1/4 Expediente Nº: E/00951/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades VIAJES SOL ESCOSAN, S.L., en virtud de las denuncias presentadas, y teniendo como base los siguientes HECHOS PRIMERO: En relación con la entidad VIAJES SOL ESCOSAN, S.L. (en lo sucesivo VIAJES SOL ESCOSAN), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00406/2014, que concluyó mediante resolución nº R/00333/2015, de fecha 20/02/2015, en la que se tuvieron por probados los siguientes hechos: <<1. La entidad VIAJES SOL ESCOSAN es titular del dominio viajessol.com. 2. Con fecha 07/08/2014, la denunciante 1 recibió en su dirección de correo electrónico un mensaje remitido desde la dirección “ B.B.B.”, con las direcciones de correo electrónico de todos los destinatarios
(68), incluida la suya, visibles para todos ellos. En dicho mensaje, que tiene como asunto “Busca tu chollo para viajar en agosto”, aparece, además de la dirección de correo electrónico, el nombre y apellidos de alguno de los destinatarios. 3. Con fecha 24/07/2014, el denunciante 2 recibió en su dirección de correo electrónico un mensaje remitido desde la dirección “ B.B.B.”, con las direcciones de correo electrónico de todos los destinatarios
(28), incluida la suya, visibles para todos ellos. En dicho mensaje, que tiene como asunto “Top Ventas Hoteles de Costa”, aparece, además de la dirección de correo electrónico, el nombre y primer apellido del denunciante 2 y el de otros destinatarios>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 20/02/2015 se acordó lo siguiente: “1.- APERCIBIR (A/00406/2014) a la entidad VIAJES SOL ESCOSAN, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos”. “2.- REQUERIR a la entidad VIAJES SOL ESCOSAN, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 10 de la LOPD. En concreto se insta a la entidad denunciada a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso dichos ficheros a garantizar la confidencialidad de los datos, comprometiéndose expresamente a no remitir correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 electrónicos en los las direcciones de correos figuren visibles para todos los destinatarios. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento”. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/00951/2015. CUARTO: En relación con lo instado en la resolución mencionada, se recibió escrito de VIAJES SOL ESCOSAN, mediante el que informa que “cesa de manera inmediata e irrevocable el envío de mails a su cartera de clientes”, como garantía de que no se volverán a dar en el futuro hechos similares. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento A/00406/2014 se imputó a la denunciada el incumplimiento del deber de secreto regulado en el artículo 10 de la LOPD, que establece lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso, quedó acreditado en el expediente que los denunciantes recibieron un correo electrónico remitido por VIAJES SOL ESCOSAN, en el que se visualizaban datos personales de múltiples personas (direcciones de correo electrónico, nombres y apellidos), incluidos los del denunciante. En consecuencia, se consideró que la entidad denunciada no había dado cumplimiento a las normas expuestas, y se advirtió a la misma que ha de tener en consideración que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. Por otra parte, en la parte dispositiva de la resolución del procedimiento A/00406/2014, se instó a VIAJES SOL ESCOSAN a “adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan la divulgación a terceros de los datos de carácter personal contenidos en sus ficheros sin el consentimiento de los afectados, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso dichos ficheros a garantizar la confidencialidad de los datos, comprometiéndose expresamente a no remitir correos electrónicos en los las direcciones de correos figuren visibles para todos los destinatarios”. Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento de que la entidad denunciada ha atendido el requerimiento efectuado en la citada resolución, de 20/02/2015, habiéndose comprometido a cesar “de manera inmediata e irrevocable el envío de mails a su cartera de clientes”, como garantía de que no se volverán a dar en el futuro hechos similares, lo que conlleva el archivo de las actuaciones previas de referencia, iniciadas para el seguimiento de las medidas a adoptar. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR el presente Acuerdo y el Anexo 0 a la entidad VIAJES SOL ESCOSAN, S.L. 3. NOTIFICAR a cada uno de los denunciantes el presente Acuerdo y exclusivamente el Anexo que les corresponda, en el que se incluye su identificación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es