1/5 Expediente Nº: E/01185/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad MEDIA MARKT ALBACETE S.A en virtud de denuncia presentada por la CONSEJERIA DE SANIDAD Y ASUNTOS SOCIALES, SERVICIOS PERIFERICOS de la Comunidad Autónoma de Castilla La Mancha y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha de 17/06/2015 tuvo entrada en esta Agencia un escrito del Servicio de Salud pública, drogodependencia y consumo en Albacete, perteneciente a la Consejería de Sanidad y Asuntos Sociales de la Comunidad Autónoma de Castilla-La Mancha (en adelante la denunciante) al que adjunta una fotocopia de un acta levantada por inspectores de consumo el 9/12/2014 en la que se informa que “…por si de la misma pudiera desprenderse la existencia de infracción en materia de protección de datos al apreciarse en el clausulado general que el establecimiento Media Markt Albacete Video-Tv-Hifi-Elektro-Computer-Foto S.A. -Media Markt- incluye, en el reverso de sus resguardos de depósito y facturas tanto por venta como por reparación, una cesión automática de los datos personales del cliente a efectos que exceden de lo necesario e imprescindible para posibilitar el contrato al que se refieren, sin posibilidad de negarse expresamente a ello en el momento de su firma, incumpliendo así lo establecido al respecto en el artículo 15 del RD 1720/2007.” SEGUNDO: Mediante resolución de 10 de marzo de 2016 la Directora de la Agencia Española de Protección de Datos acordó el archivo de las actuaciones identificados con el código E/00948/2016 al haber prescrito la presunta infracción denunciada. En esa misma resolución se acordó la apertura de las presentes actuaciones previas de investigación, E/1185/2016, a fin de que se compruebe si en los contratos de Media Markt que se utilizan actualmente la cláusula de protección de datos se adecua o no a las prescripciones de la LOPD. TERCERO: A consecuencia de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1.En el acta de inspección aportada en la denuncia presentada figuran los siguientes documentos:
- a)Orden de reparación con fecha 19/03/2014 a nombre de A.A.A.. En el pie del documento figura el logotipo de MEDIA MARKT, pero el encabezado del documento identifica como emisor de la orden a INCIDERE S.L.
- b)Presupuesto de reparación de fecha 07/04/2014 emitido por THE GROUP SERVICE PROCEDO S.L. El cliente cuyos datos figuran en el presupuesto es MEDIA MARKT ALBACETE.
- c)Factura de reparación de fecha 30/04/2014 de la reparación presupuestada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 el 07/04/2016. En el borde superior derecho consta el nombre y apellidos del que presumiblemente es el cliente, B.B.B..
- d)Correo electrónico remitido por el servicio de asistencia técnica de la marca Woxter el 19/11/2014 a “Media Albacete, Sat” con un presupuesto de reparación firmado. El cliente cuyos datos figuran en el presupuesto es MEDIA MARKT ALBACETE. 2. De los cuatro documentos descritos, únicamente el
- b)tiene un texto legal que mencione la cesión de datos del cliente. El texto, que se encuentra en cada una de las dos páginas del documento, dice en relación con la cesión que: “…El titular de los datos autoriza de manera expresa a THE SERVICE GROUP PROCEDO SL la cesión de sus datos personales a todas aquellas entidades a las que sea necesario ceder sus datos para la prestación del servicio...”. 1. Se requiere a Media Markt Albacete, para que aporte copia del reverso de un resguardo de depósito, de un modelo de factura por venta y de un modelo de factura por reparación en los que se muestre la información proporcionada a los clientes en relación al tratamiento de sus datos. La entidad aporta una hoja Condiciones generales de Contratación que utiliza actualmente para las tres finalidades, en cuyo punto 8 se proporciona la siguiente información sobre protección de datos. En relación a la posible cesión de los datos del cliente se indica que “El comprador autoriza expresamente a Media Markt para la cesión de sus datos a las sociedades Media Saturn (sector de distribución y comercio de bienes y servicios) o a los servicios técnicos del fabricante a fin de prestarle el servicio de post-venta, o al fabricante a fin de gestionar la devolución de productos o a la empresa aseguradora en caso de contratación de seguro de la cláusula 5.7., o a la entidad financiera en caso de contratación de financiación de la cláusula 2.2. ”Asimismo,vd. Consiente expresamente el tratamiento de los datos que nos ha facilite para para remitirle información de interés novedades y ofertas sobre productos y servicios de Media Markt a través de cualquier medio incluyendo correo, correo electrónico SMS, etc.. Para darse de baja del servicio de envíos de comunicaciones publicitarias puede hacerlo a través de mediamart.es. Usted puede ejercitar los derechos de acceso, …..) FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El Servicio de Salud pública, drogodependencia y consumo en Albacete, perteneciente a la Consejería de Sanidad y Asuntos Sociales de la Comunidad Autónoma de Castilla-La Mancha adjunta una fotocopia de un acta levantada por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 inspectores de consumo el 9/12/2014 en la que se informa que Media Markt incluye, en el reverso de sus resguardos de depósito y facturas tanto por venta como por reparación, una cesión automática de los datos personales del cliente a efectos que exceden de lo necesario e imprescindible para posibilitar el contrato al que se refieren, sin posibilidad de negarse expresamente a ello en el momento de su firma, incumpliendo así lo establecido al respecto en el artículo 15 del RD 1720/2007. La LOPD en el artículo 5 de la LOPD que establece: “ 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” En relación con lo dispuesto, el artículo 15 del Reglamento de Desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, en el que se establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” Dicha infracción aparece tipificada como leve en el artículo 44.2.
- c)de la LOPD, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”, pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. III La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y wl Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el R. D. 1398/1993, de 4/08 en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” En el presente caso, en relación a la cláusula del contrato modelo aportado por la denunciante al Acta de fecha 9/12/2014, se significa que, en su caso, la conformidad a derecho de la cláusula estaría “prescrita” al haber trascurrido en exceso el plazo de UN año previsto para las infracciones leves, por lo que, el presente procedimiento se centra en el análisis de la cláusula que los representantes de MEDIA MARKT alegan en la inspección son utilizadas en la actualidad en el reverso del resguardo de depósito, del modelo de factura por venta y de factura por reparación en los que se muestre la información proporcionada a los clientes en relación al tratamiento de sus datos. La entidad ha aportado una hoja con las condiciones Generales de Contratación que utiliza actualmente para las tres finalidades, en cuyo punto 8 se proporciona la siguiente información sobre protección de datos. “En relación a la posible cesión de los datos del cliente se indica que “El comprador autoriza expresamente a Media Markt para la cesión de sus datos a las sociedades Media Saturn (sector de distribución y comercio de bienes y servicios) o a los servicios técnicos del fabricante a fin de prestarle el servicio de post-venta, o al fabricante a fin de gestionar la devolución de productos o a la empresa aseguradora en caso de contratación de seguro de la cláusula 5.7., o a la entidad financiera en caso de contratación de financiación de la cláusula 2.2. ”Asimismo, vd. Consiente expresamente el tratamiento de los datos que nos ha facilite para para remitirle información de interés novedades y ofertas sobre productos y servicios de Media Markt a través de cualquier medio incluyendo correo, correo electrónico SMS, etc.. Para darse de baja del servicio de envíos de comunicaciones publicitarias puede hacerlo a través de mediamart.es. Usted puede ejercitar los derechos de acceso,…..) . Por lo que, prevista la posibilidad de que el cliente pueda darse de baja del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 envío de comunicaciones publicitarias, se estima se han adoptado las medidas pertinentes para dar fiel cumplimiento al contenido de los artículos 5º y 15° de la normativa sobre protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a MEDIA MARKT ALBACETE VIDEO-TVHIFI-ELEKTRO-COMPUTER-FOTO SA y a CONSEJERIA DE SANIDAD Y ASUNTOS SOCIALES -SERVICIOS PERIFERICOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es