1/5 Expediente Nº: E/00377/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por A.A.A. relativo a la ejecución del requerimiento de la resolución de referencia R/00126/2015 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00381/2014, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00381/2014, a instancia de B.B.B. D.D.D., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
- c)de la Ley Orgánica15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) y por la infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico ( en lo sucesivo LSSI) tipificada como leve en su artículo 38.4.d). Dicho procedimiento concluyó mediante resolución R/00126/2015, de fecha 2 de febrero de 2015 por la que se resolvía (…) REQUERIR a FORO ACCE de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de UN MES desde este acto de notificación: 2.1 CUMPLA lo previsto en el artículo 5 de la LOPD, estableciendo un sistema de información en la recogida de datos de carácter personal a través de la página web que informe en los extremos que recoge el citado precepto. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. (…)REQUERIR a A.A.A. de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de UN MES desde la notificación de la presente resolución. 4.1 CUMPLA lo previsto en el artículo 21.1 y 2 de la LSSI, para lo que se insta a dicha entidad a establecer mecanismos que eviten el envío de comunicaciones comerciales, en particular a la dirección de correo del denunciante, y en general a cualquier destinatario que no hayan dado su autorización o que no se encuentren en alguno de los supuestos del citado apartado 2 del artículo 21 debiendo ofrecer, tanto en la recogida de datos como en cada comunicación comercial que envíe por medios electrónicos, un medio de oposición a la recepción de comunicaciones comerciales. 4.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento.(…) Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/00377/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 SEGUNDO: Con motivo de lo instado en la resolución, A.A.A. y FORO ACCE remitieron a esta Agencia con fecha de entrada 02/03/2015 sendos escritos en el que informaba a esta Agencia que: Se ha incluido en el apartado “contacto” de la página web una leyenda informativa para dar a conocer a los usuarios que proporcionen sus datos a través del formulario establecido al efecto del tratamiento al que van a ser sometidos sus datos, con la identidad del responsable ante el que ejercer los derechos ARCO. Se ha inscrito el fichero en el RGPD. Han procedido a solicitar a la lista de distribución de correo electrónico el consentimiento para recibir información y noticias de la asociación. Han incluido en cada correo electrónico un enlace para darse de baja de la lista de distribución y aportan ejemplos del procedimiento de baja. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, y 43.1 párrafo segundo de la LSSI la competencia para resolver el presente Procedimiento corresponde al Director de la Agencia Española de Protección de Datos. II Los hechos objeto de imputación del expediente A/00381/2014 constituyeron infracción a lo previsto en el artículo 5 de la LOPD relativo al deber de información en la recogida de datos e infracción a lo previsto en el art. 21 de la LSSI relativo a la prohibición de envío de comunicaciones comerciales sin autorización previa y expresa y sin ofrecer un medio de oposición sencillo y gratuito. En los Fundamentos de Derecho II, V y VII de la Resolución R/00126/2015 se hacía constar: <<II Dispone el art. 5 de la LOPD que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso, ha resultado acreditado que a través de la web www.foroacce.com se recogen datos de carácter personal sin ofrecer la información prevista en el artículo 5 de la LOPD. De modo que los usuarios de la página web que se inscriben introduciendo sus dato personales desconocen el tratamiento al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. Es decir, el titular de los datos personales debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. Pues de otro modo se dan circunstancias no deseadas como las valoradas en el presente caso, en la medida que los datos proporcionados por el denunciante fueron utilizados con posterioridad por A.A.A. para remitir publicidad por medios electrónicos de determinadas actividades (a través de la cuenta de correo C.C.C. y que su análisis se realiza a continuación de acuerdo con la LSSI), así como para “invitar” a unirse a redes sociales como contacto de aquella. Dichos tratamientos estaría adecuados a la legalidad, con el consentimiento informado del titular de los datos. En conclusión el deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar.(….) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 V En el presente supuesto, el denunciante recibió una comunicación electrónica de carácter comercial, en la medida que de su contenido se deriva el cumplimiento de los requisitos de la definición contenida en el Anexo
- f)de la LSSI, que considera «Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional En cuanto al análisis de la existencia de autorización previa y expresa o la existencia de algún supuesto previsto en el apartado 2 del citado art. 21 LSSI, debe señalarse que no se ha acreditado que concurran en el presente caso, ya que la dirección de correo electrónico del denunciante llega a los sistemas de mundoetp a través de la inscripción en el formulario de contacto de FORO ACCE, sin haberse acreditado el consentimiento previo expreso para ser receptor de comunicaciones comerciales. A mayor abundamiento, el apartado 2 del citado art. 21 de la LSSI, como excepción a la prestación de la autorización previa y expresa, requiere la existencia de una relación comercial previa entre el remitente y el emisor ( y en este caso no existe ya que no puede considerarse la misma entidad mundoetp que FOROACCE) y que el contenido de la comunicación sea de productos similares a los que sustentan la relación comercial previa y que correspondan a la misma entidad ( circunstancia que tampoco se da). Por otro lado en cuanto al contenido de la citada comunicación debe señalarse que no consta acreditado fuera informado de la existencia de un medio de oposición de acuerdo con lo dispuesto en el párrafo del citado artículo que señala que: En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Por lo tanto se considera también, vulnerado el art. 21.2 de la LSSI.(…) VII Para su adecuación a la normativa vigente, FORO ACCE debe adecuar las clausulas informativas para poner cumplir con el mandato del art. 5 de la LOPD, así como poner a disposición de sus clientes un medio de oposición tanto en el momento de la recogida de los datos como en cada una de las comunicaciones comerciales que envíe. (Último párrafo del apartado 2 del artículo 21 LSSI) Por otro lado, respecto del envío de la comunicación comercial sin autorización previa y expresa, A.A.A. en tanto responsable de la utilización de la dirección de correo C.C.C. debe establecer mecanismos que eviten el envío de comunicaciones comerciales, en particular a la dirección de correo del denunciante, y en general a cualquier destinatario que no hayan dado su autorización o que no se encuentren en alguno de los supuestos del citado apartado 2 del artículo 21 debiendo ofrecer, tanto en la recogida de datos como en cada comunicación comercial que envíe por medios electrónicos, un medio de oposición a la recepción de comunicaciones comerciales.(…) III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 En supuesto presente, del examen de las medidas adoptadas por la denunciada se constata que ha instaurado procedimientos de obtención del consentimiento o autorización para el envío de comunicaciones comerciales por medios electrónicos relativos a la actividad de los eventos de FORO ACCE y se han incluido en cada comunicación la puesta a disposición de los destinatarios de los correos electrónicos de un medio de oposición sencillo y gratuito, verificándose el correcto funcionamiento de dicho procedimiento, cumpliendo así las exigencias el art. 21 de la LSSI. Asimismo se ha incluido una leyenda informativa en la recogida de datos a través de la página web que cumple con las exigencias previstas en el art. 5 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a A.A.A., y a FORO ACCE. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es