← España

A-00213-2013

1/6 Procedimiento Nº: A/00213/2013 RESOLUCIÓN: R/01481/2014 En el procedimiento A/00213/2013, instruido por la Agencia Española de Protección de Datos a la entidad SMALL WORLD FINANCIAL SERVICES SPAIN S.A, vista la denuncia presentada por AREA DE GOBIERNO DE SEGURIDAD Y EMERGENCIAS (SERVICIO DE INSPECCION DE CONSUMO) y en virtud de los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 24/05/13 tienen entrada en esta Agencia Española de Protección de Datos (AEPD) oficio del Director General del Instituto Municipal de Consumo del Ayuntamiento de Madrid con el texto siguiente: <<< En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores que realiza el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha efectuado en 2012 dos campañas de inspección de establecimientos que prestan el servicio de envío de dinero al exterior. Con posterioridad a las visitas de inspección realizadas y de los requerimientos efectuados para la aclaración o documentación de las cuestiones que así lo requerían, se han analizado las condiciones de contratación utilizadas por los 23 prestadores inspeccionados, labor que ha permitido identificar diversos incumplimientos de la normativa de protección de los consumidores. Junto a tales incumplimientos, el análisis de las condiciones contractuales o cláusulas de privacidad de estos prestadores revela los siguientes tipos de irregularidades en materia de protección de datos:

  1. a)Incumplimiento de obligaciones de información previa en el momento de la recogida de datos.
  2. b)Previsión de finalidades adicionales a la de ejecución de la transferencia contratada sin consentimiento expreso del afectado.
  3. c)Cesión de datos, al margen de la ejecución del contrato, sin consentimiento previo del afectado.
  4. d)Previsión de envío de comunicaciones comerciales sin contar con el consentimiento inequívoco del afectado. A este escrito se acompañan: • Anexo 1, en el que se relacionan los documentos contractuales de los prestadores, cuya copia se adjunta con su respectivo número de identificación. • Anexo II, en el que se detalla el alcance de las presuntas irregularidades respecto de cada uno de los prestadores que se considera vulneran la legislación de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Correspondiendo a esa Agencia velar por el cumplimiento de la legislación sobre protección de datos y controlar la aplicación de la misma, se da traslado de las incidencias detectadas, ya que todos los prestadores inspeccionados están incluidos en el ámbito de aplicación establecido por el art. 2.1 de la Ley Orgánica 15/1999. Por último, se solicita información acerca de las actuaciones que deriven de la presente remisión, así como de los incumplimientos normativos constatados por la Agencia en el caso de que resuelva ejercer su potestad sancionadora frente a las empresas indicadas. >> SEGUNDO: Junto a dicho oficio se adjuntan los documentos aportados por las diversas empresas y las irregularidades observadas en ellos. Respecto a Small World las irregularidades detectadas en materia de protección de datos han sido relacionada en el siguiente apartado, que a continuación se detalla: B) Finalidades adicionales a la de ejecución del contrato - Literal “ Sus datos de carácter personal se incorporarán en ficheros informatizados titularidad de Small World con la finalidad de gestionar los servicios que presta la entidad” (Cláusula de confidencialidad) - Observaciones Ya que esta finalidad excede la estricta ejecución del contrato suscrito, el tratamiento requiere el consentimiento inequívoco. El incumplimiento de este requisito puede constituir infracción grave tipificada por el art. 44.3.c de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El art 5 de la LOPD recoge el principio de la información en la recogida de los datos personales, constituyendo uno de los principios de la protección de los datos, y manifiesta lo siguiente: 5.1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  6. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  7. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6
  8. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  9. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  10. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante, La infracción del artículo 5 está tipificada como leve en el artículo 44.2.
  11. c)de la LOPD, que considera como tal: ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.”. La exigencia de esta información en la recogida de los datos que regula este artículo constituye un derecho del afectado que es objeto de protección por si mismo aunque es también un complemento previo de la prestación del consentimiento. De esto se deduce que dada la necesidad de que el interesado sea previamente informado, su omisión puede determinar un vicio de consentimiento. La LOPD reconoce, junto al deber de información, el momento en que se ha de informar al interesado y el contenido de dicha información. La recogida de datos se puede definir como la comunicación de los datos por el interesado al responsable del fichero o la obtención de dichos datos por otros medios distintos del propio afectado. Los procedimientos en la recogida de datos pueden ser diversos; declaraciones o formularios – como el caso que nos ocupa -, encuestas o entrevistas, transmisión electrónica, páginas web… En el artículo 5.2 de la LOPD se establece lo siguiente: “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior” Este apartado hace una referencia expresa a los supuestos en que para la recogida de datos se utilicen impresos o cuestionarios estandarizados, remarcándose la necesidad de que el interesado sea informado realmente de dichos extremos, al disponer que en dichos impresos debe figurar en forma legible las advertencias a las que se refiere el apartado 5.1 Debe tenerse en cuenta lo dispuesto en el art. 15 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LO 15/1999, relativo a la Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma, el cual establece que: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración de un contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Por consiguiente, en la medida en que los datos pueden ser utilizados para fines no vinculados con el cumplimiento y desarrollo del contrato, el responsable del tratamiento, en este caso Small World, debe recabar el consentimiento libre, inequívoco, específico e informado del usuario del servicio para estos fines. Estableciéndose la obligación de hacer posible en el propio documento contractual, o a través de un procedimiento equivalente, la oposición a las finalidades del tratamiento no relacionadas directamente con el tratamiento necesario por razón del contrato. En definitiva, no resulta aceptable que las cláusulas por la que se solicita el consentimiento para fines no relacionados con la relación contractual, se incorporen al contenido esencial del contrato, haciendo imposible la oposición al tratamiento si no es a través de la negativa a contratar. Dicho problema puede solucionarse habilitando una casilla cuya marcación implique la oposición al tratamiento. Debiendo el titular de los datos conservar copia del contrato, único documento acreditativo de que efectivamente se ha opuesto. En el caso que nos ocupa, se ha podido comprobar que la entidad SMALL WORLD tenía, en la cláusula de confidencialidad, al disponer que “sus datos de carácter personal se incorporarán en ficheros informatizados titularidad de Small World con la finalidad de gestionar los servicios que presta la entidad”, establece una finalidad que excede la estricta ejecución del contrato suscrito; lo que requiere la existencia de un consentimiento inequívoco por parte del que suscribe el contrato para dicho tratamiento. La sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, manifiesta en este sentido que. “no basta con informar (…) de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual. Asimismo, en esta sentencia se prosigue señalando “la resolución impugnada considera que no se especifican las finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial y no se informa sobre los sectores específicos y concretos sobre los que podrá recibir información o publicidad comercial, vulnerando lo dispuesto en el art. 45 del Reglamento de desarrollo de la LOPD.” No obstante, la sentencia señala que “para cumplir con el citado deber de información no es necesario que se reseñen los variados sectores o actividades a que se dedican (….), sino que bastará con la remisión a una página web.” Por tanto, en este caso concreto se apreciaba una vulneración al art. 5 de la LOPD, en relación con los arts. 15 y 45 del RD 1720/2007. No obstante, con fecha 24/3/14 tiene entrada en esta Agencia escrito del representante de la entidad SMALL WORLD, sin perjuicio de considerar válida la redacción cuestionada de la cláusula, se ha procedido a modificar la misma, sustituyendo la frase: “gestionar los servicios que presta la entidad” por “gestionar el servicio solicitado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 cliente”. Con esta modificación de la clausula, se entiende cumplido con lo dispuesto en el art. 5 LOPD, y, por tanto, no se va a requerir ningún tipo de medida a la entidad denunciada. III El artículo 44.2.
  12. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad denunciada ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  13. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  14. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  15. a)y
  16. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 1. APERCIBIR (A/00213/2013) a SMALL WORLD FINANCIAL SERVICES SPAIN S.A, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b la citada Ley Orgánica y de conformidad con lo establecido en los artículos 36 y 37.a),
  17. f)y
  18. n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo alo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR la presente resolución a SMALL WORLD FINANCIAL SERVICES SPAIN SA 3.- NOTIFICAR el presente Acuerdo a AREA DE GOBIERNO DE SEGURIDAD Y EMERGENCIAS (SERVICIO DE INSPECCION DE CONSUMO De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.