1/7 Expediente Nº: E/01076/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ARVATO SERVICES IBERIA, S.A. y COFIDIS S.A., SUCURSAL EN ESPAÑA en virtud de denuncia presentada por Dña. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de febrero de 2016 tiene entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) comunicando que Cofidis S.A. Sucursal en España ha remitido una propaganda personalizada a su hijo de catorce años de edad. Adjunto a la denuncia se ha aportado copia del escrito mencionado ofertando un préstamo remitido a B.B.B.. En el escrito consta: “El listado de direcciones utilizado para la realización de esa campaña publicitaria ha sido elaborado por la entidad PLANET 49 GmbH, responsable del fichero (creado a partir de sitios web www.libre-elección.es, www.elección-libre.es, www.iniciativa-espana.es, www.ganador-elegodo.es, www.premio-instantaneo.es, www.win-phone.es, www.tu-a3.com, www.vale100.com, www.eleccion-exclusiva.com) la que también se ha encargado de la realización del presente envío” . Asimismo figura “Para ejercitar tus derechos de acceso, rectificación, cancelación y oposición puedes dirigirte al teléfono gratuito 900****** (de 10 a 15h de lunes a viernes) o por escrito al email: ....@planet49.es”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- a)Con fecha 30 de marzo de 2016, desde la Inspección de Datos se remite requerimiento de información a COFIDIS, S.A. (en adelante COFIDIS) y de la respuesta recibida se desprende: 1. Tiene suscrito un contrato de colaboración para acción publicitaria con ARVATO SERVICES IBERIA, S.A.U., (en adelante ARVATO) de fecha 1 de mayo de 2014. En el contrato consta que ARVATO actúa en nombre y representación de la sociedad mercantil EGENTIC GMBH (en adelante EGENTIC), compañía ubicada en Alemania, en virtud de un Contrato de Agencia suscrito entre ambas compañías en fecha 30 de septiembre de 2009. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Y, EGENTIC actúa en nombre y representación de la sociedad mercantil PLANET 49 GMBH, ubicada también en Alemania, titular y responsable de la comercialización del fichero en virtud de un acuerdo suscrito entre ambas entidades de fecha 3 de abril de 2012. 2. En el objeto del contrato citado suscrito entre COFIDIS y ARVATO consta que “ARVATO, como agente de EGENTIC y autorizada por éste en virtud del Contrato de Agencia…. intermediará, por cuenta de EGENTIC, frente a COFIDIS, en todas aquellas campañas que EGENTIC dese enviar a sus clientes de productos de COFIDIS, y que se concretarán en cada ocasión, mediante la correspondiente hoja de encargo…” A este respecto, manifiesta que los datos de los destinatarios de las campañas publicitarias no son titularidad de COFIDIS ni han sido objeto de tratamiento por su entidad, ya que tal y como consta en la estipulación cuarta del contrato: “COFIDIS únicamente tendrá acceso y solo introducirá en sus ficheros, previo conocimiento inequívoco e informado de los titulares, los datos de las personas que directamente respondan a la campaña publicitaria…” 3. Respecto de los perfiles objetivo de la campaña publicitaria, en el contrato suscrito entre COFIDIS y ARVATO, en la Estipulación segunda figura que “EL TITULAR DEL FICHERO, como responsable del mismo será el encargado de efectuar la designación de los concretos destinatarios de las campañas publicitarias…” …En consecuencia, será el TITULAR DEL FICHERO, la única entidad que determinará los parámetros identificativos de la campaña publicitaria objeto de cada concreta campaña, no determinándolos, en ningún caso, COFIDIS ni ARVATO...” 4. Ha aportado copia de la Hoja de encargo de la campaña de enero de 2016 que corresponde a la campaña origen de la denuncia y manifiesta que no ha participado ni ha designado los parámetros de la campaña. 5. Manifiesta que en su entidad no constan datos de B.B.B..
- b)Con fecha 20 de mayo de 2016, desde la Inspección de Datos se remite requerimiento de información a ARVATO y de la respuesta recibida con fecha de registro de entrada a esta Agencia 6 de junio de 2016, se desprende: 1. Manifiesta que al no ser responsable del fichero de los datos de los destinatarios, ya que actúa como Agente según el contrato mencionado y aportado por COFIDIS y el responsable del fichero es PLANET 49 GMBH, desconoce el origen de los datos, no obstante, ha solicitado información a EGENTIC para que facilite información, la cual ha manifestado: a. Los datos de B.B.B. han sido obtenidos directamente a través de un formulario de registro en la web www.melollevoahora.com, titularidad de PANET 49 GMBH. ARVATO ha aportado impresión de pantalla donde constan los datos de B.B.B., junto con el domicilio donde se ha remitido el escrito publicitario, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 la dirección de correo ........@gmail.com y como fecha de nacimiento figura el 22/02/1970. Asimismo figura la dirección IP ***IP.1 desde la que se ha realizado el registro y la fecha y hora 13/08/2015 a las 17:30:12. ARVATO manifiesta que B.B.B. aportó esa fecha de nacimiento ya que el concurso estaba dirigido a mayores de edad. b. Manifiesta que ni su compañía ni PLANET 49 GMBH y EGENTIC tienen constancia de la existencia de reclamación respecto de estos hechos. No obstante, en cuanto COFIDIS puso en conocimiento de ARVATO esta incidencia, en fecha 6/04/2016, desde esta compañía se remitió correo electrónico a EGENTIC informando de la incidencia, el cual procedió a dar de baja los datos de B.B.B.. Ha aportado impresión de un correo electrónico enviado por ....@planet49.es y remitido a la dirección ........@gmail.com, donde se informa a B.B.B. del borrado de sus datos. Manifiesta que en esa misma fecha informó a COFIDIS de la cancelación de los datos. 2. ARVATO manifiesta que el envío publicitario utilizado para esta campaña fue de 350.000 registros que fueron enviados por correo postal en el mes de enero de 2016. 3. Desde la Inspección de Datos se ha verificado que la web www.melollevoahora.com consta registrada a nombre de PLANET GMBH inscrita en el registro mercantil de Frankfort (Alemania). En dicha web se informa que los datos recabados se tratarán según la ley de Protección de Datos alemana y conforme a los estándares vigentes en la Unión Europea. Asimismo se proporciona información sobre la empresa y la política de privacidad (Declaración de protección de datos). En el apartado 5 de la citada web se informa: <<…¿Qué hace el proveedor con las informaciones registradas? El proveedor efectúa investigaciones internas respecto de demografía, intereses o el comportamiento de los usuarios en base a las informaciones que voluntariamente han sido puestas a nuestra disposición por los mismos a través del registro, de las preguntas que se hacen al final del juego o de nuestros datos protocolizados del servidor. Esto nos permite poder saludarlo personalmente cada vez que retorne a nuestra página y que tengamos en cuenta sus preferencias específicas. De esta manera comprendemos mejor a nuestros usuarios y podemos optimizar nuestra oferta de servicios. El hecho de conocer sus preferencias nos facilita hacerle llegar las ofertas más interesantes y adecuadas a su persona. Si, por ejemplo, hay ofertas económicas para dueños de mascotas, el proveedor estará en condiciones de actuar de forma dirigida particularmente para participantes con mascotas. De esta manera no facilitamos en ningún caso sus datos personales a expertos en publicidad. Además nosotros le podremos informar regularmente sobre los servicios y productos de terceros. Usted C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 puede decidir con absoluta libertad en el momento de registrarse si está interesado en esta información. Y también tiene pleno derecho de cambiar de opinión en cualquier momento y solicitar dejar de recibir esa información si en el momento de su registro mostró su voluntad de recibirla, o, al contrario, comunicar su deseo de recibirla, si en el momento del registro optó por la negativa. Si un jugador expresa su deseo de recibir nuestro boletín, también deberá aceptar que en el boletín estén contenidas informaciones acerca de los productos. La finalidad de las ofertas es la de mantener las relaciones de esta empresa con nuestros usuarios y poder trasladar, a través nuestro o de otras entidades, publicidad y ofertas de otras empresas comerciales y de servicios relacionados con los sectores de: • Telecomunicaciones: Productos y Servicios de telecomunicaciones y tecnología. • Financiero: Prestados por entidades financieras, Aseguradoras y de Previsión social. • Ocio: Editorial, Turismo, Deportes, Coleccionismo, Fotografía, Pasatiempos, Juguetería, Transporte, Jardinería, Hobbies, Loterías, peñas de loterías, Comunicación y entretenimiento. • Gran consumo: Electrónica, Informática, Textil, Imagen y Sonido, Complementos, Hogar, Bazar, Cuidado personal (Cosmética, Perfumería, Parafarmacia, especialidades Farmacéuticas publicitarias) Mobiliario, Alimentación y Bebidas, Material de oficina. Moda y decoración. • Automoción: Productos y Servicios relacionados con el Automóvil, Motocicletas, Camiones. • Energía y agua: Productos relacionados con la Electricidad, Hidrocarburos, Gas y Agua. • ONG: Productos y Servicios relacionados con ONG's. • Educación. Esta comunicación se realizará a través de todos los canales proporcionados por Usted: e-mail, SMS, teléfono o por vía postal…>> 4. Ha aportado Acuerdo de Prestación de servicios, confidencialidad y Protección de datos personales para el tratamiento de datos titularidad de Planet 49 GMBH suscrito entre ambas compañías en fecha 15 de septiembre de 2009 y Anexo de fecha 30 de septiembre de 2009, donde figura el Procedimiento de obtención del consentimiento de las personas que figuran en los fichero objeto del contrato. En estos documentos consta que los datos provienen de formularios en las inscripción de la páginas web’s www.libre-elección.es, www.elección-libre.es, www.iniciativa-espana.es, www.ganador-elegodo.es, www.premioinstantaneo.es, www.win-phone.es, www.tu-a3.com, www.vale100.com, www.eleccion-exclusiva.com y que “nuevas páginas web comunicarán con sus clientes del mismo modo”. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD (RLOPD) aprobado por Real Decreto 1720/2007, de 21 de diciembre, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II El artículo 6 de la LOPD establece que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable de fichero excluirá del tratamiento los datos relativos al afectado.” El derecho fundamental a la protección de datos, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 particular (...)”. Por su parte el artículo 30.4 de la LOPD, en relación a los tratamientos de datos personales, con fines de publicidad y de prospección comercial, establece que: “Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” En este sentido el artículo 45.1
- b)del RLOPD establece que: “Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” En este caso, se adjunta a su denuncia la carta dirigida al hijo menor de la denunciante a su domicilio, donde la empresa COFIDIS pone a disposición del mismo un crédito financiero. De las actuaciones investigadoras de esta Agencia se desprende que el conocimiento de los datos personales del hijo de la denunciante, proceden del formulario web de www.melollevoahora.com. ARVATO ha comunicado que los datos de B.B.B. han sido obtenidos directamente a través de un formulario de registro en la web www.melollevoahora.com, titularidad de PANET 49 GMBH. Ha aportado impresión de pantalla donde constan los datos de B.B.B., junto con el domicilio donde se ha remitido el escrito publicitario, la dirección de correo ........@gmail.com y como fecha de nacimiento figura el 22/02/1970. Asimismo figura la dirección IP ***IP.1 desde la que se ha realizado el registro y la fecha y hora 13/08/2015 a las 17:30:12. Manifiesta que B.B.B. aportó esa fecha de nacimiento ya que el concurso estaba dirigido a mayores de edad. Así mismo ha quedado acreditado que el hijo de la denunciante aceptó la Política de Privacidad y que en ella se informaba de que sus datos serían tratados para comunicaciones sobre productos de terceros pertenecientes a los sectores de actividad que se detallaban, entre ellos del sector financiero al que pertenece COFIDIS, y que la información podría enviársele por cualquier medio incluido, el postal. Desde la Inspección de Datos se ha verificado que la web www.melollevoahora.com consta registrada a nombre de PLANET GMBH inscrita en el registro mercantil de Frankfort (Alemania). En dicha web se informa que los datos recabados se tratarán según la ley de Protección de Datos alemana y conforme a los estándares vigentes en la Unión Europea. Asimismo se proporciona información sobre la empresa y la política de privacidad (Declaración de protección de datos). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 En atención a lo expuesto, habida cuenta de que no ha quedado constatado tras las actuaciones inspectoras de la Agencia Española de Protección de Datos, indicios de infracción, corresponde acordar el archivo de la presente denuncia. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a ARVATO SERVICES IBERIA, S.A. y a COFIDIS S.A. SUCURSAL EN ESPAÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es