← España

A-00212-2013

1/7 Procedimiento Nº: A/00212/2013 RESOLUCIÓN: R/02012/2014 En el procedimiento A/00212/2013, instruido por la Agencia Española de Protección de Datos a la entidad LATINTRAVEL-ESPAÑA SL, vista la denuncia presentada por AREA DE GOBIERNO DE SEGURIDAD Y EMERGENCIAS (SERVICIO DE INSPECCION DE CONSUMO) y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24/05/13 tienen entrada en esta Agencia Española de Protección de Datos (AEPD) oficio del Director General del Instituto Municipal de Consumo del Ayuntamiento de Madrid con el texto siguiente: <<< En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores que realiza el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha efectuado en 2012 dos campañas de inspección de establecimientos que prestan el servicio de envío de dinero al exterior. Con posterioridad a las visitas de inspección realizadas y de los requerimientos efectuados para la aclaración o documentación de las cuestiones que así lo requerían, se han analizado las condiciones de contratación utilizadas por los 23 prestadores inspeccionados, labor que ha permitido identificar diversos incumplimientos de la normativa de protección de los consumidores. Junto a tales incumplimientos, el análisis de las condiciones contractuales o cláusulas de privacidad de estos prestadores revela los siguientes tipos de irregularidades en materia de protección de datos:

  1. a)Incumplimiento de obligaciones de información previa en el momento de la recogida de datos.
  2. b)Previsión de finalidades adicionales a la de ejecución de la transferencia contratada sin consentimiento expreso del afectado.
  3. c)Cesión de datos, al margen de la ejecución del contrato, sin consentimiento previo del afectado.
  4. d)Previsión de envío de comunicaciones comerciales sin contar con el consentimiento inequívoco del afectado. A este escrito se acompañan: • Anexo 1, en el que se relacionan los documentos contractuales de los prestadores, cuya copia se adjunta con su respectivo número de identificación. • Anexo II, en el que se detalla el alcance de las presuntas irregularidades respecto de cada uno de los prestadores que se considera vulneran la legislación de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Correspondiendo a esa Agencia velar por el cumplimiento de la legislación sobre protección de datos y controlar la aplicación de la misma, se da traslado de las incidencias detectadas, ya que todos los prestadores inspeccionados están incluidos en el ámbito de aplicación establecido por el art. 2.1 de la Ley Orgánica 15/1999. Por último, se solicita información acerca de las actuaciones que deriven de la presente remisión, así como de los incumplimientos normativos constatados por la Agencia en el caso de que resuelva ejercer su potestad sancionadora frente a las empresas indicadas. >>> SEGUNDO: Junto a dicho oficio se adjuntan los documentos aportados por las diversas empresas y las irregularidades observadas en ellos. Respecto a Latintravel las irregularidades detectadas en materia de protección de datos han sido relacionadas en varios apartados, que a continuación se detallan: C) Cesión de datos, al margen de la ejecución del contrato, sin consentimiento previo del afectado. - Literal “ El cliente acepta que sus datos puedan ser cedidos también a otras entidades del grupo “Latin Travel” con la finalidad de mejorar el servicio de gestión de transferencias con el exterior” (documento contractual) - Observaciones La cesión de datos sin consentimiento previo expreso del afectado sólo cabe en el supuesto que establece el art. 11.1 de la LOPD La cláusula transcrita excede del ámbito propio de la ejecución de la orden de pago, por lo que la cesión de datos sin consentimiento previo expreso del afectado constituye infracción muy grave en materia de protección de datos” TERCERO: Con fecha 24/2/14, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00212/2013. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 13/3/14, se presenta, por la representante legal de la entidad LATIN TRAVEL escrito de alegaciones en contestación al Trámite de Audiencia reconociendo que se ha incurrido en la infracción descrita, aunque no se ha sacado provecho económico de dicha información ni los datos se han utilizado para cuestiones ajenas a la prestación de los servicios contratados por sus clientes. Se manifiesta así mismo que se han corregido las infracciones detectadas, rectificando las cláusulas informativas de protección de datos en los documentos contractuales. QUINTO: Por el instructor del procedimiento se solicita, con fecha 11/6/13, que por parte de la entidad se remita copia del documento “cláusula contractual” con las modificaciones efectuadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Por parte LATIN TRAVEL se remite, con fecha, 6/8/14 copia del documento donde consta la cláusula rectificada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El art 5 de la LOPD recoge el principio de la información en la recogida de los datos personales, constituyendo uno de los principios de la protección de los datos, y manifiesta lo siguiente: 5.1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  6. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  7. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  8. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  9. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  10. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante, La infracción del artículo 5 está tipificada como leve en el artículo 44.2.
  11. c)de la LOPD, que considera como tal:”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.”. La exigencia de esta información en la recogida de los datos que regula este artículo constituye un derecho del afectado que es objeto de protección por sí mismo aunque es también un complemento previo de la prestación del consentimiento. De esto se deduce que dada la necesidad de que el interesado sea previamente informado, su omisión puede determinar un vicio de consentimiento. La LOPD reconoce, junto al deber de información, el momento en que se ha de informar al interesado y el contenido de dicha información. La recogida de datos se puede definir como la comunicación de los datos por el interesado al responsable del fichero o la obtención de dichos datos por otros medios distintos del propio afectado. Los procedimientos en la recogida de datos pueden ser diversos; declaraciones o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 formularios – como el caso que nos ocupa -, encuestas o entrevistas, transmisión electrónica, páginas web… En el artículo 5.2 de la LOPD se establece lo siguiente: “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior” Este apartado hace una referencia expresa a los supuestos en que para la recogida de datos se utilicen impresos o cuestionarios estandarizados, remarcándose la necesidad de que el interesado sea informado realmente de dichos extremos, al disponer que en dichos impresos debe figurar en forma legible las advertencias a las que se refiere el apartado 5.1 Debe tenerse en cuenta lo dispuesto en el art. 15 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LO 15/1999, relativo a la Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma, el cual establece que: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración de un contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Se refiere este último artículo a la solicitud de consentimiento en el marco de una relación contractual para fines no relacionados directamente con el tratamiento necesario por relación de dicha relación contractual. Estableciéndose la obligación de hacer posible en el propio documento contractual, o a través de un procedimiento equivalente, la oposición a las finalidades del tratamiento no relacionadas directamente con el tratamiento necesario por razón del contrato. Por consiguiente, no resulta aceptable que las cláusulas por la que se solicita el consentimiento para fines no relacionados con la relación contractual, se incorporen al contenido esencial del contrato, haciendo imposible la oposición al tratamiento si no es a través de la negativa a contratar. Dicho problema puede solucionarse habilitando una casilla cuya marcación implique la oposición al tratamiento. Debiendo el titular de los datos conservar copia del contrato, único documento acreditativo de que efectivamente se ha opuesto Por otra parte, con relación a la cesión de los datos a sociedades pertenecientes o vinculadas a la denunciada, según se recoge en el documento contractual de LATINTRAVEL: “ El cliente acepta que sus datos puedan ser cedidos también a otras entidades del grupo “Latín Travel” con la finalidad de mejorar el servicio de gestión de transferencias con el exterior” (documento contractual); debe tenerse en cuenta que e art. 11.3 de la LOPD establece “Será nulo el consentimiento para la comunicación de datos de carácter personal a un tercero, cuando la información que se facilite al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 interesado no permita conocer la finalidad a la que se destinaran los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretendan comunicar”. A su vez, con relación a esta cuestión el art. 12.2 del citado RD 1720/2007 establece “Cuando se solicite el consentimiento del afectado para el tratamiento de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” III En este caso se ha podido comprobar que la entidad LATINTRAVEL recoge en su documento contractual una cláusula que excede el ámbito propio de la ejecución de una orden de pago y que implica una cesión de datos, al margen de la ejecución del contrato, sin consentimiento previo del afectado y sin que le sea imposible oponerse al mismo. Dicha circunstancia supone una vulneración del art. 5 de la LOPD, en relación con el art. 15 el RD 1720/2007, en la medida en que se establecía la posibilidad de envío de información comercial, así como una cesión de datos para al margen de la ejecución del contrato, sin consentimiento previo del afectado. IV El artículo 44.2.
  12. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad denunciada ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita No obstante, con fecha 13/3/14 tiene entrada en esta Agencia escrito de la representante de la entidad LATIN TRAVEL ESPAÑA S.L. manifestando que se ha procedido a cambiar la cláusula informativa que en el documento contractual, aportándose en el mismo escrito las modificaciones realizadas . Observando que con las nuevas cláusulas informativas LATIN TRAVEL no solicita el tratamiento para el consentimiento para el tratamiento de los datos de los afectados con fines publicitarios, ni para la cesión de los mismos. Es decir no solicita ningún consentimiento para fines no relacionados no directamente con la relación contractual. Por consiguiente con dichas modificaciones en la cláusula informativa del documento contractual se entiende cumplido con lo dispuesto en el art. 5 LOPD, V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  13. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  14. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  15. a)y
  16. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. VI Cabe señalar por otra parte que, durante la tramitación de este procedimiento, ha quedado acreditado que la entidad denunciada ha procedido a cambiar la cláusula informativa en el documento contractual En consecuencia, no son necesarias medidas correctoras adicionales por lo que se debe proceder a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución por una parte a LATIN TRAVEL ESPAÑA S.L. a AREA DE GOBIERNO DE SEGURIDAD Y EMERGENCIAS (SERVICIO DE INSPECCION DE CONSUMO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.