A-00526-2016

1/7 Procedimiento Nº: A/00526/2016 RESOLUCIÓN: R/01407/2017 En el procedimiento A/00526/2016, instruido por la Agencia Española de Protección de Datos a la entidad MARTINO BROS, S.L., vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 29 de enero de 2016 tuvo entrada en esta Agencia un escrito de denuncia de D. A.A.A. contra MARTINO BROS (en adelante indistintamente entidad denunciada) y en el que manifestaba que la página web www.alodrink.eu/es carecía de información sobre la política de privacidad, sin tener ningún aviso legal en relación con la LSSI (por la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico). Manifestaba igualmente que dicha página web disponía también “de una tienda online y queda imposible saber quién es el vendedor”. Para acreditar estos hechos aportaba impresión con fecha 20 de enero de 2016 de dicha página web www.alodrink.eu/es, en concreto, de un formulario de contacto, en relación con bebidas denominadas ALÓ DRINK de aloe vera de distintos sabores. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de Datos de esta Agencia se realizó la correspondiente investigación en relación con las entidades más abajo detalladas. En fecha 28 de diciembre de 2016 la Inspección de Datos de esta Agencia constató qué datos personales eran solicitados en dicha página web www.alodrink.eu/es a través del formulario de contacto arriba detallado (nombre y dirección de correo electrónico), así como para realizar el correspondiente pedido (nombre, apellidos, dirección, calle, número, código postal y ciudad); asimismo, se constató que en la web www.mynetfair.com/es de MARTINO BROS se publicitaban bebidas aromáticas ALÓ, con la dirección que se cita a continuación e indicado como tienda online la ya citada página web www.alodrink.eu/es/shop, y que en el Registro Mercantil Central estaba registrada la entidad MARTINO BROS, S.L., con NIF B*******, y dirección (C/...1), de Palma de Mallorca, Baleares, con dos administradores solidarios. TERCERO: Con fecha 19 de enero de 2017 la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa al denunciante el presente procedimiento de apercibimiento A/00526/2017. CUARTO: Con fecha 16 de febrero de 2017 tuvo entrada en esta agencia un escrito de MARTINO BROS, S.L. en el que se hacía un reconocimiento de los hechos, dado que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 “Al renovar la web, se nos pasó por alto este apartado”, por el no incluir el aviso legal correspondiente sobre protección de datos personales, algo que se ha procedido a subsanar. HECHOS PROBADOS PRIMERO: Con fecha 29 de enero de 2016 D. A.A.A. manifestó a esta Agencia Española de Protección de Datos que la página web www.alodrink.eu/es de la entidad MARTINO BROS, S.L. carecía de información sobre la política de privacidad y sin tener ningún aviso legal en relación con la LSSI. SEGUNDO: Para acreditar estos hechos aportaba el denunciante impresión con fecha 20 de enero de 2016 de dicha página web www.alodrink.eu/es, en concreto, de un formulario de contacto, en relación con bebidas denominadas ALÓ DRINK de aloe vera de distintos sabores. TERCERO: En fase de actuaciones previas los Servicios de Inspección de Datos de esta Agencia constataron en fecha 28 de diciembre de 2016 qué datos personales eran solicitados en dicha página web www.alondrik.eu/es, a través del formulario de contacto arriba detallado (nombre y dirección de correo electrónico), así como para realizar el correspondiente pedido (nombre, apellidos, dirección, calle, número, código postal y ciudad); asimismo, se constató que en la web www.mynetfair.com/es de MARTINO BROS se publicitaban bebidas aromáticas ALÓ, con la dirección que se cita a continuación e indicado como tienda online la ya citada página web www.alodrink.eu/es/shop, y que en el Registro Mercantil Central estaba registrada la entidad MARTINO BROS, S.L., con NIF B*******, y dirección (C/...1), de Palma de Mallorca, Baleares, con dos administradores solidarios. CUARTO: Con fecha 16 de febrero de 2017 tuvo entrada en esta agencia un escrito de MARTINO BROS, S.L. en el que se hacía un reconocimiento de los hechos, dado que: “Al renovar la web, se nos pasó por alto este apartado”. QUINTO: Con fecha 18 de mayo de 2017 se ha constatado por parte de la Inspección de Datos de esta Agencia que en la dirección web www.alodrink.es, al pie de su página principal existe un enlace denominado “Protección de datos”, que remite a una cláusula informativa sobre la incorporación de los datos personales a un fichero de MARTINO BROS, S.L. para gestionar la compraventa realizada, con información sobre el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. No obstante, al informar que el cliente da su consentimiento expreso para el envío de información sobre artículos y promociones por cualquier medio, incluido el electrónico, no se ofrece la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD). II El artículo 5 de la LOPD, “Derecho de información en la recogida de datos”, establece que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:

1. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
2. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
3. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
4. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
5. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
6. c)y
7. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
8. d)y
9. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten”. En el presente caso concreto, con fecha 29 de enero de 2016 D. A.A.A. manifestó a esta Agencia que la página web www.alondrik.eu/es de la entidad MARTINO BROS, S.L. carecía de información sobre la política de privacidad y sin tener ningún aviso legal. Para acreditar estos hechos aportó impresión con fecha 20 de enero de 2016 de dicha página web www.alodrink.eu/es, en concreto, de un formulario de contacto, en relación con bebidas denominadas ALÓ DRINK de aloe vera de distintos sabores. En efecto, y como consta acreditado en el expediente, en fase de actuaciones previas los Servicios de Inspección de Datos de esta Agencia constataron en fecha 28 de diciembre de 2016 qué datos personales eran solicitados en dicha página web www.alondrik.eu/es, a través del formulario de contacto arriba detallado (nombre y dirección de correo electrónico), así como para realizar el correspondiente pedido (nombre, apellidos, dirección, calle, número, código postal y ciudad); asimismo, se constató que en la web www.mynetfair.com/es de MARTINO BROS se publicitaban bebidas aromáticas ALÓ, con la dirección que se cita a continuación e indicado como tienda online la ya citada página web www.alodrink.eu/es/shop, y que en el Registro Mercantil Central estaba registrada la entidad MARTINO BROS, S.L., con NIF B*******, y dirección (C/...1), de Palma de Mallorca, Baleares, con dos administradores solidarios. Por su parte, con fecha 16 de febrero de 2017 tuvo entrada en esta agencia un escrito de MARTINO BROS, S.L. en el que se hacía un reconocimiento de los hechos, dado que: “Al renovar la web, se nos pasó por alto este apartado”. En efecto, y como consta acreditado en el expediente, con fecha 18 de mayo de 2017 se ha constatado por parte de la Inspección de Datos de esta Agencia que en la dirección web www.alodrink.es, al pie de su página principal existe un enlace denominado “Protección de datos”, que remite a una cláusula informativa sobre la incorporación de los datos personales a un fichero de MARTINO BROS, S.L. para gestionar la compraventa realizada, con información sobre el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. No obstante, hay que recordar que el artículo 21.2, párrafo segundo, de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) establece que: ”En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. De igual modo, indicar que el artículo 15 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), “Solicitud del consentimiento en el marco de una relación contractual para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 fines no relacionados directamente con la misma”, establece que: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Y en el presente caso concreto, al informar en la cláusula informativa ya citada más arriba que el cliente da su consentimiento expreso para el envío de información sobre artículos y promociones por cualquier medio, incluido el electrónico, no se ofrece la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito. III La citada infracción se encuentra tipificada como leve en el artículo 44.2.
10. c)de la LOPD, que califica como tal: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”; pudiendo ser sancionada con multa de 900 a 40.000 euros, de acuerdo con lo establecido en el artículo 45.1 de dicha Ley Orgánica. IV No obstante, el apartado 6 al artículo 45 de la LOPD establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
11. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
12. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Por otra parte, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que a su vez establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
13. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7
14. b)El volumen de los tratamientos efectuados.
15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
16. d)El volumen de negocio o actividad del infractor.
17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
18. f)El grado de intencionalidad.
19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
28. a)y
29. b)del citado apartado 6. En el presente caso procede por ello requerimiento a MARTINO BROS, S.L. en el sentido de que el aviso legal sobre protección de datos personales habilite la opción al usuario de su web para que en el proceso de registro se habilite la posibilidad de negarse a recibir comunicaciones publicitarias. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 1.- APERCIBIR (A/00526/2016) a MARTINO BROS, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, por infracción del artículo 5 de esa misma norma; infracción tipificada como leve en el artículo 44.2.
30. c)de dicha Ley Orgánica. 2.- REQUERIR a MARTINO BROS, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que en el plazo de un mes desde este acto de notificación CUMPLA con lo previsto en el artículo 5 de la LOPD. En concreto se insta al denunciado para que habilite al usuario de su web, en el proceso de registro, la posibilidad de negarse a recibir comunicaciones publicitarias. 3.- NOTIFICAR el presente Acuerdo a MARTINO BROS, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es