha 25/03/
  2. Se observa que en la hoja no figura información alguna relativa al artículo 5 de la LOPD, ni fines u objeto del tratamiento. Tampoco consta que se otorgue el consentimiento para tratamiento de datos ajenos a la relación establecida, en concreto para envíos promocionales o comerciales. 1.
  3. Reconocen que la carta objeto de envío por correo postal fue llevada a cabo por SERVIOCIO para regularizar su base de datos. Indican que en la carta enviada al denunciante de fecha 4/05/2015, figura una cláusula en la que le solicitan el consentimiento para el tratamiento de sus datos con fines, entre otros, publicitarios, existiendo la posibilidad de oponerse en el plazo de 30 días. 1.
  4. Indica que los datos del denunciante y su dirección aparecen en una página web, aportando copia de impresión de unibrander.com sin que figure la fecha de obtención, que podría corresponderse con su participación en algún evento deportivo. Se contiene nombre y apellidos y dirección que coinciden con la de la carta. CUARTO: Consultada la base de datos de anotaciones de sanciones o apercibimientos de la Subdirección General de Inspección de la AEPD, a ALTAFIT GRUPO DE GESTION SL y a SERVIOCIO MADRID SUR SL no le constan antecedentes. QUINTO: Con fecha 28/04/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento A/00179/2016 a: -SERVIOCIO, MADRID SUR S.L., por la infracción de los artículos 5.1 y 6.1 de la LOPD tipificadas como leve y grave en los artículos 44.2.c) y 44.
  5. b) de la LOPD. -ALTAFIT GRUPO DE GESTION S.L., por la infracción del artículo 6.1 de la LOPD tipificada como grave en el artículo 44.
  6. b) de la LOPD. SEXTO: Notificado el acuerdo de inicio, mediante escrito de fecha 11/05/2016, ALTAFIT solicita copia del expediente que le es remitido. Con fecha 24/05/2016 SERVIOCIO reitera lo manifestado, y añade: 1) No tiene relación alguna con la empresa ALTAFIT. El derecho de cancelación que el denunciante ejercitó ante la misma no les afecta a ellos. No consta solicitud expresa de baja del usuario de las instalaciones deportivas de la Universidad Carlos III, y por tanto si no existe cancelación de datos, la relación negocial continúa. Adicionalmente, en el envío se aprovechaba para desarrollar acciones de potenciación y recuperación de abonados ofreciéndoles unas condiciones ventajosas en caso de que se matriculasen en un centro gestionado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 por SERVIOCIO abonando solo un euro de matrícula. 2) Manifiesta que el día que el denunciante firmó la referida hoja de inscripción, esta incluía una cláusula de LOPD que a día de hoy no está operativa, pues fue sustituida por la que obra en el reverso de la carta enviada al denunciante el 4/05/2015 objeto de esta denuncia. (No aporta la cláusula anterior). Manifiesta que esta nueva clausula es conforme al artículo 5 de la LOPD. 3) La nueva clausula otorgaba un plazo de 30 días para que los usuarios pudieran oponerse al tratamiento de sus datos, al que el denunciante no se opuso. 4) Acompaña la misma hoja que aportó en previas, folio 49, en el que no figura literal informativo de la recogida y uso de los datos. 5) Manifiesta que ha cumplidos las medidas de rectificar la cláusula LOPD implementando los tres procedimientos sencillos y gratuitos para poder ejercitar los derechos ARCO, así como se informa de la finalidad y por quien van a ser tratados los datos. No aporta el nuevo modelo redactado para verificar que se ajuste a la LOPD. SÉPTIMO: De la empresa ALTAFIT no se recibieron alegaciones. HECHOS PROBADOS 1) El denunciante denuncia que ha recibido una carta en su domicilio cuya copia aporta, que contiene sus datos, lleva fecha 4/05/2015 y figura en el encabezamiento SERVIOCIO, MADRID SUR S.L. El denunciante indica que desconoce esta empresa y haberle dado sus datos, y que la cláusula informativa no es correcta. En el frontal de la carta figura una información comercial del literal “En SERVIOCIO no nos olvidamos de nuestros clientes y por eso queremos obsequiarte”: se refiere a la promoción de matrícula por 1 euro hasta el 20/05/2015 con la presentación del cupón que figura: Debajo de dicho cupón consta: “Queremos infórmale que estamos llevando a cabo una revisión y regularización interna de nuestros datos para verificar su exactitud y actualizarlos, así como para atender mejor sus necesidades y ofrecer, desde SERVIOCIO MADRIR SUR SL toda la información de nuestros servicios que puedan ser de su interés. A tal efecto adjuntamos en el reverso la nueva clausula aplicable. En caso de que en un plazo de 30 días no nos manifieste lo contrario entenderemos que presta su consentimiento tácito para los tratamientos de los datos indicados, según dispone la legislación aplicable” En el reverso figura; En cumplimiento de la legislación vigente sobre protección de datos de carácter personal, el abonado y/o usuario (“el abonado”) autoriza que sus datos personales se incorporen a los ficheros propiedad de SERVIOCIO, MADRID SUR S.L., que tienen como finalidad el mantenimiento de la relación comercial, prestación de servicios deportivos, análisis y formación de perfiles, y la realización de acciones comerciales, de promoción y/o marketing por cualquier medio (incluidos los electrónicos, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 expresamente consiente), relacionadas con su objeto social, y otras relacionadas con los sectores del ocio, salud, bienestar, comunicaciones, finanzas y banca, formación, gran consumo, transporte, seguros, inmobiliario y otros servicios de valor añadido. A estos efectos, el abonado presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el grupo SERVIOCIO y a las administraciones públicas competentes, incluyendo la titular del servicio público, basándose por notificado de tales cesiones.” A continuación figura un recuadro para marcar, con la leyenda al lado” No consiento el tratamiento o comunicación de datos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. Se indica que se pueden ejercitar los derechos ARCO, ante SERVIOCIO MADRID SUR SL, pero no la dirección de la misma. 2) Los datos del denunciante figuran en los sistemas de SERVIOCIO al cumplimentar el mismo el 28/03/2015 la hoja de inscripción como socio para el uso de instalaciones deportivas UNIVERSIDAD CARLOS III. La citada hoja de inscripción no contiene información alguna sobre el tratamiento y uso de los datos que se proporcionaban.

(49). Tampoco la denunciada acredita haber entregado al afectado la información y el contenido de la misma. Los datos del denunciante se conservaron y almacenaron por la denunciada en una base de datos según SERVIOCIO manifiesta
(19). La carta recibida no guarda relación con el mantenimiento y desarrollo de la relación contractual, al ofrecer una promoción comercial ventajosa hasta el 20/05/2015 consistente en abonar solo un euro de matrícula.
(4)en “tu centro deportivo” y la denunciada no acredita el consentimiento para la finalidad del envío promocional-comercial de la carta de 4/05/2015 que denuncia el denunciante y que se contiene en la misma. El envío de 4/05/2015 de SERVIOCIO en el reverso, además, pretende informar de finalidades adicionales a la mera relación contractual relacionada con servicios (4, 5, 52) entre los que se encuentran las acciones comerciales cuando al mismo tiempo la carta en sí contiene un envío comercial (4, 5). En la cláusula informativa no consta la dirección a la que ha de dirigirse el afectado para mostrar su negativa.
(5). No es correcta la cláusula informativa relativa a la información sobre la obtención de consentimiento que indica: “El abonado presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el GRUPO SERVIOCIO” en esta ocasión, no concreta ni permite identificar a los posibles cesionarios en los términos indicados en el artículo 11.3 de la LOPD ya que no indica el tipo de actividad de las empresas del Grupo. Pese a contenerse una casilla para marcar el no consentimiento para finalidades que no guarden relación con el tratamiento desarrollo o control de la relación contractual, no se indica la dirección a la que se ha de mandar la respuesta. 3) El denunciante pone de manifiesto que recibió el 11/12/2014 un correo electrónico a su dirección C.C.C.@gmail.com titulado “Encuesta valoración servicios ALTAFIT”. En el literal informativo de los datos consta que proceden del fichero CLIENTES y /o PROVEEDORES titularidad de ALTAFIT GRUPO DE GESTION SL
(6). No consta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 que el denunciante diera a esta entidad sus datos y la entidad no acredita contar con el consentimiento para su tratamiento. Sí que se acredita que el denunciante entregó una solicitud de eliminación de sus datos a la entidad ALTAVAC GLOBAL SERVICE SL, el 7/05/2012 que tiene relación con los gimnasios ALTAFIT, y el domicilio social también en c/ E.E.E. 24 de Madrid (1, 2, 6, 7, 10). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a SERVIOCIO la comisión de una infracción del artículo 6.1 de la LOPD que señala: “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
  2. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 7 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, señala que “Los Estados miembros dispondrán que el tratamiento de los datos personales sólo pueda efectuarse si:
  3. a)el interesado ha dado su consentimiento de forma inequívoca”. Este criterio se recoge en la Ley Orgánica 15/1999, donde define el consentimiento en el 3
  4. h)señalando que es “toda manifestación de voluntad, libre, inequívoco, específico e informado.” Del concepto de consentimiento se desprende la necesaria concurrencia para que el mismo pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto. Un adecuado análisis del concepto exigirá poner de manifiesto cuál es a juicio de esta Agencia la interpretación que ha de darse a estas cuatro notas características del consentimiento, tal y como la misma ha indicado en numerosas Resoluciones, siguiendo a tal efecto los criterios sentados en las diversas recomendaciones emitidas por el Comité de Ministros del Consejo de Europa en relación con la materia que nos ocupa. A la luz de dichas recomendaciones, el consentimiento habrá de ser:
  5. a)Libre, lo que supone que el mismo deberá haber sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15
  6. b)Específico, es decir referido a un determinado tratamiento o serie de tratamientos concretos y en el ámbito de las finalidades determinadas, explícitas y legítimas del responsable del tratamiento, tal y como impone el artículo 4.2 de la Ley Orgánica 15/1999.
  7. c)Informado, es decir que el afectado conozca con anterioridad al tratamiento la existencia del mismo y las finalidades para las que el mismo se produce. Precisamente por ello el artículo 5.1 de la Ley Orgánica impone el deber de informar a los interesados de una serie de extremos que en el mismo se contienen así señala que “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  8. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  9. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  10. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  11. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  12. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”
  13. d)Inequívoco, lo que implica que no resulta admisible deducir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento. A fin de garantizar el carácter libre del consentimiento del afectado el artículo 15 del RLOPD determina que se habilite al mismo la posibilidad de no prestar dicho consentimiento en el propio modelo de solicitud mediante el establecimiento de un medio sencillo, como sería la marcación de una casilla. Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la Audiencia Nacional de 8/11/2012 -recurso nº. 789/2010-) ligándolo con los posibles responsables de las infracciones que se determina en el artículo 43.1 de la LOPD con el literal: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” La LOPD define en su artículo 3: Tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”, y Responsable del fichero o tratamiento: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Asimismo, el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo, a diferencia de la hoy derogada Ley Orgánica 5/1992, de 29/10, de Regulación del Tratamiento Automatizado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 de los Datos de carácter personal, que sólo se refería a finalidades “legítimas”, que las mismas sean “determinadas, explícitas y legítimas”. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30/11, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “ el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad especifica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con estos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de estos, pues solo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” Sobre los datos personales del denunciante recabados en su momento por SERVIOCIO, cabe indicar que no se acredita por la denunciada que se dieran para el uso de envíos promocionales, de publicidad o prospección comercial, y la carta recibida contenía elementos de dicho tipo, ajenos a lo que podría ser la obtención del consentimiento para el desenvolvimiento de la relación contractual y no necesaria para su mantenimiento. Por consiguiente, el consentimiento otorgado para el tratamiento de los datos de carácter personal en relación con una concreta relación contractual no autoriza al responsable del fichero a realizar actos de tratamiento de tales datos ajenos a la finalidad para la que se prestó aquel consentimiento. Se acredita que SERVIOCIO ha infringido lo dispuesto en el artículo 6.1 de la LOPD con el envío de la carta objeto de la denuncia. III La infracción cometida por SERVIOCIO aparece tipificada en el artículo 44.3.
  14. b)de la LOPD que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 SERVIOCIO trató los datos personales de la denunciante sin su consentimiento por lo que se ha vulnerado el principio del consentimiento. IV Se imputa a SERVIOCIO una infracción del artículo 5.1 de la LOPD. El deber de información al afectado aparece regulado en la LOPD por su artículo 5, cuyo apartado 1, aplicable al supuesto de recogida de datos del propio afectado, como sucedería en este caso, establece: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  15. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  16. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  17. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  18. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  19. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” El artículo 14 del RLOPD indica: “1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este Reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado.” El artículo 11.3 de la LOPD, que señala al respecto: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. También guarda relación con la cláusula informativa, el tratamiento, su finalidad y la cesión de los datos del afectado, lo referido al artículo 12.2 del RLOPD con el siguiente tenor: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” La cláusula que se contiene en el envío denunciado, adolece de los siguientes defectos: A-No consta la dirección a la que se ha de mandar la respuesta. B- Se detecta que se prevé la cesión con los mismos fines inespecíficos señalados, a entidades que se desconoce, “Sociedades que en cada momento integren el grupo SERVIOCIO.” Y que el afectado no tiene la obligación de conocer, sino que además, se han de concretar el tipo de actividad de las entidades a las que se cederán sus datos. V La infracción cometida por la denunciada aparece tipificada en el artículo El artículo 44.2.
  20. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 personal cuando los datos sean recabados del propio interesado.” VI Se imputa a ALTAFIT GRUPO DE SERVICIOS SL la comisión de una infracción del artículo 6.1 de la LOPD que señala: “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. No se acredita que la denunciada dispusiera del consentimiento del denunciante para recibir un correo electrónico fechado el 11/12/2014 y en relación con una encuesta de satisfacción sobre los servicios del gimnasio ALTAFIT. La dirección de correo electrónico del denunciante según este manifiesta no se entregó a la denunciada con la que el denunciante declaró no mantener relación alguna. Además, figura probado que dicha dirección se proporcionó a otra entidad del Grupo. La dirección de correo electrónico del denunciante resulta coincidente con la que sí que proporcionó en su día a otra entidad que guarda relación con el mismo grupo empresarial ALTAFIT, si bien había pedido el 7/05/2012 la cancelación de sus datos. Existiendo tratamiento de datos del denunciante, corresponde a la entidad responsable del fichero que obra en el mismo envió, ALTAFIT GRUPO DE SERVICIOS SL, la acreditación de haber obtenido el consentimiento del afectado o acreditar que concurre alguna causa que habilite el tratamiento de sus datos sin dicho consentimiento, la denunciada nada ha manifestado a lo largo del presente procedimiento. VII La infracción de ALTAFIT GRUPO DE SERVICIOS SL es de carácter grave incluida en el artículo 44.3.
  21. b)de la LOPD que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VIII El apartado 6 del artículo 45 de la LOPD, indica: “6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  22. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15
  23. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Los criterios a que se refiere del apartado anterior se infieren del artículo 45.5 de dicha LOPD, artículo que está previsto para la aplicación de la reducción del grado de la sanción, y que indica: “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Teniendo en cuenta que en el presente supuesto se cumplen los requisitos recogidos en los apartados
  29. a)y
  30. b)del citado apartado 6, y que las denunciadas no tienen como objeto social ni como actividad principal el tratamiento de datos, se aplica el procedimiento de apercibimiento. IX En cuanto a las medidas correctoras a imponer a las denunciadas, finalidad del procedimiento de apercibimiento se ha de tener en cuenta: A) Respecto SERVIOCIO: a. La denunciada deberá certificar la cancelación de datos del denunciante de su base de datos para envíos promocionales, de prospección o acciones comerciales. b. Respecto de la cláusula que se contenía en la carta denunciada, la denunciada deberá certificar que o bien ya no se utiliza, o se ha modificado conteniendo los requisitos de validez examinados en esta resolución, aportando copia de la misma. B) Respecto ALTAFIT: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 a. La denunciada deberá certificar que los datos del denunciante no figuran en su fichero. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00179/2016) a SERVIOCIO, MADRID SUR S.L. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, por la denuncia de la infracción de los artículos 6.1 y 5.1 de la LOPD, tipificadas como grave y leve en los artículos 44.3.
  31. b)y 44.2.
  32. c)de la citada Ley Orgánica. 2.- REQUERIR a SERVIOCIO, MADRID SUR S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que en el plazo de un mes desde este acto de notificación: 2.1.INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando:
  33. a)Certificación de la cancelación de datos del denunciante de su base de datos para envíos promocionales, de prospección o acciones comerciales.
  34. b)Respecto de la cláusula que se contenía en la carta denunciada, deberá certificar que o bien ya no se utiliza, o se ha modificado conteniendo los requisitos de validez examinados en esta resolución, aportando copia de la misma. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/03932/2016, podría incurrir en una infracción del artículo 37.1.
  35. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  36. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  37. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- APERCIBIR (A/00179/2016) a ALTAFIT GRUPO DE GESTION S.L., con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 lo dispuesto en el artículo 45.6 de la LOPD, por la denuncia de la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  38. b)de la citada Ley Orgánica. 4.- REQUERIR a ALTAFIT GRUPO DE GESTION S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que en el plazo de un mes desde este acto de notificación: 4.1.INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando:
  39. a)Certificación de la cancelación de datos del denunciante de su base de datos. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/03932/2016, podría incurrir en una infracción del artículo 37.1.
  40. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  41. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  42. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 5.- NOTIFICAR el presente Acuerdo a SERVIOCIO, MADRID SUR S.L. y a ALTAFIT GRUPO DE GESTION S.L. 6.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.