E-00540-2018

1/5 Expediente Nº: E/00540/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades CAIXABANK CONSUMER FINANCE EFC S.A, CAIXABANK, S.A. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19/01/2018, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que CAIXABANK remite información comercial a través de email y SMS y que durante el periodo navideño les comunico por el único canal habilitado, por teléfono, que no deseaba recibir comunicación comercial y solicito el origen de sus datos. A pesar de ello en el SMS de enero de 2018 continúa recibiendo mensajes publicitarios. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha de 19/01/2018 se solicitó al denunciante la subsanación de su denuncia aportando éste fotografía de dos SMS con origen en CAIXABANCF (CAIXABANK CONSUMER FINANCE) el contenido de los SMS es el ofrecimiento de productos de financiación. No aporta información respecto del derecho de oposición que manifiesta realizo a través de vía telefónica, ni la información relativa a la recepción de correos electrónicos. Solicitada información a CAIXABANK, mediante escrito de entrada de fecha 3/04/2018 manifiesta que no son la entidad emisora de los SMS, sino que se trata de CAIXABANK CONSUMER FINANCE. Solicitada información a CAIXABANK CONSUMER FINANCE, mediante escrito de fecha de entrada 3/04/2018, aportan un contrato de crédito suscrito por el denunciante y la entidad de fecha 17/09/2013, asociado a una tarjeta IKEA VISA, en cuyas condiciones generales figuran en la cláusula 26 la información relativa al tratamiento de datos y la posibilidad de oponerse a la recepción de publicidad y a la cesión de sus datos, a través de la marcación de una casilla, que no cumplimento el denunciante. Asimismo, indican que en el mensaje SMS se ofrecía al destinatario la posibilidad de solicita la baja (oponerse al tratamiento de sus datos con fines publicitarios) en el apartado “+info. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). II En el presente caso se denuncia la posible comisión de una infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), que dispone: “

1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” El precepto transcrito establece los requisitos que deben concurrir para levantar la prohibición de envío de comunicaciones comerciales, entre los que se encuentra la existencia de una relación comercial previa de servicios similares a los ofrecidos en los envíos por medios electrónicos, y en el presente caso la entidad denunciada aporta un contrato del año 2013 relativo a un producto financiero (una tarjeta IKEA VISA que permite adquirir productos a través de un pago financiado) y los SMS recibidos promocionan productos similares ( productos financieros) ofrecidos por la misma entidad. Por tanto, los SMS aportados estarían amparados en el requisito indicado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 En segundo lugar, respecto del medio de oposición sencillo y gratuito que requiere el citado precepto, debe señalarse que en el momento de la formación del contrato se otorgó al denunciante la posibilidad de oponerse a la recepción de comunicaciones comerciales a través de la cláusula que figura en el contrato aportado, y junto a información respecto de otros tratamientos. En este sentido, debe indicarse lo dispuesto en el art. 19 de la LSSI que bajo la rúbrica “Régimen Jurídico” señala lo siguiente:
3. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad.
4. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales. Del precepto señalado se deduce que es de aplicación la normativa de protección de datos de carácter personal, indicando expresamente la información a los interesados, entre las que obviamente se ha de incluir el ejercicio de sus derechos, debiendo ponerse el acento en el presente caso en el ejercicio del derecho de oposición y en concreto, en la fórmula que propone la entidad denunciada en las comunicaciones publicitarias que dirige a sus clientes para el ejercicio de tal derecho, frente a lo que se realizan las siguientes consideraciones: El artículo 13 de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), indica respecto de la información ofrecida al destinatario de los servicios de la sociedad de la información, relativa al medio de oposición para recibir comunicaciones comerciales, que permite dichos envíos cumpliendo los requisitos expuestos anteriormente, añadiendo que “a condición de que se ofrezca con absoluta claridad a los clientes, sin cargo alguno y de manera sencilla, la posibilidad de oponerse a dicha utilización de las señas electrónicas en el momento en que se recojan y, en caso de que el cliente no haya rechazado inicialmente su utilización, cada vez que reciban un mensaje ulterior “ A lo que hay que añadir, que el próximo 25/05/2018 será de plena aplicación el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD en adelante), y que de acuerdo con sus disposiciones, y en relación con la información ofrecida sobre el derecho de oposición, establece en su Considerando 70 que debe facilitarse claramente y al margen de cualquier otra información. En concreto establece lo siguiente (…) Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 dicho tratamiento, (…). Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información (…) Asimismo, el RGPD elimina la fórmula de obtención del consentimiento para el tratamiento de datos de forma tácita, exigiendo una clara acción positiva. Por ello, en el caso analizado, debe indicarse que la cláusula utilizada en el contrato no habilitaría a la entidad para el tratamiento de los datos de sus clientes con fines publicitarios fuera de los casos previstos en el artículo 21.2 de la LSSI, al no adecuarse a las exigencias del citado RGPD. Por lo expuesto, a la fecha de plena aplicación del RGPD, todo responsable y encargado del tratamiento deberá adecuar sus políticas de protección de datos personales a las previsiones de la citada normativa. IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
5. PROCEDER AL ARCHIVO de las presentes actuaciones.
6. NOTIFICAR la presente Resolución a CAIXABANK CONSUMER FINANCE EFC S.A, y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es