E-00394-2013

1/6 Expediente Nº: E/00394/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ING DIRECT NV SUCURSAL EN ESPAÑA en virtud de denuncia presentada por D. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 20 de diciembre de 2012 tiene entrada en esta Agencia un escrito de D. B.B.B., en adelante el denunciante, en el que manifiesta que I ING DIRECT NV SUCURSAL EN ESPAÑA le envía publicidad no deseada a pesar de haberles solicitado el cese de la misma. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El denunciante envió el día 16 de mayo de 2012 un correo electrónico a ING DIRECT NV SUCURSAL EN ESPAÑA en el que solicita el borrado de sus datos de los ficheros de la entidad. Dicho correo fue enviado desde la dirección E.E.E. a la dirección información@ingdirect.com con copia a la dirección .........@ingdirect.com. Dicho envió provocó una respuesta automática el mismo día y a la misma hora y minuto, en la que la entidad le confirma la recepción del mensaje e informa de que en los próximos días gestionarán su documentación. 2. El denunciante ha recibido los siguientes correos, todos ellos desde la dirección .......@ingdirect.es a la dirección D.D.D.: C/ Jorge Juan, 6 28001 – Madrid • Correo electrónico de fecha 29 de mayo de 2012, cuyo contenido es relativo a la muestra de agradecimiento de la entidad a sus clientes con motivo del13 aniversario de la entidad en España. • Correo electrónico de fecha 17 de junio de 2012 felicitando el cumpleaños al cliente. • Correo electrónico de fecha 23 de octubre de 2012 informando de las condiciones de un depósito bancario. • Correo electrónico de fecha 29 de noviembre de 2012 sobre planes de pensiones. • Correo electrónico de fecha 12 de diciembre de 2012 informando de un concurso de dibujo solidario de ING DIRECT NV SUCURSAL EN www.agpd.es sedeagpd.gob.es 2/6 ESPAÑA . Al pie de los correos recibidos se informa de que se podrá revocar en cualquier momento el consentimiento prestado para la recepción de comunicaciones comerciales vía electrónica a través del teléfono 901******. 3. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de ING DIRECT NV SUCURSAL EN ESPAÑA remitieron un escrito en el que manifestaron, en referencia al envío de los correos electrónicos en cuestión, que: 3.1. El denunciante, titular de la dirección de correo electrónico D.D.D., contrató una cuenta naranja en la entidad, recibiéndose el correspondiente formulario de contratación debidamente cumplimentado y firmado por el mismo con fecha de 24 de julio de 2003, del cual adjuntan copia. 3.2. Con fecha de 27 de octubre de 2011, el denunciante modificó a través de la Web de ING Direct la dirección de correo electrónico inicialmente facilitada en el formulario de contratación, H.H.H.¡Error! Referencia de hipervínculo no válida. por la dirección C.C.C., previa identificación a través de la inclusión de su DNI, y fecha de nacimiento, validando asimismo su clave de seguridad de acceso. 3.3. Manifiestan que los correos comerciales fueron remitidos desde ING Direct con fechas de 29 de mayo de 2012, 18 de junio de 2012, 23 de octubre de 2012, 29 de noviembre de 2012 y 13 de diciembre de 2012, 3.4 En relación con el correo electrónico remitido por el denunciante el día 16 de mayo de 2012 solicitando la cancelación de sus datos, manifiestan que no se procedió a la cancelación de datos personales por los siguientes motivos: • En el Contrato de Prestación de Servicios de ING Direct, al que el denunciante prestó su consentimiento cuando contrató la cuenta naranja en ING Direct, se informa a los clientes de las formas de ejercer su derecho de acceso, rectificación, oposición y cancelación de datos personales, indicando que pueden ser ejercidos remitiendo un escrito a la entidad o a través del teléfono 901******. que se corresponde con el Servicio de Atención telefónico a los clientes y que está disponible las 24 horas del día los 365 días del año, atendiendo no obstante las peticiones que sus clientes remiten a la entidad a través de cualquier canal de comunicación, teléfono, fax o escrito, previa identificación fehaciente del mismo. Manifiestan que la dirección de correo electrónico a la que el denunciante remitió el e-mail fechado el día 16 de mayo de 2012 está habilitada para efectuar ciertas consultas a la entidad o para remitir documentación a la misma, pero no figura como uno de los canales válidos para el ejercicio de los derechos ARCO, debido a que dicho canal de comunicación no permite la identificación fehaciente del cliente. • C/ Jorge Juan, 6 28001 – Madrid En el mencionado correo electrónico no se aportaban los datos necesarios para identificar al solicitante de la cancelación, siendo requisitos necesarios según el artículo 25 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, que la comunicación en que se solicita los derechos de cancelación, acceso, rectificación y oposición. www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos de conformidad con lo dispuesto en el párrafo segundo del artículo 43.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de comercio electrónico (en lo sucesivo LSSI). II La LSSI prohíbe las comunicaciones comerciales no solicitadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo como: “

1. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. III El envío de comunicaciones comerciales a través del correo electrónico requiere que haya sido previamente autorizado o consentido, así se recoge en el artículo 21 LSSI, que señala: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija”. Añade el artículo 22. 1 lo siguiente: “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado”. IV En el supuesto que se examina el denunciante pone de manifiesto que la entidad ING DIRECT NV SUCURSAL EN ESPAÑA , tras haber procedido a la cancelación de sus datos, continúa remitiéndole comunicaciones comerciales a su dirección de correo electrónico. Tras las actuaciones previas de inspección practicadas por esta Agencia se ha podido constatar que el denunciante recibió cinco correos publicitarios (en fechas 29 de mayo, 17 de junio, 23 de octubre, 29 de noviembre y 12 de diciembre de 2012) desde la dirección .......@ingdirect.es ,a la dirección D.D.D.. Se ha podido comprobar, asimismo, que en el Contrato de Prestación de Servicios de ING Direct, al que el denunciante prestó su consentimiento cuando contrató la cuenta naranja en ING Direct, se informa a los clientes de las formas de ejercer su derecho de acceso, rectificación, oposición y cancelación de datos personales, indicando que pueden ser ejercidos remitiendo un escrito a la entidad o a través del teléfono 901******, que se corresponde con el Servicio de Atención telefónico a los clientes y que está disponible las 24 horas del día los 365 días del año, atendiendo no obstante las peticiones que sus clientes remiten a la entidad a través de cualquier canal de comunicación, teléfono, fax o escrito, previa identificación fehaciente del mismo. Al pie de los correos recibidos también se informa de que se podrá revocar en cualquier momento el consentimiento prestado para la recepción de comunicaciones comerciales vía electrónica a través del teléfono 901******. En el supuesto presente, el denunciante envió un correo desde la dirección F.F.F. a la dirección la dirección información@ingdirect.com con copia a la dirección .........@ingdirect.com, sin hacer uso por tanto de los canales establecidos al efecto para darse de baja y así revocar su consentimiento a recibir comunicaciones comerciales. El artículo 24.5 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, indica lo siguiente “ El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente.”, siendo éstos, conforme al apartado 1 del artúculo 25 los siguientes: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)Petición en que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso.” Por lo tanto, podemos concluir que, si bien el denunciante no utiliza los medios establecidos al efecto para solicitar la baja en el servicio, la entidad denunciada tendría que haber hecho efectiva esta solicitud. No obstante, la solicitud enviada por el denunciante no cumple con los elementos a que se refiere el apartado 1 del artículo 25, al haber sido enviada desde una dirección electrónica distinta a la que recibe los correos, y sin más datos que pueda acreditar su identidad. Por ello, dada la ausencia de elementos de cargo que permitan imputar a la entidad denunciada el posible incumplimiento de la prohibición recogida en el artículo 21 de la LSSI procede acordar el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ESPAÑA y a D. B.B.B.. ING DIRECT NV SUCURSAL EN De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es