A-00267-2018

1/7 Procedimiento Nº: A/00266/2018 ACUERDO DE AUDIENCIA PREVIA AL APERCIBIMIENTO De las actuaciones practicadas por la Agencia Española de Protección de Datos ante ID FINANCE SPAIN, S.L. (WWW.MONEYMAN.ES), en virtud de denuncia presentada por D. A.A.A., y de conformidad con lo establecido en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), teniendo como base los siguientes: HECHOS PRIMERO: Con fecha de 22/03/2018 tiene entrada, a través de su sede electrónica, en esta Agencia una denuncia interpuesta por A.A.A. (en adelante el denunciante), en la que manifiesta lo siguiente: 1. No ha solicitado o autorizado el envío de comunicaciones comerciales por medios electrónicos a CCLOAN CAPITAL FINANCIAL SERVICES, S.L, RAPIDO FINANCE S.L.U. y IDFINANCE SPAIN, S.L. 2. Recibió los días 22 y 27 de marzo de 2018 en su línea ***TELEFONO.1 seis mensajes comerciales, dos de cada una de las citadas entidades, en los que el origen estaba identificado como “CCloan”, “LunaCredit” y “Moneyman.es” respectivamente y el texto de los mensajes eran ofertas de microcréditos personales, para lo que incluían un enlace a las páginas de internet de las respectivas entidades de préstamo antes referidas. El denunciante aporta imágenes del terminal con el mensaje recibido. SEGUNDO: A la vista de los hechos denunciados y de los documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión. Como resultado de las actuaciones de investigación practicadas, se constatan los siguientes extremos: 1. En los sistemas de ORANGE SPAGNE SAU consta la recepción de mensajes de texto en las fechas y horas que aparecen en las imágenes aportadas por el denunciante, figurando como línea remitente una serie alfanumérica cifrada, lo cual indica que han sido enviados desde un servidor y no desde un terminal móvil. 2. En los mensajes consta información sobre el procedimiento de baja de publicidad: “No + publi: Envía a emailbaja@credy.com”, excepto en el mensaje de fecha 22 de marzo de 2018 cuyo remitente es CCLOAN y el mensaje de fecha 20 de marzo de 2018 cuyo remitente es Moneyman.es. En cuanto a la entidad ID FINANCE SPAIN, S.L. (en lo sucesivo ID FINANCE): 3. Se ha requerido información con fecha 25/06/2018 mediante el servicio de notificaciones electrónicas a ID FINANCE, información en relación con los hechos denunciados, no habiendo sido retirado por la entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 4. Con fecha 22/08/2018 se ha reiterado el requerimiento de información a ID FIANCE, mediante correo postal. 5. Se obtiene respuesta el 04/09/2018 poniendo de manifiesto lo siguiente: Que dicho número de teléfono no consta en su base de datos. Que de la información que se desprende de la captura de pantalla adjuntada en el requerimiento de información, dicha comunicación comercial fue enviada por una tercera empresa, Traffic Control OU, contra su base de datos, con la cual tienen contratado los servicios de marketing directo. Aportan copia del contrato de prestación de servicios. Los servicios de marketing directo contratados consisten en que un envío de campaña de publicidad mensual, generalmente a principio de mes previa solicitud por parte de ID FINANCE estableciendo el volumen, el día y la hora de los envíos. En el contrato de los servicios, se establece una cláusula mediante la cual la entidad Traffic Control OU, garantiza que todos los clientes de su base de datos han dado su consentimiento expreso para recibir información comercial de entidades financieras. TERCERO: Con fecha 20/09/2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00267. CUARTO: Dicho trámite de audiencia fue notificado a la denunciada con fecha 21/09/2018; en fecha 09/10/2018 la representación de la denunciada formuló escrito de alegaciones reiterando lo manifestado con anterioridad y, además, que el denunciante recibió un sms de campaña de publicidad de ID FINANCE; que se ha contactado con Trafic Control para que certifique el consentimiento del denunciante para la recepción de campaña de publicidad y el archivo del procedimiento. HECHOS PROBADOS PRIMERO. Con fecha 22/03/2018 tiene entrada en la Agencia escrito del afectado denunciando entre otras entidades a ID FINANCE por la recepción en su línea de telefonía móvil ***TELEFONO.1 de un mensaje comercial ofertando un microcrédito personal que no ha solicitado y sin que se incluyera mecanismo de oposición al envío de los mismos. SEGUNDO. Consta aportada por el denunciante, captura de pantalla con mensaje enviado al terminal móvil ***TELEFONO.1 titularidad del denunciante en fechas 20/03/2018 a las 12:04 horas, en el que se indica los siguiente: “Pide hasta 400 € para tus vacaciones de marzo y disfruta de un 10% de descuento en tus intereses. CODIGO 3ª5T3R. Solicítalos en http://goo.gl/Yk4Xi4”. El citado mensaje no incluye mecanismo para ejercitar la oposición al envío de los mismo. TERCERO. ORANGE SPAGNE SAU ha acreditado la recepción del mensaje de texto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 en el terminal móvil en la fecha y hora señalada anteriormente y que aparecen en las imágenes aportadas por el denunciante, figurando como línea remitente una serie alfanumérica cifrada (DC7BBBC9F678DDEA2) lo que indica que ha sido enviado desde un servidor y no desde un terminal móvil. CUARTO. ID FINANCE ha aportado contrato con Trafic Control OU (Credy) para la realización de campañas promocionales de productos de la entidad con los datos existentes en su base de datos; en escrito de 04/09/2018 ha manifestado que “En el contrato de los servicios, se establece una cláusula mediante la cual la entidad Traffic Control OU, garantiza que todos los clientes de su base de datos han dado su consentimiento expreso para recibir información comercial de entidades financieras”. QUINTO. En la página web www.credy.es contiene la regulación de los Términos y Condiciones, en su punto 6 se señala lo siguiente: “6. No necesita hacer pago a Traffic Control por usar este sitio web (www.credy.

1. es)ni hacer cualquier transferencia de los datos mencionados en la cláusula 1 a ningún proveedor de préstamo. Sin embargo, a cambio de usar este sitio web o pedir a Traffic Control para que haga la transferencia de los datos mencionados en la cláusula 1 a los proveedores de préstamo, Usted acepta y expresa su consentimiento para que Traffic Control use estos datos para fines de promoción o comercialización.” SEXTO. ID FINANCE aporta escrito de Traffic Control de 28/09/2018 en el que señala que el consentimiento fue otorgado el 16/03/2018 al cumplimentar un formulario en la web www.credy.es; aporta igualmente anexo política de privacidad en cuyo punto 5. Derechos de Acceso, Rectificación, Cancelación y Oposición se señala: “Le informamos que Usted puede ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición mediante envío de un correo electrónico a la dirección info@credy.eu o mediante carta dirigida a Traffic Control S.A., Rue Adrien-Lachenal 20, G1207 Ginebra (Suiza), adjuntando una copia de su DNI” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). II El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El artículo 21 de la LSSI establece que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Por otra parte, el artículo 22.1 de la LSSI, dispone que: “1. El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Por tanto, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y que el sujeto no manifieste su voluntad en contra, para lo que deberá habilitarse un procedimiento o mecanismo sencillo y gratuito para que el destinatario pueda ejercer el derecho de oposición. El apartado
2. d)del anexo de la LSSI define al “Destinatario del servicio” o “destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. El artículo 19 de la LSSI preceptúa que: “1. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad. 2. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Como se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
3. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
4. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI, en su Anexo a), define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. III En el presente supuesto, de la documentación obrante en el expediente consta que el denunciante recibió el 20/03/2018, a las 12:04 horas, en su línea de telefonía móvil asociada al número ***TELEFONO.1 un mensaje comercial o publicitario en el que se le ofertaba un microcrédito: “Pide hasta 400 € para tus vacaciones de marzo y disfruta de un 10% de descuento en tus intereses. CODIGO 3ª5T3R. Solicítalos en http://goo.gl/Yk4Xi4”, sin que se incluyera mecanismo alguno para revocar el consentimiento para la recepción de los citados mensajes y se ajustara al concepto de comunicación comercial recogido en la LSSI. Además, el afectado ha señalado que no había autorizado en ningún momento el envío de los citados mensajes. Sin embargo, de la valoración conjunta de los elementos obrantes en el procedimiento existen indicios suficientes de los que se desprende el origen licito del dato de la línea de telefonía móvil asociada al número ***TELEFONO.1 utilizada para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 la realización de la comunicación promocional denunciada y que habría sido facilitada mediante su registro en la web www.credy.es en fecha 16/03/2018 y en la que prestó el consentimiento para recibir ofertas y para que los datos pudieran ser compartidos con finalidad de promoción y comercialización. Asimismo, consta que ED FINANCE suscribió un contrato con la entidad Traffic Control OU, titular de la web www.credy.es, para la realización de campañas publicitarias utilizando la base de datos de esta última entidad y en el que se recoge que todos los clientes contenidos en su base de datos han dado su consentimiento expreso para recibir información comercial. Además, en la web del prestador de servicios existe enlace a su anexo Política de privacidad, en su punto 5. Derechos de Acceso, Rectificación, Cancelación y Oposición, se señala lo siguiente: “Le informamos que Usted puede ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición mediante envío de un correo electrónico a la dirección info@credy.eu o mediante carta dirigida a Traffic Control S.A., Rue Adrien-Lachenal 20, G1207 Ginebra (Suiza), adjuntando una copia de su DNI” En consideración a lo expuesto, al no apreciarse en la conducta que constituye el objeto de la denuncia indicios de una presunta infracción de la LSSI, corresponde acordar el archivo del procedimiento. Por otra parte, conviene señalar que si bien el artículo 19.2 de la LSSI remite a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a partir del 25 de mayo de 2018 dicha remisión ha de entenderse hecha al Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, (RGPD en adelante), y que de acuerdo con sus disposiciones, y en relación con la información ofrecida sobre el derecho de oposición, establece en su Considerando 70 que debe facilitarse claramente y al margen de cualquier otra información. En concreto establece lo siguiente (…) Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, (…). Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información (…) Por lo expuesto, a la fecha de plena aplicación del RGPD, todo responsable y encargado del tratamiento deberá adecuar sus políticas de protección de datos personales a las previsiones de la citada normativa. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/000267/2018 seguido contra ID FINANCE SPAIN, S.L. (WWW.MONEYMAN.ES), en relación con la denuncia por la infracción del artículo 21.2 y 22.1 de la LSSI. 2.C/ Jorge Juan, 6 28001 – Madrid NOTIFICAR el presente Acuerdo a ID FINANCE SPAIN, S.L. www.agpd.es sedeagpd.gob.es 7/7 (WWW.MONEYMAN.ES). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es