1/11 Expediente N.º: EXP202405616 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de febrero de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra DYNATA GLOBAL UK LIMITED con NIF GB760956209 (en adelante, DYNATA). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que en la web de encuestas online opineygane.com le solicitan que confirme su identidad con su socio ***EMPRESA.1, accediendo al sitio web de dicho socio y proporcionando una fotografía suya y una identificación válida emitida por las autoridades, para poder continuar con su membresía. Junto a la notificación se aporta: - Captura de pantalla de la web propiedad de “©2024 DYNATA,LLC f/k/a Survey Sampling International, LLC. All Rights Reserved”, donde aparece la siguiente solicitud: “VERIFICACIÓN REQUERIDA Para ayudarnos a proteger su cuenta contra un posible acceso no autorizado, le solicitamos que confirme su identidad con nuestro socio seguro, ***EMPRESA.1. Haga clic en el botón a continuación para acceder al sitio web de ***EMPRESA.1. Deberá proporcionar una fotografía suya y una identificación válida emitida en el país donde se encuentra este panel de encuestas (por ejemplo, licencia de conducir, documento nacional de identidad o pasaporte). COMPROBAR Y CONTINUAR ***EMPRESA.1 utilizará su información únicamente con fines de verificación (haga clic para acceder a la política de privacidad). ¿No quieres comprobarlo? Puedes cancelar tu membresía aquí.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a DYNATA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 La notificación del traslado de la reclamación se practicó a DYNATA, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), y fue realizada en fecha 19 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. El anterior escrito de solicitud de información no fue contestado por la parte reclamada, a pesar de que consta acreditada su notificación el 5 de noviembre 2024 en el domicilio fiscal de DYNATA en Londres (Reino Unido). El 14 de noviembre de 2024 la parte reclamada presentó un escrito ante esta Agencia confirmando la recepción del anterior requerimiento y solicitando una ampliación de plazo para su contestación. Con fecha de 18 de noviembre de 2024, en contestación al escrito por el que la parte reclamada solicitaba una ampliación del plazo para atender el requerimiento efectuado, se acordó ampliar el plazo de contestación hasta un máximo de cinco días. Esta comunicación fue enviada por medio de un certificado internacional de Correos y consta como notificada el 22 de noviembre de 2024. Con fecha 12 de marzo de 2025 se envió una reiteración del anterior requerimiento a través del correo electrónico a la empresa reclamada, DYNATA, a la dirección de correo electrónico: ***EMAIL.1, que constaba en el escrito de solicitud de ampliación de plazo de contestación de 18 de noviembre de 2024. TERCERO: Con fecha 24 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1) La página web “opineygane.com” está en castellano. En el apartado “Acerca de nosotros”, https://www.opineygane.com/about, describe su actividad de la siguiente forma: “Podríamos decirte que Opine y Gane es la organización de encuestas mejor remunerada del mundo. Pero no nos gusta alardear. Nos gusta considerarnos una comunidad de investigación de mercado. Los miembros realizan encuestas en línea, completan estudios diarios y prueban nuevos productos en su tiempo libre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 A cambio, les ofrecemos tarjetas de regalo y vales de algunas de las mejores marcas que existen. Llevamos operando desde 2004 y actualmente tenemos más de tres millones de miembros en todo el mundo.” 2) En el apartado “Aspectos legales” de la web https://www.opineygane.com/es/ se recoge lo siguiente: “Información legal Propietario del sitio web: DYNATA Global UK Limited ("DYNATA") País de registro de DYNATA: Inglaterra Número de sociedad: 3975073 Registro de IVA: GB 760 9562 09 Domicilio social y dirección de contacto de DYNATA: The Panel Manager c/o DYNATA Global UK Limited Devon House 58 St. Katharine's Way, Londres E1W 1JP Reino Unido Ley vigente para este sitio web: Inglaterra Actividades de DYNATA Las actividades de DYNATA se dividen en dos áreas distintas: la selección de paneles de personas que desean participar en una variedad de encuestas y la venta de servicios de estudios de mercado. DYNATA está en fase de selección de paneles en muchos países del mundo. Los datos recabados de las distintas personas se envían al Reino Unido, donde se encuentra la base de datos. DYNATA recopila información básica de todas las personas que se registran para ser panelistas, información que se utiliza para establecer qué personas son las adecuadas para participar en proyectos de encuestas concretos. DYNATA vende servicios de estudio de mercado sobre diversos temas a otras organizaciones de investigación y empresas comerciales. Los clientes proporcionan a DYNATA especificaciones sobre la información que desean recopilar y el tipo de personas de los que DYNATA debe obtener las respuestas. Las especificaciones incluyen datos como edad, origen étnico, certificaciones y ocupación. DYNATA desarrolla (…) DYNATA facilita después al cliente los datos anónimos sin procesar o un informe con la información que se solicitó inicialmente.” 3) En la política de privacidad de la página web https://www.opineygane.com/es/privacy (dice que esta versión entró en vigor el 25 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 abril de 2024 y que la primera fecha de entrada en vigor fue el 1 de enero de 2005), señala lo siguiente en relación a los responsables del tratamiento: “La Política de privacidad describe cómo DYNATA Global UK Limited (f/k/a Research Now Limited) y DYNATA, LLC (f/k/a Survey Sampling International LLC) y sus empresas matrices, subsidiarias y afiliadas (colectivamente “DYNATA”, “nosotros” o “nuestro”) procesan los Datos personales en el contexto de las comunidades de paneles en línea, encuestas, programas de recompensas, sitios web y aplicaciones móviles (colectivamente el “Servicio”). En concreto, describe los tipos de Datos personales que recopilamos en relación con el Servicio, los objetivos para los que recopilamos esos Datos personales, las otras partes con las que podemos compartirlos y las medidas que adoptamos para proteger la seguridad de los datos. También le informa de sus derechos y opciones respecto a sus Datos personales y cómo puede ponerse en contacto con nosotros para actualizar su información de contacto o hacer preguntas sobre nuestras prácticas de privacidad.” 4) Esta página web reconoce en el enlace ***URL.1, el uso de “***EMPRESA.1”, como certificador, y cita al respecto lo siguiente: “PROTEJA SU CUENTA CON ***EMPRESA.1 Su seguridad es extremadamente importante para nosotros, por eso nos hemos asociado con un sistema de verificación global llamado ***EMPRESA.1 para ayudar a mantener la información de su cuenta segura y protegida. ***EMPRESA.1 cuenta con la confianza de cientos de marcas en todo el mundo, (…). Cumplen con las pautas de accesibilidad CCPA, RGPD, SOC2 tipo II, ISO 27001 y WCAG. Al confirmar su identidad, puede evitar el acceso no autorizado a su cuenta Y a cualquier información sensible de la misma. ¿Cómo funciona? Durante la fase de canje, se le puede pedir que verifique su identidad a través de ***EMPRESA.1: Cuando aparezca el mensaje, haga click en el botón "Verificarme" para acceder al sitio de ***EMPRESA.1. Tome una foto de usted y de un documento de identidad válido (por ejemplo, carnet de conducir, DNI o pasaporte) expedido por el país donde este panel de encuesta está basado. Ya está todo hecho y verificado! ¿Qué pasará con mi información? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 ***EMPRESA.1 utilizará su identificación estrictamente con fines de verificación. Será encriptado y almacenado en su sistema, el cual cuenta con la Certificación SOC 2 Tipo 2. Esto significa que tus datos permanecerán seguros, confidenciales y protegidos. Tómese un momento para revisar la política de privacidad de ***EMPRESA.1.” 5) Los términos y condiciones de la página web https://www.opineygane.com/es/terms, incluyen en el apartado 8 “Programas de recompensas”, entre otros, el siguiente: “M. Puede que haya que recoger, tratar o divulgar información personal en relación con el programa de recompensas de DYNATA o cualquier solicitud para canjear una recompensa o incentivo. Al aceptar estos Términos, usted acepta la recogida, el tratamiento o la divulgación de su información personal para dichos fines, y dicha información personal estará sujeta a los términos establecidos en la Política de privacidad de DYNATA. El canje de la ***TARJETA.1 o ***TARJETA.2 puede requerir la verificación de su identidad por parte de la institución financiera responsable de emitir su ***TARJETA.1 y ***TARJETA.2, y dicha verificación puede requerir que usted proporcione su fecha de nacimiento, número de identificación fiscal e información similar.” 6) Los términos y condiciones de la página web https://www.opineygane.com/es/terms, incluyen en el apartado 20 “Notificación legal”, lo siguiente: “C. Notificación legal. Todas las inquietudes relativas a estas Condiciones y todas las notificaciones legales deben ser enviadas, de conformidad con la sección 21.A. de estas Condiciones, a: DYNATA, LLC 4 Research Drive Suite 300 Shelton, Connecticut 06484. Attn: Legal Team O Devon House 58 St Katharine's Way London E1W 1LB, United Kingdom Attn: Legal Team/p> O por correo electrónico a la dirección: LEGAL@DYNATA.com” 7) En cuanto a la legislación aplicable, jurisdicción y competencia, indica en el apartado 22, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 “Las presentes Condiciones y su acceso, uso y participación en los Servicios estarán regidos y serán interpretados en virtud de las leyes del estado de Connecticut, EUA, independientemente de cualquier elección de principios legales (ya sea de Connecticut o de cualquier otra jurisdicción) que pueda estipular la aplicación de leyes de una jurisdicción diferente. Todos los reclamos o conflictos que surjan en relación con estas Condiciones o su acceso, uso y participación en los Servicios estarán sujetos a la jurisdicción exclusiva de los tribunales estatales o federales ubicados en el condado de Fairfield, Connecticut, EUA.” 8) En relación a la sociedad de verificación, “***EMPRESA.1”, (…) hay que señalar que es una sociedad domiciliada en Estonia (UE). De acuerdo a su sitio de internet (…) dispone de una “plataforma de verificación de identidad con inteligencia artificial para prevención de fraudes, cumplimiento normativo y protección de tus clientes”. La plataforma de verificación de identidad está descrita en (…). Asimismo, existen referencias a la utilización de biometría en el contexto de la verificación de identidad (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la DYNATA realiza, entre otros tratamientos, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, fecha de nacimiento y correo electrónico. DYNATA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. III Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" De forma concreta, el principio de minimización de datos, recogido en el artículo 5.1
- c)del RGPD, tiene como finalidad garantizar que únicamente se traten los datos personales estrictamente necesarios para alcanzar el propósito legítimo del tratamiento, evitando la recogida o utilización de información excesiva o desproporcionada. Al reducir la cantidad de información tratada, se minimizan también los riesgos asociados a posibles accesos no autorizados, brechas de datos personales o usos indebidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 En el presente caso, el reclamante manifiesta que DYNATA ha solicitado que confirme su identidad mediante una identificación válida emitida por las autoridades, para poder continuar con su membresía. Cabe señalar que la participación en la plataforma de DYNATA conlleva que el usuario de la web https://www.opineygane.com, se registra para ser panelistas y acepta participar en encuestas a cambio de recompensas. Así se reconoce expresamente en el apartado “Actividades de Dynata” y en los términos y condiciones de uso, donde se establece que el usuario, al acceder o participar en los servicios, acepta las condiciones y el funcionamiento del programa de incentivos. En este sentido, la correcta identificación de quien se registra responde a la finalidad legítima de gestionar del programa de incentivos o recompensas y resulta imprescindible para garantizar la trazabilidad de dichas recompensas, evitando así prácticas fraudulentas tales como la creación de múltiples cuentas por una misma persona o la utilización de identidades ajenas. En el apartado 8 de “Programas de recompensas” de las condiciones de uso se indica que “puede que haya que recoger, tratar o divulgar información personal en relación con el programa de recompensas de DYNATA o cualquier solicitud para canjear una recompensa o incentivo” y que el canje de tarjetas ***TARJETA.1 o ***TARJETA.2 “puede requerir la verificación de su identidad […] lo que puede requerir que usted proporcione su fecha de nacimiento, número de identificación fiscal e información similar”. Por tanto, la solicitud de un documento de identidad y su foto formaría parte de las medidas necesarias para asegurar que las recompensas se entregan a los interesados legítimos. El artículo 5.1.
- c)del RGPD establece que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. En este caso, no existen evidencias de un tratamiento excesivo de datos. IV Presunción de inocencia La Sentencia del Tribunal Supremo de 29 de enero de 1994, recogiendo una línea jurisprudencial consolidada, advierte que "tanto el T.C. (STC de 8.6.81 y 3.10.83, entre otras), como el T.S. (SSTS de 26.4. y 17.7.82) han perfilado una doctrina en materia de derecho sancionador, de la que merecen destacarse como líneas maestras las siguientes: (…) 2º.- En materia de Derecho Administrativo sancionador son de aplicación los principios generales del Derecho Penal, coincidentes sustancialmente con los principios esenciales reflejados en el art. 24 CE. en materia de procedimiento, y han de ser aplicables en la medida necesaria para preservar los valores esenciales que se encuentran en la base del precepto y la seguridad jurídica que garantiza el art. 9 CE 3º.- Lógica consecuencia de todo ello es que la presunción de inocencia, proclamada en el párrafo 2º de tal precepto, supone que la carga probatoria de los hechos en que se basa recae sobre la parte que los imputa, y por otra parte, que el principio de tipicidad exige también para su aplicación la plena concordancia de los hechos imputados en las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 previsiones prácticas aplicables al caso.” Por tanto, para extrapolar al Derecho Administrativo sancionador los principios de la esfera punitiva, ha de exigirse que la conducta infractora reúna los requisitos que en el ámbito Penal se establecen para los delitos y faltas. En consecuencia, la responsabilidad administrativa no puede asentarse en una ausencia de certeza plena sobre los hechos imputados, pues toda sanción ha de apoyarse en una actividad probatoria de cargo o de demostración de la realidad de la infracción que se reprime, sin la cual la represión misma no es posible (Sentencias del Tribunal Constitucional de 11 de marzo de1985, 11 de febrero de 1986, y 21 de mayo de 1987), y, ello, porque al beneficiar la presunción de inocencia al administrado en el ámbito de la potestad sancionadora de la Administración (de conformidad con el artículo 24.2 de la Constitución), ha declarado la Sentencia del Tribunal Constitucional de 8 de marzo de 1985 que dicha presunción no puede entenderse reducida al estricto campo del enjuiciamiento de conductas presuntamente delictivas, sino que debe presidir también la adopción de cualquier resolución o conducta, de las personas de cuya apreciación derive un resultado sancionador o limitativo de sus derechos, comportando el Derecho a la presunción de inocencia que la sanción esté reprochada, que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio, toda vez que el ejercicio del "ius puniendi", según la Sentencia del Tribunal Constitucional de 26 de abril de 1990,está condicionado en sus diversas manifestaciones por el artículo 24.2 de la Constitución al juego de la prueba y a un pronunciamiento contradictorio en el que puedan defenderse las propias posiciones. El principio de Presunción de Inocencia es un Derecho Fundamental reconocido en el artículo 24.2 de la Constitución Española. 2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia. Es conocido que el Tribunal Supremo (vid. STS, 2ª, nº 459/2018, de 10 de octubre), modificando su anterior jurisprudencia, entiende que el principio in dubio pro reo forma parte del Derecho a la presunción de inocencia. La presunción de inocencia supondría la exigencia ineludible de concurrencia de prueba de cargo lícita y válida suficiente para dotar de certeza a la tesis acusatoria. Por su parte, el principio in dubio pro reo actuaría en un momento posterior del estadio de la valoración probatoria, una vez superado por la acusación el umbral de la presunción de inocencia del acusado. De alguna forma, la presunción de inocencia haría referencia a la existencia de prueba de cargo objetivamente convincente, mientras que in dubio pro reo se aplicaría a aquellos casos en los que el Tribunal, a pesar de existir esa prueba de cargo objetivamente suficiente para fundar una condena desde la perspectiva de la presunción de inocencia, albergara alguna duda subjetiva sobre la culpabilidad del acusado. En esos casos, se entiende por nuestra Jurisprudencia que, si el Tribunal mantiene sus dudas y su “falta de convicción”, debe, en todo caso, absolver al acusado. Y si a pesar de ello C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 le condena y hay constancia en la Sentencia de esas dubitaciones, la resolución debe ser revocada o casada en vía de recurso. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. En consecuencia, procede acordar el archivo de las actuaciones conforme al principio de presunción de inocencia. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a DYNATA GLOBAL UK LIMITED y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es