1/10 Expediente N.º: EXP202411223 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 27 de junio de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra Z99M DIGITAL CONSULTING, S.L. con NIF B06916977 (en adelante, la parte reclamada o Z99MDIGITAL). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que tras la recepción de llamadas comerciales de la mercantil ***EMPRESA.1, ejercitó en fecha 08/05/2024 el derecho de acceso y le contestaron que efectivamente sí tratan sus datos y que el responsable del tratamiento es la mercantil reclamada. El 16/05/2024 ejercitó de nuevo el derecho de acceso y recibe contestación los días 6 y 24 de junio informándole de que habían obtenido sus datos a través del formulario de participación en el sorteo (...) en el sitio web: ***WEB.1 y que marcó voluntariamente la casilla correspondiente al consentimiento al tratamiento de sus datos para participar en el sorteo y las casillas opcionales correspondientes a la autorización del uso de sus datos con fines comerciales y al consentimiento a la comunicación de los mismos a terceros. Expone que indicó a la parte reclamada que él no había introducido sus datos personales a través de ningún formulario, y que no contaban con su consentimiento. La entidad reclamada contesta que no dispone de la tecnología necesaria para poder certificar la identidad de las personas que remiten los datos a través de los formularios habilitados en sus sitios web. El reclamante niega rotundamente que haya facilitado sus datos a través de la página web ***WEB.1, ni para participar en un sorteo, ni para que sus datos fueran utilizados para fines comerciales. Junto al escrito de reclamación aporta copia de las comunicaciones intercambiadas con la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de agosto de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 6 de septiembre de 2024 se recibe en esta Agencia escrito de respuesta exponiendo la siguiente información: El 24/06/2025 la parte reclamada, ante la comunicación del reclamante de que no había introducido sus datos en ningún formulario, responde aportando información detallada, según la parte reclamada, “que confirma los datos ya suministrados por el denunciante, en concreto, se aportan detalles técnicos de navegación que están a disposición en nuestro sistema como evidencia: - Ante su rotunda negativa de haber suministrado sus datos: ‘…le confirmamos que los datos se facilitaron el día (…) desde la dirección IP pública ***IP.1 y con identificación del navegador (…). - Ante la información que aporta sobre la geolocalización de su IP: ‘…si se utiliza la aplicación de geolocalización https://ipapi.co, le informa que la dirección IP que consta en nuestro registro de alta está situada en ***LOCALIDAD.1 […]. No obstante, si utiliza otras aplicaciones de geolocalización con la misma IP como pueden ser: (db-ip.com o ipinfo.io), (…).’ Lo que rebate la rotundidad de su manifestación/argumento sobre la imposibilidad de que fuera él porque ese día estaba geolocalizado en un lugar diferente”. Dice la parte reclamada que, tras la reclamación, se ha realizado una “revisión íntegra de los procesos de obtención de datos y de los consentimientos expresos […], y el resultado ha sido satisfactorio. […] se ha detectado un nuevo protocolo que ha sido compartido e informado con los responsables de los canales de atención al cliente”. Respecto al proceso de alta y las medidas de seguridad aplicadas, informa lo siguiente: “[…] El proceso de alta en el sorteo se realiza a través de la página web: ***WEB.1 es gratuito y voluntario, por lo que cualquier persona puede darse de alta en el sorteo en curso introduciendo los datos personales y aceptando las condiciones del tratamiento marcando las casillas de consentimiento en las que se informa de la política de privacidad […]. […] En la política de privacidad […] se informa, en el apartado ‘Cómo obtenemos sus datos’, que el usuario es responsable de la veracidad de los datos que introduce en el formulario […]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 […] También ser informa, en el apartado ‘Finalidad con la que tratamos los datos que nos ha proporcionado”, las finalidades comerciales que el titular, en su caso puede consentir de forma libre y voluntaria’ […]. […] Los datos que el usuario puede rellenar en el Formulario de Participación son los siguientes: (pantallazo de la página web con el formulario de inscripción donde aparecen los datos nombre, apellidos, dirección, CP, localidad, provincia, teléfono, e-mail, fecha de nacimiento, género, código de validación CAPTCHA). […] Para darse de alta, el único requisito es que el usuario debe ser mayor de 18 años y no haberse inscrito previamente en el mismo sorteo. […] el usuario debe aceptar obligatoriamente la primera cláusula marcando la casilla correspondiente […] y de forma opcional las otras 2 cláusulas: (pantallazo de la página web con el formulario de inscripción con tres párrafos y un cuadro de selección cada uno: - En el primero dice que se acepta que los datos sean tratados por la reclamada con la finalidad de participar en el sorteo. Forma de ejercer los derechos y enlace a la política de privacidad. - En el segundo dice que se acepta recibir comunicaciones comerciales sobre los sectores incluidos en la política de privacidad. - En el tercero se acepta que la reclamada ceda el tratamiento a terceras empresas, para el envío de comunicaciones comerciales. Permite seleccionar los sectores de actividad mediante un enlace.) […] El sistema para poder permitir el registro comprueba la edad y que los datos que son obligatorios estén rellenos y, para evitar que un ‘robot’ pueda dar de alta datos de forma automática, tiene un CAPTCHA que es obligatorio completar. […] En ese momento (haber pulsado el botón de ‘Inscribirse’), el sistema registra los datos personales y dependiendo de las casillas de consentimiento que ha marcado, almacena los datos o bien solamente en la actividad de tratamiento ‘Sorteos’ […] o también en la actividad de tratamiento ‘Gestión Comercial’ […]. Se adjunta como anexo el Registro de Actividad de Tratamiento […]. Asímismo, se almacenan tanto la dirección IP como el ‘User Agent’ del dispositivo en el que el usuario ha realizado el registro. Una vez registrado, el sistema envía un correo electrónico a la dirección de correo electrónico que el usuario ha introducido. (pantallazo con el formado del correo donde informa del correo en el que se ha inscrito, dando la opción mediante un enlace a darse de baja en caso de no haberse inscrito o mediante la dirección de un correo electrónico. Además, informa con los datos de la reclamada). Sobre los informes técnicos y análisis de riesgos de los tratamientos, dice: “Respecto a los tratamientos ‘Sorteos’ y ‘Gestión Comercial’, se realizan anualmente análisis de riesgos de los tratamientos para comprobar si el nivel de riesgo aumenta, disminuye o se mantiene […]. La parte reclamada señala que el último análisis de riesgos se realizó el 19/10/2023, para calcular el riesgo tienen “en cuenta el número total de solicitudes de derechos que se han recibido y las reclamaciones por altas no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 reconocidas. […] teníamos 2670 solicitudes de derechos y solamente 3 reclamaciones por altas no reconocidas realizadas desde el año 2021” por lo que, el reclamado considera que el tratamiento de “Sorteos” y “Gestión Comercial” tiene un riesgo bajo y, por tanto, “no es necesario implantar controles de seguridad adicionales a los ya implantados. Además, a este nivel de riesgo, hay que tener en cuenta que determinados usuarios nos han informado, una vez que les hemos facilitado los datos de que disponemos, que han sido familiares suyos los que han introducido sus datos para aumentar las posibilidades en el sorteo”. Añadiendo la reclamada que “no está obligada a cumplir con la dimensión de seguridad de ‘Autenticidad’ ya que no es de obligado cumplimiento para las empresas privadas que no preste servicios a la administración pública el cumplimiento del Esquema Nacional de Seguridad (ENS)”, concluyendo el reclamando que “en nuestro sistema de tratamiento no podemos garantizar la autenticidad del usuario.”. Dice la parte reclamada que con motivo de la reclamación y debido a que la probabilidad de que la “suplantación de identidad” aumente, en agosto de 2024, realizaron un análisis de riesgo extraordinario pasando este riesgo a probabilidad alta, “recomendando a la Dirección que abra un plan de tratamiento de riesgos ‘PTR-004’”. Continúa diciendo que “se han analizado distintas opciones” pero que “ninguno nos garantiza al 100% la autenticidad del usuario”. Respecto al “PTR-004” dice que “el usuario pueda registrarse en la página web, durante el proceso de alta se le enviará un código al teléfono o al correo electrónico que haya introducido y, para que el proceso de inscripción finalice con éxito, deberá registrar dicho código, que se almacenará cifrado en la base de datos en el registro de inscripción con un algoritmo de cifrado no reversible (hash) SHA-256. De esta forma, para poder realizar la inscripción se deberá comparar el hash del dato introducido por el usuario con el hash almacenado en la base de datos y se garantizará que solo el usuario que ha recibido el código en su dispositivo es la única persona que conoce este código”, técnica conocida como OTP (One Time Password). TERCERO: Con fecha 11 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 Según la parte reclamada, los datos se obtienen porque los usuarios cumplimentan un formulario web para la participación en sorteos. En dicho formulario existen tres opciones de aceptación del consentimiento para el tratamiento de datos: - Con la finalidad de participar en el sorteo. - Para recibir comunicaciones comerciales. - Y, para la cesión de datos a patrocinadores y terceras empresas. La primera aceptación es obligatoria para poder inscribirse en el sorteo, el resto son opcionales. El reclamado dispone de varios dominios para la realización de sorteos, de los que informa en el documento 9 aportado como copia del contrato con un intermediario: Para el caso de la reclamación, el reclamado dice que el reclamante se inscribió en un sorteo de la página web ***WEB.1 y para acreditarlo presenta los mismos datos, que ya fueron aportados en la respuesta al traslado de la reclamación. Sobre las casillas de aceptación que marcó el reclamante en el formulario del sorteo dice el reclamado que: "[…] como se acreditó, el reclamante cumplimentó todos los campos obligatorios y procedió a marcar la totalidad de las casillas disponibles (checkboxes), incluida la correspondiente al consentimiento para la cesión de sus datos a terceros para finalidades comerciales, lo cual quedó registrado en nuestros sistemas, dato que también ha sido aportado." Afirmando, el reclamado, que el "[…] consentimiento queda debidamente documentado y registrado en los sistemas internos de la empresa, conservándose evidencias técnicas (logs, sellado temporal, metadatos de origen) que permiten acreditar su existencia en caso necesario." Con los datos aportados por el reclamado, éste no puede acreditar el lugar en el que se encontraba el dispositivo cuando se realizó la inscripción al sorteo. Con la información presentada, el reclamado no puede identificar el dispositivo desde el que se envió la información ni conocer la identidad de la persona que realizó la acción. Conclusión a la que también llega el reclamado en su primer escrito al afirmar que "en nuestro sistema de tratamiento no podemos garantizar la autenticidad del usuario" por lo que no puede saber si el usuario que proporciona los datos y los envía es quien dice ser. Por lo tanto, el reclamado no puede conocer si fue el reclamante quien introdujo los datos del formulario y quien marcó las casillas dando el consentimiento para el tratamiento de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 Se ha comprobado en esta investigación, mediante diligencia incorporada en el expediente, que se ha implantado el envío del código OPT al número móvil indicado para poder continuar con la inscripción, verificación que no existía en el momento de los hechos de la reclamación. También, se ha verificado el envío del correo electrónico avisando de la inscripción en el sorteo y de la posibilidad de darse de baja si el alta ha sido errónea. Así como, las validaciones de edad, de la introducción del código CAPTCHA (para evitar la introducción de datos por máquinas), de una inscripción por persona en el sorteo y de la aceptación de la primera cláusula de tratamiento de datos para participar en el sorteo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.