A-00236-2017

Procedimiento Nº: A/00236/2017 RESOLUCIÓN: R/02827/2017 En el procedimiento A/00236/2017, instruido por la Agencia Española de Protección de Datos a la entidad Asociación de Consumidores y Usuarios en Acción (FACUA), vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13/01/2017 tiene entrada en esta Agencia una denuncia presentada por A.A.A. (en lo sucesivo, la denunciante), en la que manifiesta lo siguiente:  Es socio adherido de FACUA. Para tal fin y no otro proporcionó en su momento nombre, dirección, teléfonos y correo electrónico.  La condición de socio adherido comprende la recepción de su boletín semanal FACUA informa, la publicación diaria consumidores en acción, la participación en encuestas y estudios de mercado y el acceso a la zona privada de su sitio web.  FACUA no le permite darse de baja del boletín sin darse de baja de la organización.  El 11/01/2017 recibe un correo electrónico en el que se le informa de la posibilidad, en el caso de que tenga o haya tenido una hipoteca, de reclamar por la cláusula suelo y los gastos de formalización. La comunicación le expone los beneficios de reclamar a través de FACUa y por ello entiende que sus datos han sido tratados para una finalidad publicitaria para la que no ha dado su consentimiento. Y, entre otra, anexa copia de la siguiente documentación:  Política de privacidad publicada en la página web de FACUA.  Formulario de baja.  Comunicación recibida. El 28/02/2017 tiene entrada un escrito de subsanación de la denunciante en el que aporta, entre otros, los siguientes documentos:  Cabecera del mensaje recibido el 11/01/2017.  Solicitud de información remitida el 28/01/2017 a FACUA en la que se pregunta la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es identidad del responsable del fichero.  Correo electrónico junto con sus cabeceras remitido el 06/02/2017 por FACUA que contiene una oferta de trabajo. SEGUNDO: Del examen de la documentación aportada por el denunciante y de las actuaciones practicadas, se desprende lo siguiente: 1. En la diligencia de 25/05/2017 se incluye copia de la política de privacidad publicada en el sitio web www.facua.org que identifica a “FACUA” como responsable del sitio. El sitio web dispone de un enlace que permite darse de alta como socio, que al ser pulsado abre en una ventana emergente el formulario que se muestra junto a estas líneas. El formulario permite la inscripción como socio adherido (sin cuota) o como socio de pleno de derecho, e incluye en el pie un enlace a las condiciones de privacidad que deben de leerse y aceptarse. El formulario dispone de una lista desplegable en la que se permite seleccionar las noticias que se recibirán en el correo electrónico con las opciones: Diario, Semanal, Ambos y Ninguno. La opción por defecto es “Diario”. Al pulsar en el enlace de las condiciones de privacidad se abre una nueva ventana emergente con el texto de la política de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 En cuanto a la finalidad para la que se recogen los datos, la política de privacidad establece que: “El fichero está destinado a la atención a los consumidores y la gestión de los asociados, el control de sus consultas y reclamaciones y el envío de publicaciones e información relacionada con las actividades de defensa y protección de los consumidores que FACUA realiza. Puedes acceder, modificar, rectificar o cancelar tus datos siempre que lo solicites, dirigiéndote a ***EMAIL.1. FACUA prohíbe la utilización de sus contenidos y los resultados de sus estudios con fines publicitarios. Está permitida la reproducción siempre que en ella no existan objetivos comerciales y se cite su procedencia y autoría.” 2. Del anexo 1 del documento de respuesta remitido por FACUA, adelantado por correo electrónico el 14/06/2017 e incluido en su correspondiente diligencia, se desprende que la denunciante consta como asociada de FACUA desde 05/08/2012. 3. Con fechas 11/01/2017, 28/01/2017 y 06/02/2017, según se desprende de los mensajes y cabeceras aportadas por la denunciante en escrito de subsanación 1, FACUA le remite tres correos electrónicos. En los primeros dos correos (DOC. 2 y DOC. 5) se informa sobre la posibilidad de reclamar los importes cobrados indebidamente por cláusulas suelo o gastos de formalización de hipoteca y sobre las ventajas que los socios de plenos derecho (de pago) tienen en caso de querer reclamar. En relación a los servicios de reclamaciones de FACUA, la entidad manifiesta en el punto 4 de su escrito que:  La información, el asesoramiento y la tramitación de reclamaciones a nuestros asociados se llevan a cabo por personal laboral de FACUA.  El asesoramiento y la tramitación de reclamaciones a nuestros asociados forma parte de nuestras funciones de FACUA y su coste se sufraga con cargo a las cuotas que abonan nuestros asociados. No se cobra por servicios individualizados. En el tercer correo (DOC. 9) se informa de la necesidad de incorporar a un nuevo abogado a su gabinete jurídico por si el asociado o algún familiar pudieran estar interesados en el puesto de trabajo. Los tres mensajes incluyen al final un enlace junto con el texto “si no deseas recibir estas comunicaciones sólo tienes que rellenar el formulario de baja haciendo clic aquí”, 4. Los enlaces de baja llevan a un formulario Titulado “Baja de FACUA Consumidores en Acción” ubicado en la URL https://www.facua.org/es/baja_socio.php en el que se 1 Registrado con número de entrada ***REGISTRO.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 pide al usuario que se autentique con un par usuario y clave “Para dejar de recibir nuestras notificaciones”. 5. El 14/06/2017 subinspector actuante realiza las siguientes comprobaciones: 5.1. Tras darse de alta como asociado a través del formulario del sitio web, procede a acceder al formulario “Baja de FACUA Consumidores en Acción” y proporciona su usuario y clave, lo que provoca la baja como socio, no la baja de los boletines informativos. 5.2. Tras darse de alta como asociado a través del formulario del sitio web una segunda vez, se accede a la zona privada de asociado en la que se observa una sección destinada a gestionar la suscripción a los boletines electrónicos. En dicha sección se permite la suscripción y la baja individual del boletín “Consumidores en acción” que se envía diariamente de lunes a viernes, del boletín “FACUA informa” que se envía cada domingo y de las alertas de fraude en tu teléfono móvil. 6. La denunciante remite a FACUA el 11/01/2017 un correo en respuesta al recibido ese mismo día. En el correo manifiesta, entre otras cosas, que sus datos están siendo utilizados para algo no autorizado y solicita que se le informe de la identidad del responsable del fichero “para mandarle lo que sea preciso para que no los use como tengáis por conveniente.” En el punto 5 de su escrito FACUA alega que “no se ejercita derecho alguno de cancelación o modificación de sus datos personales, no solicita ni baja como socia ni eliminación o baja de sus datos personales, ni nos traslada qué datos quiere que eliminemos ni qué tipo de información quiere o no quiere recibir y a la que quiere o no tener acceso.” y que durante los casi 5 años que la denunciante ha recibido los boletines no ha sentido vulnerados sus derechos. 7. Del anexo 6 del escrito de FACUA se desprende que el 09/03/2017 FACUA remite un correo electrónico a la denunciante manifestándole su sorpresa al observar que la denunciante está acusando a FACUA en distintas redes sociales de vulnerar la normativa de protección de datos por enviarle comunicaciones sin su consentimiento. El anexo 7 del escrito de FACUA evidencia que la denunciante contestó ese mismo día manifestando su desacuerdo con FACUA e informado a la entidad de las denuncias que ha interpuesto en relación a infracciones que aprecia a distintas normativas. Este último correo contiene una prohibición expresa de la denunciante al envío de correos electrónicos por parte de FACUA. 8. En respuesta a la solicitud realizada por correo electrónico el 09/03/2017 FACUA elimina el dato del correo electrónico de su ficha de asociada. El anexo 1 que muestra los datos actualmente incluidos en la ficha de asociada de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 denunciante, no incluye el dato de correo electrónico. 9. En punto 5 de su escrito de respuesta, FACUA manifiesta que dado que la denunciante no ha solicitado su baja como socia, la próxima Junta Directiva de FACUA adoptará el acuerdo de su baja definitiva de socia y se eliminarán todos los datos personales. TERCERO: Con fecha 28 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00236/2017 a FACUA con arreglo a lo dispuesto en el artículo 39 bis de la LSSI, con relación a la denuncia por infracción de su artículo 21, tipificada como leve en el artículo 38.4

1. d)de la LSSI. CUARTO: Con fecha de 7/07/2017 la denunciante aporta escrito de ampliación de denuncia, en el que incluye documentación adicional consistente en la copia de mensajes recibidos de fecha 28/01/2017, 6/07/2017 y correo recibido y correo enviado en fecha de 9/03/2017. QUINTO: Con fecha 21/07/2017 se recibe en esta Agencia escrito del denunciado en el que comunica: No comunicaciones comerciales previstas en la LSSI: No realizan actividad comercial alguna. Las informaciones remitidas son referidas a actividades de la asociación sin que se promocionen servicios de terceros. No puede encajarse las comunicaciones enviadas en la definición de Comunicación Comercial que consta en el Anexo de la LSSI. Los correos de 11 y 28 de enero son informativos respecto de lo que FACUA puede hacer por sus socios. Considerándolas comunicaciones comerciales de la LSSI no se incumpliría la norma: La denunciante autorizo la recepción de las comunicaciones electrónicas referidas a la actividad y defensa de los consumidores que realiza FACUA en su inscripción como socia cuando acepto la política de privacidad. Y por tanto, también existe una relación comercial previa, supuesto que recoge la LSSI y dispensa de la obtención de la autorización previa y expresa. Asimismo se ofrece en cada comunicación, la posibilidad de darse de baja mediante un procedimiento sencillo y gratuito, como requiere la LSSI. A mayor abundamiento la jurisprudencia admite como procedimiento sencillo y gratuito que en las comunicaciones se incluya un enlace de la página web principal de la entidad donde se explique allí el medio de oposición. Cumplimiento del art. 22.1 de la LSSI. Resulta probado que la denunciante revoco la posible autorización. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 La denunciante se inscribe el 12 de enero, en el servicio de información HIPOTECASTRAMPA, los correos recibidos en fechas de 28 enero y 6 de febrero, se enmarcan en esta campaña informativa. Ausencia de Dolo o culpa en la infracción que se imputa. SEXTO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS Uno.- En fecha de 5/08/2012 la denunciante adquiere la condición de SOCIO ADHERIDO de FACUA. Dos.- En fecha de 25/05/2017 se verifica que en el sitio web www.facua.org se permite unirse a FACUA en condición de SOCIO ADHERIDO (sin couta) o SOCIO DE PLENO DERECHO. Al pulsar en el enlace de las condiciones de privacidad se abre una nueva ventana emergente con el texto de la política de privacidad. Tres.-La política de privacidad establece que: “El fichero está destinado a la atención a los consumidores y la gestión de los asociados, el control de sus consultas y reclamaciones y el envío de publicaciones e información relacionada con las actividades de defensa y protección de los consumidores que FACUA realiza. Puedes acceder, modificar, rectificar o cancelar tus datos siempre que lo solicites, dirigiéndote a ***EMAIL.1. FACUA prohíbe la utilización de sus contenidos y los resultados de sus estudios con fines publicitarios. Está permitida la reproducción siempre que en ella no existan objetivos comerciales y se cite su procedencia y autoría.” Cuatro.- En fechas de 11/01/2017 y 28/11/2017 la denunciante recibe en su correo electrónico comunicaciones de FACUA en el que promociona la inscripción de SOCIO DE PLENO DERECHO, y un enlace informativo para suscribirse denominado hipotecastrampa, la citada comunicación dispone de un enlace para dejar de recibir comunicaciones rellenando un formulario de baja, que implica darse de baja en su condición de socio y no permite discrimnar el cese de la recepción de comunicaciones comerciales respecto de la citada condición de socio. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 I De conformidad con lo establecido en el artículo 43 de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II En el presente caso, se atribuye a la Asociación de Consumidores y Usuarios en Acción (FACUA), la comisión de una infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), que dispone: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” La entidad denunciada manifiesta, en síntesis, que no estamos ante la recepción de comunicaciones comerciales y que aun admitiendo tal circunstancia, los envíos electrónicos estarían amparados en la existencia de una relación comercial previa. Frente a ello debe indicarse, en primer lugar, que la comunicación de fecha 6/02/2017 debe descartarse de cualquier análisis, pues se trata de información sobre una oferta de trabajo, y en segundo lugar, que las comunicaciones de fechas 11/01/2017 y 28/11/2017, se tratan de comunicaciones comerciales enviadas por medios electrónicos, por cuanto promocionan la prestación de un servicio, es decir, ofrece a la destinataria la posibilidad de inscribirse como SOCIA DE PLENO DERECHO (abonando cuota, a diferencia del tipo de suscripción que ostentaba en ese momento), teniendo una serie de ventajas respecto de su otra condición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 No obstante lo anterior, debe ponerse la atención en lo señalado en el párrafo segundo del citado precepto, al requerir en cada comunicación enviada y en el momento de la contratación, un medio sencillo y gratuito para oponerse a este tipo de comunicaciones, lo que de acuerdo con el formulario de inscripción no se dé deduce su cumplimiento, puesto que nada consta al respecto en el momento de la inscripción, circunstancia que conlleva la infracción del art. 21.2 de la LSSI al indicar que (…)En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija(…) ( El subrayado es de la Agencia Española de Protección de Datos). en las comunicaciones objeto de análisis, tal como se recoge en el relato de hechos probados, el sistema establecido al efecto no permite oponerse a la recepción de comunicaciones comerciales sin dejar de ser socio, pues la “baja” a la que se refiere el procedimiento habilitado al efecto, es precisamente de la condición de socio. La conducta llevada a cabo por FACUA, se encuentra tipificada como infracción leve en el artículo 38.4.
2. d)de la LSSI, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” III El artículo 39 bis apartado 2, de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
3. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
5. a)y
6. b)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 del citado apartado 2 del artículo 39 bis y resulta conforme a derecho la tramitación del presente procedimiento de apercibimiento, estableciéndose como requerimiento que FACUA introduzca en los medios utilizados para la recogida de datos de sus suscriptores un medio de oposición para recibir comunicaciones comerciales por medios electrónicos e incluya un medio de oposición a tales efectos, que no implique la perdida de la condición de socio, es decir, que ofrezca la posibilidad de dejar de recibir comunicaciones comerciales, sin perder tal condición. IV El art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00236/2017) a Asociación de Consumidores y Usuarios en Acción (FACUA) con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 21.2 de la citada norma, tipificada como leve en su artículo 38.4. h). SEGUNDO.REQUERIR a Asociación de Consumidores y Usuarios en Acción (FACUA) acuerdo con lo establecido en el artículo 39 bis 2 de la LSSI para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 21.2 de la LSSI, para lo que se insta a dicha entidad a introducir en los medios utilizados para la recogida de datos de sus suscriptores un medio de oposición para recibir comunicaciones comerciales por medios electrónicos, y a instaurar un procedimiento sencillo y gratuito para oponerse a la recepción de comunicaciones comerciales en cada comunicacion. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. CUARTO.- NOTIFICAR la presente Resolución a Asociación de Consumidores y Usuarios en Acción (FACUA). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es