1/8 Expediente N.º: EXP202300600 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 2 de diciembre de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra FUNDACIÓ PRIVADA BANC DELS ALIMENTS con NIF G58443771 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El 3 de diciembre de 2021 la parte reclamante donó una cantidad de dinero puntual a la parte reclamada y solicitó la desgravación fiscal. A los citados efectos aceptó la política de privacidad de la parte reclamada. Según afirma, la parte reclamada se encontraba habilitada para tratar sus datos hasta el momento en el que expiraba el plazo para presentar la declaración de la renta, el cual finalizó el 30 de junio de 2022. Con posteridad a la citada fecha la parte reclamada efectuó diversas llamadas para solicitar una nueva donación. En la última llamada recibida, la parte reclamante comunicó al interlocutor que no se encontraban habilitados para tratar sus datos, contestándole el empleado de la parte reclamada que "Cuando usted hizo la donación puntual subscribió nuestra política de privacidad, nos autorizó para hacerle estas llamadas." La parte reclamante manifiesta que la parte reclamada trata sus datos de forma ilícita, en la medida que solamente consistió el tratamiento de sus datos para efectuar una donación puntual. El 16 de septiembre y el 2 de octubre de 2022 remitió un correo electrónico a la dirección que consta en la política de privacidad de la parte reclamada para solicitar información relativa a la habilitación legal que permitía utilizar sus datos. Dicha petición no ha sido atendida. Junto a la reclamación aporta los correos remitidos a la parte reclamada el 16 de septiembre y el 2 de octubre de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 9 de marzo de 2023, como consta en el certificado que obra en el expediente. Con fechas 9 y 14 de marzo de 2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: Que la parte reclamada es una entidad sin ánimo de lucro cuyo fin social es la lucha contra el despilfarro alimentario y la ayuda alimentaria a persones en riesgo de exclusión social. Se indica que la parte reclamante es suscriptor desde el año 2018 de la revista que mensualmente remite la Fundación a sus donantes. Se explica que, con motivo de lograr más donaciones, se contratan los servicios de una empresa que fue la encargada de realizar las llamadas a la parte reclamante para solicitarle una nueva donación económica para la adquisición de alimentos. Tras la última llamada, en fecha 14 de septiembre de 2022, ante la consulta del procedimiento de baja, se le comunica que se trasladará su voluntad de darse de baja a la parte reclamada. Posteriormente, en fecha 15 de septiembre de 2022, la parte reclamante solicitó su baja como receptor de la revista citada anteriormente. Se relata que con fecha 16 de septiembre de 2022, la parte reclamante solicitó información de la disposición legal que habilitaba al tratamiento de sus datos y en qué momento había dado su autorización, pero no se acredita la respuesta que se le facilitó. Consecuentemente, esta AEPD solicita información adicional que acredite la citada respuesta, se explica que todas las comunicaciones entre las dos partes se han realizado de forma telemática, sin que exista un documento físico. Así, se indica que cuando la parte reclamante se suscribió a la revista mensual en el año 2018 marcó obligatoriamente si aceptaba o no el tratamiento de sus datos personales por la parte reclamada; y cuando hizo la donación facilitó sus datos personales para la emisión del certificado fiscal. TERCERO: Con fecha 2 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento basado en el consentimiento del afectado El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." El artículo 6.2 de la LOPDGDD establece que "Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas." III Recepción de llamadas El tratamiento de datos personales con fines de mercadotecnia directa está expresamente previsto, con carácter general, en la normativa de protección de datos, no descartándose cuando concurra el consentimiento o un interés legítimo del responsable del tratamiento, especialmente en aquellos supuestos en que exista una relación pertinente y apropiada con el interesado, por ejemplo, por su condición de cliente, que permita a este prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tales fines; o cuando se ha facilitado el consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 No obstante, los afectados tienen derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles, en la medida en que esté relacionada con la citada mercadotecnia, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno. El derecho de oposición está expresamente previsto, en particular, en la normativa específica de telecomunicaciones, respecto de las llamadas telefónicas no deseadas con fines de comunicación comercial. Con carácter general, si no desea recibir llamadas comerciales de carácter promocional puede dirigirse a la entidad promocionada, sea o no cliente, identificándose como usuario de la línea telefónica en la que no desea recibir las llamadas y manifestándole su negativa u oposición al tratamiento de sus datos personales con fines publicitarios. Deberá utilizar los medios puestos a su disposición para el ejercicio de los derechos, generalmente accesibles en el sitio web del responsable, pudiendo no ser acreditable la recepción de solicitudes a través de otros canales de contacto distintos de los expresamente previstos. En este sentido, los responsables de tratamiento ponen a disposición de las personas afectadas vías específicas (dirección postal, formulario web o dirección de correo electrónico) para ejercitar los derechos previstos en la normativa de protección de datos. Estas vías se detallan en el documento de Política de privacidad o en el Aviso legal, generalmente accesibles en el sitio web del responsable. Debe saber que, si sus datos personales identificativos figuran en las guías de telecomunicaciones disponibles al público, también puede ejercitar sus derechos ante el operador que le presta el servicio de telefonía, para que le excluya de los ficheros que emplean las entidades autorizadas por la Comisión Nacional de los Mercados y la Competencia para elaborar las guías de abonados o bien para que se haga constar en los mismos su oposición al tratamiento comercial de los datos. De la misma forma, puede solicitar la omisión en las guías de algunos de sus datos. Puede registrar sus datos en sistemas de exclusión publicitaria como el gestionado por la Asociación Española de Economía Digital (***URL.1), con objeto de limitar la recepción de comunicaciones de mercadotecnia directa de entidades que previamente no hayan obtenido su consentimiento, resultando eficaz transcurridos dos meses desde la fecha de la inscripción. En el blog de la Agencia puede recibir consejos para evitar la publicidad no deseada. Sin perjuicio de otras acciones, puede hacer uso de la funcionalidad que suelen ofrecer los sistemas operativos de los terminales móviles para bloquear de forma automática las llamadas no deseadas, particularmente cuando proceden de una determinada línea telefónica o cuando no figuran en su agenda de contactos. Puede consultar los detalles de esta funcionalidad a través del correspondiente canal de ajustes de llamadas y/o mensajes. Si no logra evitar la recepción de publicidad, puede formular una reclamación online a través del sistema de resolución extrajudicial implementado por AUTOCONTROL (Asociación para la Autorregulación de la Comunicación Comercial) y regulado en el Código de Conducta para el Tratamiento de Datos en la Actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Publicitaria, que ha sido aprobado por la AEPD. En ***URL.2 puede consultar los requisitos de este servicio ágil, rápido y gratuito. Si opta por formular una nueva reclamación ante la AEPD, deberá indicar necesariamente el número de la línea telefónica en la que se estén recibiendo las llamadas, así como la identidad de la entidad llamante o promocionada, el número de la línea llamante y una evidencia documental (imagen fotográfica del terminal o pantallazo, donde se pueda apreciar el instante horario de la recepción, indicando asimismo la fecha exacta) de las llamadas recibidas con posterioridad a la respuesta confirmatoria de su solicitud de oposición, o, de no haberse producido esta, después del transcurso de un mes desde la recepción de su solicitud por dicha entidad, o transcurridos dos meses desde la inscripción en el sistema de exclusión publicitaria. En el primer caso, deberá acompañar copia de la solicitud de oposición, de la documentación que acredite la recepción de su petición y de la respuesta que hubiera recibido. En el segundo caso, deberá aportar acreditación documental de la fecha desde la que la línea receptora figura inscrita en el sistema de exclusión. La normativa de protección de datos pone a disposición de los afectados varios mecanismos para la resolución de las cuestiones relativas al tratamiento de sus datos personales. Si alberga dudas al respecto o desea ejercitar sus derechos puede, a través de los canales de contacto expresamente previstos, dirigirse directamente al responsable del tratamiento. En el caso de que el responsable no haya resuelto las cuestiones planteadas, puede alcanzar una solución amistosa, poniéndose en contacto con el Delegado de Protección de Datos (DPD) que, en su caso, haya designado el responsable o el encargado de tratamiento, entre cuyas funciones figura la de supervisar en su ámbito el cumplimiento de la normativa de protección de datos. También puede, sin perjuicio de las acciones ejercitables ante los Tribunales de Justicia, hacer uso de los mecanismos de mediación, procedimientos extrajudiciales y otros procedimientos de resolución de conflictos previstos para resolver las controversias surgidas con los responsables del tratamiento. A través de www.aepd.es puede obtener información adicional, incluyendo formularios para el ejercicio de sus derechos. En el supuesto objeto de este expediente, no consta que la parte reclamante hubiese ejercido a través de alguna de estas vías, su derecho de oposición a la recepción de llamadas telefónicas con fines comerciales. IV Acceso a causa legitimadora del tratamiento En relación a la solicitud de acceso referida a la causa legitimadora del tratamiento, el artículo 15 del RGPD indica: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” El reclamante indica que todas las comunicaciones entre las dos partes se han realizado de forma telemática, sin que exista un documento físico acreditativo, además de constar en la política de privacidad de la Fundación. V Conclusión En el presente caso, tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se aprecian indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FUNDACIÓ PRIVADA BANC DELS ALIMENTS y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es