← España

A-00361-2014

1/8 Procedimiento Nº: A/00361/2014 RESOLUCIÓN: R/00151/2015 En el procedimiento A/00361/2014, instruido por la Agencia Española de Protección de Datos a la entidad HEVIAL AUTOMOCION, S.L.L. , vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 12 de diciembre de 2013, escrito presentado por Dª A.A.A. (en adelante denunciante), en el que denuncia a la compañía HEVIAL AUTOMOCION, S.L.L. manifestando que le han enviado por correo postal publicidad usando presuntamente sus datos de la base de datos de otra empresa AUTOMOCION ALBASA, sin su consentimiento, situada en las mismas instalaciones, la cual cerro el 2 de septiembre de 2013. Se adjunta el envío publicitario en cuyo encabezamiento figura HEVIAL AUTOMOCION, S.L.L. y se informa de lo siguiente: Nos dirigimos a usted, como usuario de Peugeot para informarle de la apertura de nuestro taller, (…) En el pie de página consta la leyenda: En cumplimiento de la Ley Orgánica 15/1999 y del Real Decreto 1720/2007, autoriza que los datos de carácter personal que facilite en cualquier momento a HEVIAL AUTOMOCION, S.L.L. están incluidos en un fichero, titularidad de esa, y/o fuentes accesibles al público, con el fin de ser tratados en la medida en que fueran necesarios o convenientes para el desarrollo de las relaciones que mantengamos con Usted, y sirven para facilitarle el acceso a información, ofertas y promociones de nuestros servicios. En cualquier momento, podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición respecto a sus datos personales dirigiéndose a HEVIAL AUTOMOCION, S.L.L., con dirección en (…). También, se aporta sobre dirigido a la denunciante: nombre, apellidos y domicilio postal y como remitente la compañía HEVIAL AUTOMOCION, S.L.L. y en el que consta como fecha 09/12/13. SEGUNDO: Del examen de la documentación aportada por el denunciante y de las actuaciones practicadas se desprende lo siguiente: 1. Se ha verificado por parte de la Inspección de Datos que el nombre y apellidos de la denunciante no constan en las guías de servicios de telecomunicaciones denominadas <blancas.paginasamarillas.es> y <www.infobel.com>. Dichas circunstancias constan en la Diligencia de fecha 31 de julio de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 2. En el Registro General de Protección de Datos figura inscrito el fichero denominado “CLIENTES Y/O PROVEEDORES”, con el código ***CÓD.1, siendo responsable la compañía HEVIAL AUTOMOCION, S.L.L. Dichas circunstancias constan en la Diligencia de fecha 4 de noviembre de 2014. 3. La compañía HEVIAL AUTOMOCION, S.L.L. ha comunicado a la Inspección de Datos, con fecha de 18 de agosto de 2014, en relación con el envío publicitario remitido a la denunciante lo siguiente:  La denunciante proporcionó sus datos personales a la compañía, de forma verbal en sus instalaciones, con objeto de la solicitud de presupuesto referencia *****, con fecha de 2 de diciembre de 2013, en el que constan los siguientes datos personales de la denunciante: nombre, apellidos, domicilio postal, CIF, matrícula, marca, modelo y nº de bastidor del vehículo, y se relacionan una serie de servicios por importe total de 54,99€, con una validez de 12 días hábiles, cuya copia se adjunta. Se aporta copia de dicho documento en el que no consta la firma de la denunciante.  En los Sistemas de Información de la compañía constan los siguientes datos personales de la denunciante: nombre, apellidos, domicilio postal, CIF, fecha de nacimiento y sexo.  El envío publicitario fue realizado con los datos personales de los clientes de HEVIAL que han pasado por el taller y han consignado sus datos y los servicios de impresión y franqueo fueron realizados por una empresa externa.  La denunciante no ha presentado reclamación ante HEVIAL por la recepción del envío publicitario ni ha ejercido sus derechos de acceso, rectificación, cancelación y oposición respecto a sus datos personales. TERCERO: Con fecha 01/12/ 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00361/2014. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 02/01/2015 se recibe en esta Agencia escrito del denunciado en el que comunica que la denunciante no ha presentado reclamación ante HEVIAL por la recepción del envío ni ha ejercido sus derechos ARCO. Han enviado con posterioridad y por cortesía y buena fe, una comunicación donde informa de la posibilidad de ejercer los derechos ARCO. HECHOS PROBADOS Uno.- Resulta acreditado que mediante carta de fecha 9/12/2013 HEVIAL AUTOMOCION S.L.L., utiliza los datos de carácter persona de la denunciante. Dos.- Resulta acreditado que a fecha de 14/08/2014 los datos personales de la denunciante constan en los sistemas de HEVIAL AUTOMOCION S.L.L., domicilio completo, nombre y apellidos, DNI y fecha de nacimiento y aparecen marcados como autorizados para su tratamiento y cesión. Consta en el pantallazo aportado un código 31977 Tres.- HEVIAL AUTOMOCION S.L.L., aporta un documento -Presupuesto- con los datos personales de la denunciante y manifiesta que se elaboró porque ésta acudió al taller. Consta el código3 1977. El documento contiene en el reverso las condiciones generales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 del servicio donde consta una clausula informativa respecto del tratamiento de datos de carácter personal. No consta firmado el documento por parte de la denunciante. Cuatro.- En el envío publicitario analizado, consta una leyenda informativa respecto del tratamiento de datos personales que realiza HEVIAL AUTOMOCION S.L.L., asa como los mecanismos para ejercer los derechos ARCO, sin que se informe del origen de los datos utilizados para dicho envío. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 6.1 de la LOPD: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por lo tanto, se exige que el responsable del tratamiento o del fichero donde se encuentren de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, en atención al régimen de responsabilidad ex art. 43 LOPD, HEVIAL AUTOMOCION S.L.L, ha de considerarse responsable del fichero y del tratamiento, y por tanto ostenta una posición jurídica susceptible de generar responsabilidad por infracción de la LOPD. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos, es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. En el presente caso, ha resultado probado que HEVIAL AUTOMOCION S.L.L, ha tratado datos del denunciante sin su consentimiento, en la medida en que se acredita que constan en sus sistemas y son utilizados para la realización de publicidad nominativa, sin que se hay acreditado el modo en que los datos de la denunciante son incorporados a los sistemas de la denunciada. A tal efecto, se aporta un documento denominado presupuesto de reparación, donde consta en el reverso una clausula relativa a tratamiento de datos. Ahora bien, no puede entenderse prestado el consentimiento para dicho tratamiento en la medida en que dicho documento no está firmado por la denunciante ni consta otro elemento que permita acreditar que ésta había sido informada del tratamiento al que iban a ser sometidos sus datos, todo ello sin perjuicio de que la denunciante ni siquiera reconoce el haber acudido a la entidad denunciada, sino a AUTOMOCION ALBASA. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Así las cosas el titular de los datos observa cómo éstos son tratados para fines al margen de su cualidad de potencial cliente, lo que escapa del poder de “disposición y control” que en palabras del Tribunal Constitucional (STC 292/2000) configura la base del principio de consentimiento al tratamiento de datos personales. De conformidad con la definición de tratamiento de datos personales, se ha acreditado el tratamiento por parte de HEVIAL AUTOMOCION S.L.L de los datos de la denunciante, sin que haya presentado ninguna prueba que acredite que contaba con su consentimiento, así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. IV Dispone el artículo 44.3.
  2. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. V Dispone el art. 5 de la LOPD, respecto del Derecho de información en la recogida de datos, lo siguiente: 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  8. c)y
  9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
  10. d)y
  11. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten. El principio del consentimiento al tratamiento de datos personales (art 6 LOPD) está estrechamente ligado al deber de información (art. 5 LOPD), en la medida que sin perjuicio de las distintas formas de prestar el consentimiento, es necesario que el titular de los datos conozca quien, y para qué se van a tratar éstos. HEVIAL AUTOMOCION S.L.L, aporta un documento donde consta en el reverso una clausula informativa, sin embargo se estima insuficiente tal inserción si no activa mecanismos respecto de los que no haya duda de que el potencial cliente o cliente haya sido informado de la misma, ya sea a través de la firma posterior a la recogida de datos, ya sea a través de otros medios que estime oportunos. Asimismo debe tenerse en cuenta lo dispuesto en el art. 15 del RDLOPD respecto a la obtención del consentimiento para fines distintos a los propios del desarrollo de la relación contractual en la que se obtienen, en concreto señala que: Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Del citado precepto se extrae que cuando el origen de los datos esta en la contratación de un servicio o producto y se prevé la posibilidad de efectuar un tratamiento para cuestiones ajenas a dicha contratación o que no se estima necesario para la correcta ejecución de la misma, el titular de los datos podrá en ese momento de perfección de la citada realicen jurídica, oponerse al tratamiento para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. Mandato que no se cumple con una clausula informativa LOPD inserta en el reverso del presupuesto aportado por la entidad denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Por lo expuesto HEVIAL AUTOMOCION S.L.L. respecto de los datos de la denunciante, debe cesar en el tratamiento, salvo que obtenga el consentimiento informado (a través del bloqueo o de la supresión) y por otro lado, debe articular medios que permitan acreditar que los clientes y potenciales clientes han sido informados en los términos del art. 5 de la LOPD y 15 del RDLOPD. VI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  13. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  14. a)y
  15. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no constan beneficios obtenidos como consecuencia de la comisión de la infracción, ni perjuicios alegados por la denunciante. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00361/2014) a HEVIAL AUTOMOCION S.L.L, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  16. b)de la citada Ley Orgánica. SEGUNDO.- REQUERIR a HEVIAL AUTOMOCION S.L.L de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 UN MES desde este acto de notificación: 2.1 CUMPLA lo previsto en el artículo 5 de la LOPD y 15 del RDLOPD, estableciendo un sistema de información en la recogida de datos de carácter personal en los términos descritos en el Fundamento de Derecho V de la presente resolución, y cese en el tratamiento de los datos de la denunciante. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/00375/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. TERCERO: NOTIFICAR el presente Acuerdo a HEVIAL AUTOMOCION S.L.L. y a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.