A-00224-2013

1/7 Procedimiento Nº: A/00224/2013 RESOLUCIÓN: R/02933/2013 En el procedimiento A/00224/2013, instruido por la Agencia Española de Protección de Datos a A.A.A., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 3 de septiembre de 2013 tiene entrada en esta Agencia un escrito de don B.B.B. en el que denuncia que los datos que facilitó, en una transacción comercial a través de internet, para la adquisición de un terminal móvil, fueron transferidos sin su conocimiento a Singapur. Según expone, al adquirir este producto se decidió por una empresa española, al ofrecerle más garantías el estar amparado por las leyes españolas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a B.B.B. y a A.A.A., teniendo conocimiento de los siguientes extremos: 1. El denunciante ha aportado a la Agencia copia impresa de la información que, sobre el producto adquirido, figuraba en el sitio web www.ebay.es, a través del cual se realizó la transacción. En el apartado “Información de vendedor Empresa” figuran los siguientes datos: “Cogra, CB, Comercial Granada, Granada, ***CP.1 Granada, Andalucía Teléfono: ***TEL.1 Fax: ***FAX.1 Correo electrónico: ..........@hotmail.com”; se incluye también un enlace con la tienda Virtual Store MB. En el apartado “Envío y pagos” se incluye el texto “El vendedor asume toda la responsabilidad de este anuncio” y la siguiente información: “Envío y manipulación Ubicación del artículo: Granada, España”, detallándose un cargo adicional de 15,00 € en concepto de “Otros servicios (Paquete internacional económico)”. 2. El denunciante ha aportado como justificante de pago un documento donde se totaliza un importe de 215€, abonado en fecha 14/8/2013 a través de cuenta bancaria, y donde constan los siguientes datos de contacto de la empresa vendedora: http://www.comercialgranada.es, ..........@gmail.com y, como identificador: cogra.cb. 3. El denunciante ha aportado asimismo copia de dos documentos que acompañaban el producto adquirido cuando le fue servido por el servicio de Correos. Estos documentos, ambos con la identificación *****************, son: el justificante de Correos con fecha D.U.A de 20/8/2013 y un documento de la compañía EMS Speedpost Singapore, con el literal Transshipment WWC - Consignment Note Cum Invoice/Customs Declaration, que también tiene fecha de 15/8/2013. En los mismos se refleja un cargo adicional facturado, del que el denunciante manifiesta no haber sido informado previamente, de 24,47€ (40,00$) y se detallan sus datos de nombre, domicilio y número de teléfono, como destinatario del envío, y de la compañía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Hongdaomaoyi, domiciliada en Singapur, como remitente, haciéndose constar como emisor de la factura el nombre de C.C.C... 4. Por la Inspección de Datos se ha verificado que en el documento “Condiciones de uso”, accesible a través de www.ebay.es, se declara prestadora del servicio la compañía luxemburguesa eBay Europe, S.à.r.l. En el apartado Responsabilidad de este documento se incluye la siguiente cláusula: “No estamos involucrados en la transacción real entre compradores y vendedores. No transferimos la propiedad legal de los artículos del vendedor al comprador. Los contratos de compraventa son directamente concluidos entre el comprador y el vendedor. No controlamos ni garantizamos la calidad, la seguridad o la legalidad de los artículos puestos en venta, la veracidad o la exactitud de los contenidos o los anuncios de los usuarios, la identidad de los usuarios, la capacidad de los vendedores para vender artículos, la capacidad de los compradores para pagar los artículos o el hecho de que los compradores o los vendedores vayan a completar realmente la transacción. El vendedor es libre de elegir con qué postor o comprador desea realizar la transacción. En cualquier caso, te recordamos que de acuerdo con la normativa aplicable en materia de comercio electrónico existe consentimiento desde que el vendedor conoce la aceptación.” 5. Según ha verificado la Inspección, la tienda Virtual Store MB, reseñada en la documentación aportada por el denunciante, dispone de un acceso a través de los enlaces http://myworld................. y http://stores................, donde se presenta con el siguiente texto: “Bienvenido a mi tienda eBay. Podrás encontrar aparatos de importación con la misma garantía que en las tiendas de aquí, que muchos aun no se encuentran en el mercado de nuestro país, con la última tecnología a precios sin competencia.” 6. Se ha verificado asimismo que en el documento Política de privacidad, accesible a través del sitio http://comercialgranada.es, se informa de que los datos de carácter personal proporcionados se incorporan a una base de datos propiedad de Comercial Granada, indicándose un domicilio ubicado en una población de Granada, a efectos de contacto. 7. En respuesta al requerimiento dirigido por la Inspección al citado domicilio, don A.A.A. (en lo sucesivo, el denunciado) declara que Comercial Granada es el nombre comercial que utiliza en su actividad como trabajador autónomo. En su escrito, expone: “[…] dispongo de una página web que es www.comercialgranada.es de reciente creación, con el objetivo de realizar las ventas de mis productos y aquí entiendo que tengo que inscribir y mantener un fichero relativo a los datos de mis clientes, aunque la página actualmente se encuentra en fase de construcción y estoy realizando actualmente la labor de captación de los futuros clientes que aún no tengo registrados, en todo caso tengo solicitada la inscripción para la creación de dicho registro en la Agencia Española de Protección de Datos, para que en el momento de comenzar la actividad cumplir la normativa legal en dicha materia.” 8. En relación con el procedimiento por el que el denunciante fue informado, en su caso, de que, para atender su solicitud de pedido, sus datos de carácter personal iban a ser transferidos a la compañía Hongdaomaoyi, con establecimiento en Singapur, el denunciado ha declarado: “Ebay es una plataforma de anuncios de compraventa y tienen sus propias políticas de privacidad tanto para compradores como para vendedores que son conscientes de la utilización de sus datos en dicha plataforma al aceptar las condiciones al registrarse, entre ellas que sus datos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 podrán compartir con otros usuarios de Ebay tanto si están ubicados en España como en el extranjero únicamente para completar la transacción y en este caso en el momento de hacer la compra los datos del comprador fueron cedidos a Ebay en su plataforma internacional para poder completar dicha transacción.” 9. Respecto de la habilitación con la que, de conformidad con lo previsto en los artículos 33 y 34 de la LOPD, contaba el denunciado para transferir a Singapur los datos del denunciante, el denunciado ha manifestado: “[…] no he transferido ningún dato a ningún vendedor en Singapur, los datos de este comprador han sido facilitados a Ebay que es quien los recibe y se encarga de cederlos al vendedor en su plataforma internacional para que se pudiera completar la transacción y donde el vendedor tenga ubicados sus artículos no es de nuestra competencia.” 10. De la documentación aportada por el denunciante se desprende que el producto le fue servido al denunciante junto con un albarán y una factura, que acreditan que la compañía remitente del producto, establecida en Singapur, trató sus datos. Puesto que la información suministrada sobre el producto especificaba que este estaba ubicado en Granada, el denunciante no tenía forma de conocer, antes de la compra, que sus datos iban a ser transferidos a Singapur para atender su solicitud y que la sociedad Hongdaomaoyi, que facturó directamente al denunciante un cargo adicional no previsto, iba a ser destinataria de sus datos. TERCERO: Con fecha 14/11/2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00224/2013. Dicho acuerdo fue notificado al denunciante y al denunciado. CUARTO: Con fecha de 26/11/2013 se recibe escrito del denunciante en el que manifiesta que después de ponerse en contacto con eBay, ésta le recomienda interponer denuncia y que cuenta con su apoyo y que el denunciado le informo que utiliza el “dropshiping” que consiste en que el minorista no guarda los bienes en su inventario pero pasa los datos del cliente, el pedido y los detalles de envío un mayorista, quien despacha directamente con el cliente. Por tanto no es cierto que sea eBay quien envíe los datos a Singapur. QUINTO: Con fecha de 29/11/2013 se recibe escrito del denunciando informando de que había inscrito varios ficheros en el Registro General de Ficheros de la Agencia Española de Protección de Datos SEXTO: De las Actuaciones Practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En el sitio web www.comercialgranada.es consta información respecto del tratamiento de datos personales de los usuarios respecto de la cual se extrae que los datos personales no serán cedidos y que el responsable del fichero donde se almacenan los mismos es Comercial Granada. DOS.- El denunciante adquirió un producto a Comercial Granada realizando la transacción a través del sitio web www.ebay.es, en el apartado “Información de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 vendedor Empresa” figuran los siguientes datos: “Cogra, CB, Comercial Granada, Granada, ***CP.1 Granada, Andalucía Teléfono: ***TEL.1 Fax: ***FAX.1 Correo electrónico: ..........@hotmail.com TRES.- El producto adquirido se recibio con documentación consistente en el justificante de Correos con fecha D.U.A de 20/8/2013 y un documento de la compañía EMS Speedpost Singapore, con el literal Transshipment WWC - Consignment Note Cum Invoice/Customs Declaration, que también tiene fecha de 15/8/2013 donde se detallan sus datos personales como destinatario del envio y los de una compañía ubicada en Singapur como remitente. CUATRO.- En el documento Condiciones del Servicio accesible a través del sitio web www.ebay.es consta (…)Los contratos de compraventa son directamente concluidos entre el comprador y el vendedor.(…) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento o del fichero donde se encuentren de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, A.A.A. ha de considerarse responsable ‘ del tratamiento, y por tanto ostentando una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III Dispone el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señalan que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. (...) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior” En este caso el denunciado ha recabado datos personales sin facilitar a su titular la información que señala el artículo 5 de la LOPD por lo que debe considerarse que ha incurrido en la infracción descrita en el art. 44.2
7. c)de la LOPD, puesto que la información suministrada sobre el producto especificaba que este estaba ubicado en Granada, y por tanto el denunciante no tenía forma de conocer, antes de la compra, que sus datos iban a ser transferidos a Singapur para atender su solicitud y que la sociedad Hongdaomaoyi facturaría un cargo adicional, lo que prueba asi que existió un tratamiento de datos sin la información previa a que se refiere el citado precepto. IV Dispone el artículo 44.2.
8. c)de la LOPD, que constituye infracción leve “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales sin la información previa y precisa que requiere el art 5 LOPD, en concreto de la posibilidad de que los datos necesarios para completar la adquisición del producto fueran tratados por una tercera entidad. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
11. a)y
12. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00224/2013) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.3
13. f)de la citada Ley Orgánica. 2.- Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante, se solicita se comuniquen las que de forma autónoma decida adoptar. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. 4.- NOTIFICAR el presente Acuerdo a D. B.B.B. . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es