E-00621-2020

1/9 Procedimiento Nº: E/00621/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 20 de mayo de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra AD735 DATA MEDIA ADVERTISING, S.L., con NIF B87781795 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el pasado 16 de abril de 2019 recibió un sms en su teléfono móvil ***TELEFONO.1 sin haberlo solicitado ni autorizado. Al pinchar en el enlace aparece como responsable del envío la empresa reclamada. El 9 de mayo de 2019, recibió un correo electrónico promocionando seguros de hogar de Línea Directa Aseguradora, S.A.; al pie del correo figura como responsable del tratamiento la entidad reclamada, haciendo alusión, por otro lado, a la derogada LOPD. Aporta captura de pantalla del sms y copia del correo publicitario recibido SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/06419/2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 14 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: Con fecha 13 de noviembre de 2019, se recibieron alegaciones de la entidad reclamada indicando lo siguiente: El consentimiento del reclamante fue recibido a través de su participación en una promoción publicada en la web www.premium-sales.es, que según consta en el documento adjunto 1, implementa un concurso en el que se puede ganar un abono a un equipo de fútbol. Las características de la página son: - Datos que permite introducir: género, nombre, apellidos, teléfono, email, fecha de nacimiento, dirección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 - - Consentimientos que permite marcar (check boxes -independientes-): o “He leído y acepto la política de privacidad de AD735 Data Media Advertising, S.L.”. o “Acepto recibir comunicaciones comerciales por parte de AD735 sobre servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad de AD735”. o “Acepto que AD735 ceda el tratamiento de mis datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de AD735”. o MARCAR TODAS LAS OPCIONES ANTERIORES Hay Links a la política de privacidad, aviso legal, política de cookies, “Baja de usuario” Se adjuntan los valores del registro del alta del reclamante: - IP_SOI: ***IP.1 - Date_SOI: 2018-06-22 12:26 - advertising_ agreement: yes - c_gender - c_prename: A.A.A. - c name: A.A.A. - pone: ***TELEFONO.1 - email: ***EMAIL.1 - opt_in_1: yes - opt_in_2: yes - opt_in_3: yes - opt_in_ 4: no - url: www.premium-sales.es El documento adjunto número 2 es el correo electrónico dirigido por el DPO de AD735 Data Media Advertising, S.L., dpo@ad735.es, al reclamante con fecha de 11/9/2019, facilitándole el “de acceso a sus datos de carácter personal”. Y el documento número 3 es una copia de dicho certificado firmado por representante de la entidad reclamada a 9/9/2019 en el que se hace constar que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - AD735 DATA MEDIA ADVERTISING, S.L. es titular, y responsable del tratamiento de los datos, de un fichero automatizado denominado PREMIUM SALES que incluye nombre, apellidos, dirección de correo electrónico e IP dinámica de aquellas personas que, mediante su participación en las promociones activas en el sitio web www.premium-sales.es, han facilitado los mismos de conformidad con la legislación en materia de protección de datos vigente en el momento de su participación. - Especifica los datos del reclamante recogidos a través de dicha página (vistos arriba). - Informa de la existencia de ficheros comunes de exclusiones generales o sectoriales para el envío de comunicaciones comerciales y, en concreto la Lista Robinson (www.listarobinson.es). - Facilita el contacto del DPD de la reclamada para obtención de mayor información. Adjunta, documento 4, contestación del reclamante al mail anterior de fecha 17/09/2019 (prueba que recibió el mail anterior). En este, el reclamante especifica que: - Lo que le estoy pidiendo y así se lo hemos trasladado a la Agencia de Protección de Datos en el expediente de referencia, no son los datos que les consta a Uds en sus registros, sino el consentimiento explícito de la captación del dato y la huella digital de dicho consentimiento (formulario de recogida, datos obtenidos, consentimiento informado de la cesión del dato y a que empresas y sectores son cedidos, navegador usado, dispositivo utilizado) Adjunta el reclamado, como documento 5, información subjetiva sobre el porqué de la reclamación: - El reclamante es CEO de una empresa del mismo sector (marketing digital) - Manifiesta que es frecuente en este sector la interacción de los distintos operadores entre sí para comprobar distintos aspectos de operatividad de unos y otros. - “Contraataca” con una captura de la web de la empresa del reclamante cuyo formulario de captación de datos y política de privacidad no se encuentran adecuados a las exigencias de la vigente normativa de protección de datos. A la pregunta realizada por el área de traslado, referida a que informe sobre las medidas adoptadas para que no se produzcan situaciones similares, responde: - Consideran por lo comentado anteriormente que ya actúan con la diligencia exigida. - Además, han nombrado DPD (31/10/2018). Se ha puesto a disposición de los afectados el buzón de correo electrónico dpo@ad735.es. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 - Se facilita a todos los usuarios la posibilidad de ejercer sus derechos de una forma sencilla, rápida, gratuita y efectiva. - Se ha habilitado el link www.ad735.es/derechosRGPDAD735.pdf, y se facilita el mismo en todas las comunicaciones que mantiene con los afectados. - Han establecido revisiones periódicas y frecuentes entre responsable y encargados del tratamiento Lista además un conjunto de medidas organizativas y técnicas que manifiestan haber puesto en marcha en relación con la protección de datos personales. QUINTO: Con objeto de verificar las alegaciones presentadas por la entidad reclamada, un Inspector de Datos ha realizado las siguientes comprobaciones: Accedió al link www.premium-sales.es y redirecciona automáticamente a la página http://prb.premium-sales.es/. Accedió a la promoción concreta, aún vigente, del abono de fútbol: - - Realizó una prueba y obtuvo los siguientes resultados: Para poder continuar, hay que rellenar obligatoriamente los siguientes campos: Género, Nombre, Apellidos, Teléfono, E-mail, Fecha de Nacimiento, Dirección, Aceptar las políticas de privacidad Permite registrarte sin aceptar las comunicaciones comerciales. Al descargar la política de privacidad, comprueba que incluye lo siguiente: - Responsable del tratamiento: AD735 DATAMEDIA ADVERTISING, S.L. - Finalidades de recogida y tratamiento de los datos: - o Alta de los usuarios en el Sorteo o Fines comerciales y de mercadotecnia, ya sea por medios ordinarios o electrónicos, todo ello de conformidad con lo indicado en el apartado, "Comunicaciones Comerciales", siempre que hayan consentido el tratamiento de sus datos personales a estos efectos. o Dar respuesta a las dudas, quejas, comentarios o inquietudes que puedan tener los participantes relativas a la información incluida en el sitio web http://prb.premium-sales.es/sorteos/futbol, y la resolución de incidencias relativas al tratamiento de los datos. Legitimación: Los datos que recogidos para los fines descritos serán tratados sobre la base legal del consentimiento libre, informado, específico e inequívoco prestado con el envío de tus datos personales para tu participación en el concurso, y la recepción de información comercial de tu interés. Retirar el consentimiento es tan fácil como otorgarlo. Por ello, si cambias de opinión, y no deseas participar en el concurso, ni/o recibir comunicaciones comerciales, pue- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 des retirar tu consentimiento en cualquier momento, si bien ello no afectará a la licitud de los tratamientos efectuados con anterioridad. - Comunicaciones comerciales: Le informamos que al marcar la casilla "Deseo recibir de AD735, por vía electrónica o postal, información comercial, ofertas y promociones de terceras empresas pertenecientes a los sectores identificados en la Política de Privacidad" indicada en el formulario de recogida de datos, manifiestas tu consentimiento expreso para enviarte comunicaciones comerciales referidas a productos y/o servicios de terceros pertenecientes a diferentes sectores de actividad (empleo y formación, informática y tecnología, ocio y diversión, gastronomía y alimentación, muebles y electrodomésticos, antigüedades, decoración e interiores, organizaciones y asociaciones, subastas, bricolaje, mascotas, servicios financieros y seguros, ofertas inmobiliarias, motor y automoción, artículos para hombre/mujer, viajes y turismo, productos infantiles, música y libros, salud y bienestar, sociedad, deportes), seleccionados por AD

1. Las comunicaciones comerciales podrán ser remitidas por correo electrónico, llamada telefónica, SMS, aplicaciones de mensajería instantánea, redes sociales, notificaciones push, o cualquier otro medio de comunicación electrónica equivalente, o postal, para ofrecerte información sobre aquellos productos y/o servicios que creamos que pueden ser de tu interés. Si en un determinado momento no deseas seguir recibiendo comunicaciones comerciales, podrás revocar tu consentimiento mediante el envío de la solicitud pertinente a la dirección AD735 DATAMEDIA ADVERTISING, S.L., Calle Ibersierra, 15, bajo A, de 28440 Madrid, o el envío de un correo electrónico a la dirección bajas [:: arroba ::] ad735.es, aportando copia de un documento que permita acreditar tu identidad, o bien utilizando el link habilitado al efecto en las comunicaciones comerciales que reciba. Tu solicitud será atendida a la mayor brevedad posible, dentro de los plazos establecidos por la normativa vigente. - Cesión de datos personales. El listado de terceras empresas incluye las siguientes: Telecomunicaciones – Grupo Masmovil (Xfera Móviles, S.A.U, y MásMóvil Ibercom, S.A.) para las marcas: Masmovil, Yoigo, Pepephone, HappyMovil, Llamaya. – Grupo Orange (Orange Espagne, S.A.U) para las marcas: Orange, Jazztel, Amena, Simyo. – Grupo Telefonica (Telefónica de España S.A.U) para las marcas: Movistar, Telefonica, O2, Vivo, Tuenti. – Grupo Vodafone (Vodafone España S.A.U) para las marcas: Vodafone, Lowi, Ono. Seguros Salud – SegurCaixa Adeslas, S.A. de Seguros y Reaseguros para la marca Adeslas. – Sanitas S.A de Seguros para la marca Sanitas. – Mapfre Tech S.A. para la marca Mapfre. – Aegon ESPAÑA, S.A. de Seguros y Reaseguros, Unipersonal para la marca Aegon. – DKV Seguros y Reaseguros SAE para la marca DKV. – Asistencia Sanitaria interprovincial de seguors S.A.U. para la marca Asisa. – Asefa S.A. Seguros y Reaseguros para la marca Asefa. Distribuidores Autorizados – Neotec Comunicaciones S.L. (Distribuidor Autorizado de MásMovil) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 – Global Sales Solutions S.L. (Distribuidor Autorizado de Sanitas) Otros – Digital Media Publicidad Marketing y Distribución, S.L. – Beleader Internet Marketing S.L. – Feebbo Solution S.L. – Master Zen S.L. – Repsol Comercializadora de Electricidad y Gas S.L.U. – Iberinfo Multimedia Marketing, S.L. – Emailing Network, SARL Al respecto de estas marcas, además especifica que: Las marcas nombradas no son organizadoras ni patrocinadoras de los sorteos. Los logotipos y marcas son propiedad de sus respectivos dueños. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). II El artículo 21 de la LSSI señala lo siguiente: “
2. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
3. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento expreso, salvo que exista una relación contractual anterior entre el prestador del servicio y el destinatario de los envíos y siempre que éste no haya manifestado su voluntad en contra. Este mismo apartado obliga al prestador del servicio a ofrecer al destinatario los mecanismos para oponerse al tratamiento de sus datos con fines promocionales, exigiendo, si la comunicación comercial se efectúa por correo electrónico, que en la misma se incluya la posibilidad de oponerse a estos envíos a través de un correo electrónico o mediante una dirección electrónica válida. En el supuesto presente, el consentimiento del afectado se obtuvo a través de su participación en una promoción publicada en la web www.premium-sales.es, que según consta en el documento adjunto 1, implementa un concurso en el que se puede ganar un abono a un equipo de fútbol. El propio correo informa de que se le envía el mensaje por estar inscrito en AD735 y puede darse de baja mediante correo electrónico a: bajas@fragataabandonada.es. III En segundo lugar, indica el reclamante que la política de privacidad no está actualizada. El artículo 13 del RGPD se establece la información que debe facilitarse a los interesados en el momento de la recogida de sus datos, estableciendo lo siguiente: “Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
4. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
5. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado
7. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. La política de privacidad que consta en la página web del reclamado cumple con los requisitos contenidos en el artículo 13 del RGPD Por lo tanto, se ha acreditado que la actuación del reclamado, en el concreto supuesto denunciado, como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es