1/7 Procedimiento Nº AP/00044/2018 RESOLUCIÓN: R/01416/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00044/2018, instruido por la Agencia Española de Protección de Datos a la entidad AENA S.M.E., S.A., vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Fecha 12 de febrero de 2018 tiene entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) contra AENA S.M.E. S.A. (en lo sucesivo el denunciado), por los siguientes hechos según manifestaciones del denunciante: - El servicio gratuito de conexión inalámbrica a internet en el Aeropuerto de El Prat (Barcelona) no cumple con la normativa de protección de datos por lo siguiente: - 1. Se solicitan datos innecesarios para la prestación del servicio, como son: nombre, apellidos y dirección de correo electrónico. 2. La información facilitada respecto a los datos que se recaban no es adecuada ya que al usuario, tras requerirle los datos personales, se le presenta una pantalla con dos opciones: “ACEPTAR” o “RECHAZAR” dando a entender que es obligatoria la aceptación para hacer uso del servicio. Además, en la pantalla en la que se solicitan los datos personales no se informa de que son datos opcionales y no obligatorios para poder disfrutar del servicio. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al denunciado, teniendo conocimiento de la documentación aportada que: 1.1 El portal wifi del denunciado para acceso a internet permite el acceso a través de cuatro vías diferentes: Club Cliente de AENA, correo electrónico, Facebook y Linkedin. El acceso a través de Club cliente AENA es un servicio que se ofrece a clientes de AENA previamente registrados. El acceso mediante correo electrónico, se solicita al usuario la introducción de los siguientes datos: nombre, apellidos y correo electrónico. Solamente es obligatorio introducir el correo electrónico, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 aunque en la pantalla de acceso no se indica. Además es obligatorio marcar el check “Acepto las condiciones”. Una vez aceptadas las Condiciones se ofrece una nueva pantalla en la que se solicita al usuario consentimiento para el envío de comunicaciones comerciales y se facilitan dos opciones: Aceptar o rechazar. Independientemente de la opción seleccionada se permite el acceso al servicio. La conexión a través de redes sociales (Facebook o Linkedin) requiere la aceptación de las Condiciones Generales y una vez aceptadas se ofrece una nueva pantalla en la que se solicita al usuario consentimiento para el envío de comunicaciones comerciales y se facilitan dos opciones: Aceptar o rechazar. Independientemente de la opción seleccionada se requiere iniciar sesión en la red social correspondiente para el acceso al servicio wifi. Además se recoge la dirección MAC del dispositivo con la finalidad de la prestación del servicio. Según consta en las condiciones generales no será posible contratar un nuevo servicio desde el mismo equipo hasta que haya transcurrido un periodo de 24 horas. 1.2 Las Condiciones Generales de uso del servicio incluyen la Política de privacidad que contienen, entre otras, las siguientes cláusulas: o De conformidad con lo establecido en la legislación vigente en materia de protección de datos de carácter personal, AENA S.M.E., S.A. (en adelante, AENA) es responsable del fichero o tratamiento de los datos de carácter personal facilitados en la prestación del servicio Wifi. o La base legal para el tratamiento de los datos de USUARIO es la ejecución del contrato de prestación de servicio Wifi según las Condiciones Generales de Uso. La oferta prospectiva de productos y servicios con fines comerciales, publicitarios o de información general está basada en el consentimiento que se solicita al USUARIO, sin que en ningún caso la retirada de dicho consentimiento condicione la ejecución del contrato de prestación del servicio Wifi. AENA informa que no se cederán datos a terceros salvo las obligaciones previstas por Ley. En caso de ser necesario para el desarrollo de la actividad o la prestación del servicio se realizarán transferencia internacional de los datos. o AENA informa al USUARIO de que los datos personales facilitados por el mismo serán tratados con las siguientes finalidades: i. Prestar el acceso al servicio Wifi. Para poder ofrecer el servicio Wifi, AENA puede obtener datos personales de contacto que hayan sido facilitados por el USUARIO en el momento de acceder o darse de alta en el servicio Wifi. En particular le informamos que: Si el registro de acceso es realizado a través de la cuenta Facebook u otra red social, podremos utilizar los datos facilitados a través de las redes sociales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Si el registro es realizado a través de nuestro servicio de Aena Club Cliente, podremos utilizar los datos de las credenciales (usuario y contraseña) que el USUARIO ya dispone como miembro de Aena Club Cliente. Si el registro es realizado directamente a través del portal de acceso Wifi podremos utilizar los datos personales facilitados en el momento del registro para su acceso. ii. Realizar comunicaciones comerciales “Si el USUARIO acepta explícitamente mediante la marcación de la opción de aceptación, podremos utilizar los datos facilitados en el registro del alta de este servicio wifi, así como los datos obtenidos de la navegación y geolocalización para facilitarle una experiencia personalizada mediante el envío de comunicaciones comerciales y publicitarios por vía electrónica, como promociones y Cupones de descuento de las tiendas del Aeropuerto de AENA o de terceros sobre los siguientes ámbitos o sectores: Automoción y alquiler de vehículos, ocio, agencias de viajes, turismo, transporte, compañías aéreas, restauración, sector textil, moda, belleza y cosmética, financiero y asegurador, prensa y revistas, juego, apuestas.” TERCERO: Con fecha 7 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al denunciado por la presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.
- c)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 23/05/2018 el denunciado presentó escrito de alegaciones en el que, en síntesis, manifestaba: <<…En conclusión, y a pesar de no especificarse en la pantalla de acceso al servicio que la introducción del correo electrónico es obligatoria para el acceso al mismo vía correo electrónico, ello no supondría la infracción de lo estipulado en el Art. 5.1
- b)de la LOPD, ya que estaría amparado por el Art. 5.3 de la misma Ley, por especificarse ese carácter a través de la descripción del servicio y de los Términos y Condiciones del mismo. 2.- No obstante, lo alegado con anterioridad, y en aras a mostrar el firme compromiso de Aena para atender cualquier mejora posible en la recogida de datos y dejar totalmente claro a los usuarios que se conectan vía correo electrónico, que tienen que aportar su dirección de correo electrónico, se va a proceder a informar específicamente en la misma pantalla de acceso de la obligatoriedad del dato: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Dirección de correo electrónico * *Datos de carácter obligatorio…>> QUINTO: Con fecha 30/05/2018, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/01436/2018, así como la documental aportada por el denunciado. SÉXTO: Con fecha 22/06/2018, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el denunciado ha infringido lo dispuesto en el artículo 5 de la LOPD, lo que supone una infracción tipificada como leve en el artículo 44.2.
- c)de la citada norma. SÉPTIMO: Con fecha 6/07/2018 tiene entrada en esta Agencia escrito de alegaciones frente a la citada propuesta de resolución, ratificándose en las manifestaciones realizadas a lo largo del procedimiento. HECHOS PROBADOS PRIMERO: Fecha 12 de febrero de 2018 tiene entrada en esta Agencia escrito del denunciante contra el denunciado, por los siguientes hechos según manifestaciones del denunciante: - El servicio gratuito de conexión inalámbrica a internet en el Aeropuerto de El Prat (Barcelona) no cumple con la normativa de protección de datos por lo siguiente: - Se solicitan datos innecesarios para la prestación del servicio, como son: nombre, apellidos y dirección de correo electrónico. - La información facilitada respecto a los datos que se recaban no es adecuada ya que al usuario, tras requerirle los datos personales, se le presenta una pantalla con dos opciones: “ACEPTAR” o “RECHAZAR” dando a entender que es obligatoria la aceptación para hacer uso del servicio. Además, en la pantalla en la que se solicitan los datos personales no se informa de que son datos opcionales y no obligatorios para poder disfrutar del servicio. SEGUNDO: El denunciado ha comunicado a lo largo del procedimiento: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 No obstante, lo alegado con anterioridad, y en aras a mostrar el firme compromiso de Aena para atender cualquier mejora posible en la recogida de datos y dejar totalmente claro a los usuarios que se conectan vía correo electrónico, que tienen que aportar su dirección de correo electrónico, se va a proceder a informar específicamente en la misma pantalla de acceso de la obligatoriedad del dato: Dirección de correo electrónico * *Datos de carácter obligatorio…>> FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Los hechos expuestos, la recogida de datos personales sin información previa, suponen la comisión por parte del denunciado, de una infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) que establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban…” Dicha infracción aparece tipificada como leve en el artículo 44.2.
- c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. En el presente caso ha quedado acreditado que en la pantalla del denunciado en la que se solicita datos personales no se informa que datos son opcionales y no obligatorios para poder disfrutar del servicio. No obstante el denunciado ha modificado la información proporcionada a los usuarios y ha comunicado a esta Agencia en el escrito de alegaciones al Acuerdo de Inicio: <<…No obstante, lo alegado con anterioridad, y en aras a mostrar el firme compromiso de Aena para atender cualquier mejora posible en la recogida de datos y dejar totalmente claro a los usuarios que se conectan vía correo electrónico, que tienen que aportar su dirección de correo electrónico, se va a proceder a informar específicamente en la misma pantalla de acceso de la obligatoriedad del dato: Dirección de correo electrónico * *Datos de carácter obligatorio…>> Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AENA S.M.E., S.A. ha infringido lo dispuesto en el artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a AENA S.M.E., S.A. y al MINISTERO DE FOMENTO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es