A-00219-2018

1/9 Procedimiento Nº: A/00219/2018 RESOLUCIÓN: R/01517/2018 En el procedimiento A/00219/2018, instruido por la Agencia Española de Protección de Datos a la entidad ENTRADAS EVENTIM SAU, vista la denuncia presentada por el INSTITUTO MUNICIPAL DE CONSUMO DE MADRID y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de marzo de 2018, tuvo entrada en esta Agencia un escrito del Instituto Municipal de Consumo del Ayuntamiento de Madrid (en lo sucesivo, el denunciante), en el que formula denuncia contra la entidad ENTRADAS EVENTIM, SAU (en lo sucesivo, ENTRADAS EVENTIM), titular de la web www.entradas.com, con base en que la política de privacidad de la empresa prevé el envío de comunicaciones comerciales con finalidades ajenas al contrato de venta de entradas, sin ofrecer al afectado posibilidad alguna de oponerse a dicho tratamiento con carácter previo a que se realice y solo se le ofrece la posibilidad de comunicar por correo electrónico su oposición con posterioridad. Además, se denuncia que la empresa no recaba el consentimiento previo del afectado para la cesión de sus datos al promotor del evento para el cual se adquiere la entrada, a pesar de que la finalidad del tratamiento es ajena a la ejecución del contrato, pues se dirige a que este segundo empresario pueda enviar comunicaciones comerciales al margen de las necesidades de conexión requeridas para el desarrollo, cumplimiento y control de la relación jurídica suscrita con motivo de la compra de la entrada. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se obtiene la siguiente información respecto de la página web www.entradas.com: 1 En cuanto a la identidad del Prestador del Servicio: 1.1. Titularidad de la web: ENTRADAS EVENTIM SAU 1.2. Información Mercantil: ENTRADAS EVENTIM C/SERRANO ANGUITA, 8. MADRID (MADRID), 28004. SAU, A81933772, 1.3 Actividad: Otros servicios relacionados con las tecnologías de la información y la informática. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 2 Respecto de la recogida de datos de carácter personal y la información ofrecida en la política de privacidad: 2.1 Se verifica que en el formulario de recogida de datos por el que los usuarios se registran en la web, consultado en fecha 3 de abril de 2018, se muestra una leyenda “He leído y acepto la Política de Privacidad”. Por su parte, en la “Política de Privacidad y cookies de entradas.com” se señala: “(…) se informa que todos los datos personales que el Usuario facilite a través de este Sitio Web serán incorporados y tratados en los ficheros titularidad de ENTRADAS EVENTIM, S.A.U. (en adelante, “ENTRADAS.COM”) para las siguientes finalidades: posibilitar la prestación de los servicios solicitados, así como mantenerle informado, incluso por medios electrónicos, sobre los productos y servicios de ENTRADAS.COM. Si no desea recibir este tipo de comunicaciones puede comunicárnoslo enviando un correo electrónico a ayuda@entradas.com. (...) Usted acepta que sus datos personales puedan ser cedidos a la empresa promotora del evento/espectáculo para el cual ha comprado usted las entradas y al propietario del local donde éste se celebra, con la finalidad de que puedan gestionar la venta de las mismas, así como para que puedan mantenerle informado, incluso por medios electrónicos, sobre los eventos y/o espectáculos de cine, teatro, música, parques lúdicos, circo y exposiciones que puedan ofrecer en el futuro. Si Usted no desea recibir información de este tipo, puede indicárnoslo en cualquier momento enviando un correo electrónico a ayuda@entradas.com”. 2.2 Se comprueba que en el proceso de compra de entradas en la web, consultado en fecha 10 de abril de 2018, se exige registro como usuario. Debajo del formulario de registro o inicio de sesión a tal fin, se enseña lo siguiente: “(…) El usuario es informado y acepta que sus datos sean cedidos al Organizador del evento para el cual ha comprado entradas, a fin de que este último le pueda mantener informado, incluso por medios electrónicos, sobre eventos y/o espectáculos que pueda ofrecer en el futuro. Quedan reconocidos los derechos de acceso, rectificación, cancelación y oposición que el Usuario podrá ejercitar dirigiendo una comunicación escrita al Organizador del evento”. 3 Consultada la aplicación de esta Agencia que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, se comprueba que no constan registros previos asociados a la entidad ENTRADAS EVENTIM, SAU. TERCERO: Con fecha 29 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00219/2018 a ENTRADAS EVENTIM, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/199, de 13 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Protección de Datos de Carácter Personal (en adelante, LOPD), por infracción del artículo 5 de esta Ley Orgánica, en relación con el artículo 15 del Reglamento de desarrollo de dicha norma, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante, RLOPD), tipificada como leve en el artículo 44.2.

1. c)de la LOPD. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 20 de junio de 2018 se recibe en esta Agencia escrito del denunciado en el que comunica que: - Resulta adecuado ofrecer a los usuarios una dirección de correo electrónico para que puedan mostrar su negativa al tratamiento de sus datos para fines publicitarios, en este sentido se dispone de la siguiente dirección: ayuda@entradas.com, en la que se recepcionan dichas solicitudes. - Toda vez que un Usuario solicita su baja de ENTRADAS.COM en el momento de realizar la compra, dicha solicitud queda comunicada también al promotor al que se le haya podido comunicar los datos de dicho usuario a efectos de que no reciba tampoco comunicaciones comerciales de dicho Organizador. En este sentido, si un usuario manifiesta que no quiere recibir comunicaciones comerciales de ENTRADAS.COM tampoco las recibirá del Organizador. - El único motivo por el que no se incorpora en la Política de Privacidad la concreta dirección de correo electrónico a la que el usuario puede dirigirse para ejercitar sus derechos es debido a que dicha Política de Privacidad aplica respecto de la compra de entradas en ENTRADAS.COM, donde intervienen diferentes Organizadores de eventos, no siendo posible individualizar en este momento la concreta dirección de correo electrónico de cada Organizador. La expresión “dirigir una comunicación escrita al Organizador del evento” no puede ser interpretada en el sentido de que dicha comunicación no pueda ser remitida por medios electrónicos. - Se debe tomar en consideración que el usuario, en cualquier momento así como cada vez que recibe una comunicación comercial del Organizador y/o de ENTRADAS.COM, tienen la posibilidad de darse de baja o comunicar su voluntad de no seguir recibiendo dichas comunicaciones, por lo que queda garantizado el derecho que en este sentido asiste a los usuarios. - Dicha Política de Privacidad fue reemplazada el 25 de mayo de 2018, con ocasión de la entrada en vigor del Reglamento Europeo de Protección de Datos. QUINTO: Con fecha 3 de agosto de 2018, por la Subdirección General de Inspección de Datos se accede a la página web www.entradas.com y se comprueba que: - En el apartado “Responsable” del documento “Política de Privacidad y cookies C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 de entradas.com” se facilita un formulario web para contactar con el Responsable del Tratamiento de datos personales y con el Delegado de Protección de Datos. - En el apartado “Destinatarios” del documento “Política de Privacidad y cookies de entradas.com” se declara: “En aquellos supuestos en que el ORGANIZADOR del evento, o bien el RECINTO en que se celebre el EVENTO estén interesados en poder disponer de los datos de los compradores con fines de marketing, se solicitará de forma clara en el proceso de compra, el consentimiento para dicha comunicación. Sólo en aquellos casos en que el comprador de su consentimiento, se podrán comunicar los datos identificativos del comprador (…) a la empresa promotora/organizadora del evento, con la finalidad de que puedan incorporar los datos personales a sus bases de datos de CLIENTES y remitirles comunicaciones comerciales, incluso por vía electrónica, sobre eventos y/o espectáculos (…). En cualquier caso, en el momento en que se solicite dicho consentimiento, se identificará de forma clara al destinatario de tal comunicación, facilitando su denominación social y domicilio social”. - Al final del formulario de recogida de datos que debe completarse para realizar una compra de entradas, hay dos casillas (que no vienen premarcadas): “Acepto las condiciones generales de compra y confirmo que he leído la Normativa de Acceso al recinto” y “Deseo recibir información y comunicaciones comerciales por parte de XXX (Organizador)”. HECHOS PROBADOS 1. Con fecha 3 de abril de 2018, se accede a la página web www.entradas.com y se comprueba que en el formulario de recogida de datos por el que los usuarios se registran en la página se muestra una leyenda una “He leído y acepto la Política de Privacidad”. Por su parte, en la “Política de Privacidad y cookies de entradas.com” se señala que el usuario acepta que sus datos personales puedan ser cedidos a la empresa promotora del evento/espectáculo para el que se adquiere la entrada, con la finalidad de que puedan mantenerle informado sobre los eventos y/o espectáculos que puedan ofrecer en el futuro. Además, en el formulario de compra de entradas, debajo hay una leyenda que indica que el usuario acepta que sus datos sean cedidos al Organizador del evento a fin de que este último le pueda mantener informado sobre eventos y/o espectáculos que pueda ofrecer en el futuro y que para ejercitar su derecho de oposición debe dirigir una comunicación escrita al organizador del evento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 2. Con fecha 3 de agosto de 2018, se accede a la web www.entradas.com y se comprueba que se ha modificado el documento “Política de Privacidad y cookies de entradas.com”. Este documento ahora señala que, si el organizador del evento estuviera interesado en poder disponer de los datos de los compradores con fines de marketing, se solicitará de forma clara en el proceso de compra el consentimiento para dicha comunicación. Además, en la actualidad, al final del formulario de recogida de datos que debe completarse para realizar una compra de entradas, se incorporó una casilla en blanco a fin de que el interesado otorgue su consentimiento para recibir información y comunicaciones comerciales por parte del organizador/promotor del evento en cuestión. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se atribuye a ENTRADAS EVENTIM, SAU la comisión de la infracción del artículo 5 de la LOPD, en relación con el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 5 de la LOPD dispone: “Artículo 5. Derecho de información en la recogida de datos. 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
8. c)y
9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (…)” Por su parte, el artículo 15 del RLOPD establece: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. En un entorno como es el online, resulta adecuado con lo preceptuado en este artículo ofrecer a los usuarios la posibilidad de marcar una casilla, o bien, ofrecerles una dirección de correo electrónico para que puedan mostrar su negativa al tratamiento de sus datos con fines publicitarios. La infracción de estos preceptos está tipificada como leve en el artículo 44.2.
10. c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III El apartado 6 al artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a Que los hechos fuesen constitutivos de infracción leve o grave C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 conforme a lo dispuesto en esta Ley. b Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, cabe considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que disponen: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 En el presente supuesto se cumplen los requisitos recogidos en los apartados
26. a)y
27. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la ausencia de beneficios y perjuicios distintos de los que derivan propiamente de la infracción. IV Al inicio de las presentes actuaciones se verificó que en la página web www.entradas.com existían carencias en cuanto a la posibilidad de los usuarios de mostrar su negativa a la cesión de sus datos al Organizador del evento para el envío de comunicaciones comerciales en el momento de la compra de entradas, incumpliendo así lo dispuesto con el deber de información que establece el art. 5 de la LOPD arriba transcrito, en relación con el mencionado artículo 15 del RLOPD. No obstante, tras las alegaciones de ENTRADAS EVENTIM, se comprobó que la citada página web había adecuado, a las observaciones realizadas por esta Agencia, su documento de política de privacidad y el formulario de recogida de datos para la compra de entradas. V Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura regulada en el artículo 45.6 de la LOPD, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a esa Agencia una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso, teniendo en cuenta que la entidad denunciada ha subsanado la solicitud del consentimiento del interesado para el tratamiento de sus datos con fines publicitarios por parte de los Organizadores de los eventos, así como su política de privacidad, se entiende que son medidas que impedirían que los hechos se volvieran a producir y, en armonía con el pronunciamiento de la Audiencia Nacional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 recogido en la SAN de 29/11/2013 (Rec. 455/2011), debe acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ENTRADAS EVENTIM, SAU y al INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es