E-01310-2019

1/7 Procedimiento Nº: E/01310/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de reclamación presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de septiembre de 2018 tiene entrada en esta Agencia Española de Protección de Datos reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) contra B.B.B., (en lo sucesivo B.B.B. o el reclamado), por considerar que ha vulnerado su derecho de cancelación de datos como su derecho a no recibir comunicaciones comerciales previa solicitadas o expresamente autorizadas. El reclamante manifiesta que habiendo contactado con la ***PUESTO.1 del Instituto de Estudios Celulares y Moleculares ICM S.A. (Dña C.C.C., en adelante, C.C.C.), después de haber recibido con fecha 24 de septiembre de 2018 una comunicación comercial no consentida procedente de la cuenta de correo ***EMAIL.1 en el correo electrónico de su farmacia ***EMAIL.2, tuvo conocimiento de que su email se obtuvo de una base de datos adquirida a través del sitio web ***WEB.1. En el mensaje de respuesta enviado al reclamante por Dña. C.C.C. desde su correo electrónico profesional ***EMAIL.1, se observa que, además de indicarle el origen del correo electrónico utilizado para el envío, también le indica que había procedido a eliminarlo de su listado, añadiendo que ignoraba que los emails incluidos en la base de datos adquirida no tenían autorización del usuario. El reclamante, considerando que su cuenta de correo electrónico se comercializaba en dicha base de datos sin mediar su consentimiento para dicho tratamiento, también con fecha 24 de septiembre de 2018 se dirigió por correo electrónico al responsable de la página web citada solicitando la baja de su dirección de correo ***EMAIL.2. Esta solicitud fue contestada ese mismo día por B.B.B., responsable de la citada página web, indicándole, según afirma el reclamante: “que lo había cogido de "información libre " en internet y que es legal lo que hace, que me da de baja pero que no va avisar a los clientes que ya han comprado la base de datos”. Aporta el reclamante impresión de los correos electrónicos remitidos desde dirección de correo ***EMAIL.2 a la cuenta de correo electrónico corporativa de Dña. C.C.C., antes citada, y a la cuenta de correo electrónico info@***WEB.1. Al pie de los correos remitidos por el reclamante se informa que la Comunidad de Bienes CATINOS C.B. es responsable del tratamiento de las cuentas de correo electrónico utilizadas, apareciendo el correo electrónico ***EMAIL.2 como una de las direcciones de contacto para el ejercicio de los derechos de los interesados. Igualmente, presenta impresión de las respuestas formuladas con fecha 24 de septiembre de 2018 a los envíos anteriormente reseñados por la mencionada ***PUESTO.1 de ICM y por Don B.B.B., de la firma Brekia Web Design. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a trasladar dicha reclamación, con fecha 24 de octubre de 2018, tanto a la remitente del envío como al responsable de la página web y base de datos, para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se les requería para que en el plazo de un mes remitieran a la Agencia Española de Protección de Datos determinada información para el esclarecimiento de los hechos señalados, en concreto: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevan. En la misma fecha se le comunicaba al reclamante la recepción de la reclamación y su traslado a C.C.C. y B.B.B.. TERCERO: Con fecha 21 de diciembre de 2018 la representación de la entidad Operaciones del Instituto de Estudios Celulares y Moleculares ICM S.A., (en adelante ICM), presentó escrito al que adjuntaba copia del correo electrónico remitido con esa misma fecha desde la cuenta ***EMAIL.3 a la dirección de correo electrónico ***EMAIL.2, en el que indicaban al reclamante que la dirección de correo electrónico utilizada “aparecía en una base de datos que ICM había comprado por internet (***WEB.1.) En el mail ya se le hace llegar por parte de C.C.C., nuestra intención de borrar sus contactos de dicha base de datos comprada, cosa que se llevó a cabo de manera inmediata. Así, le comunicamos que: El Instituto de Estudios Celulares y Moleculares S.A. ha procedido a la exclusión de todos sus datos de contacto de nuestra base de datos de farmacias. Le rogamos dé contestación a este mail con el fin de conocer su conformidad.” ICM también presento: copia de la factura emitida con fecha 11 de septiembre de 2018 por B.B.B. a nombre de ICM, por la venta del producto denominada “BBDD de Farmacias”; y contestación del reclamante al envío de fecha 21 de diciembre de 2018, en el que manifestaba su conformidad con la baja comunicada por ICM. CUARTO: Con fecha 27 de diciembre de 2018 Don B.B.B. presentó sendos escritos a los que adjuntaba copia de la documentación intercambiada con el reclamante, entre la que se encuentra el correo electrónico de fecha 24 de septiembre de 2018 indicándole: “He dado de baja su email en nuestros listados. Ningún cliente que adquiera la base de datos a partir de mañana tendrá en su base de datos su email. Su email se encuentra en una fuente pública. Ese es el motivo de que lo hayamos tenido. Un saludo.”. Igualmente, aportaba impresión del correo de fecha 26 de diciembre de 2018 en el que procedía a remitir al reclamante la decisión adoptada con respecto a sus datos. Asimismo, presentaba copia de Documento de Seguridad mejorado de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 organización y, además, un informe sobre las medidas correctoras adoptadas para: Mejora y elaboración del documento de seguridad de la organización como garantía de haberse adecuado a lo establecido en la normativa de protección de datos y como indicador del cumplimiento del Principio de Responsabilidad Proactiva (Accountability). Planificación y tratamiento de los datos para facilitar la correcta determinación del estado de los sistemas de privacidad y un óptimo grado de cumplimiento del RGPD, alineado todo ello con el cumplimiento de los objetivos de la organización. Don B.B.B. afirma que se ha limitado a tratar datos vinculados al negocio de Farmacia del reclamante (nombre empresa, dirección, código postal, localidad, provincia, comunidades, teléfono, email, latitud, longitud, actividad, referencias, activ. Principal) obtenidos de las direcciones web que detalla de la empresa Páginas Amarillas Soluciones Digitales SAU y de la red social Facebook, siendo la finalidad del tratamiento de esos datos la localización profesional del negocio. Añade que para el caso que se considere tratamiento de datos personales, comunica que se ha resuelto desfavorablemente la petición de ejercicio del derecho de supresión contemplado en el artículo 17 del RGPD, por los siguientes motivos: “No disponemos de ningún dato suyo de carácter personal en el fichero de BREKIADATAB.B.B.”. No obstante lo cual, ha procedido a la supresión de los datos profesionales de las bases de datos que gestiona referidos al mencionado negocio. A la par que niega haber remitido publicidad alguna al correo electrónico profesional ***EMAIL.2, pone de manifiesto que la comunicación comercial estudiada se remitió por la empresa ICE a través del correo profesional de su ***PUESTO.1 de ICM sin solicitar el consentimiento expreso para realizar este tipo de acciones. Igualmente, señala que ha contactado con el reclamante, informándole que los datos tratados no son personales, que son datos profesionales que proceden de la red de Internet, que tienen la finalidad de la localización profesional de su negocio y que nunca le ha enviado publicidad. QUINTO: Con fecha 4 de enero de 2019 se acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones, de acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), así como de conformidad con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). El mencionado artículo 43.1 de la LSSI dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 “1. La imposición de sanciones por el incumplimiento de lo previsto en esta Ley corresponderá, en el caso de infracciones muy graves, al Ministro de Industria, Energía y Turismo, y en el de infracciones graves y leves, al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información. No obstante lo anterior, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos

1. a)y
2. b)del artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
3. d)e
4. i)y 38.4 d),
5. g)y
6. h)de esta Ley.” II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. El artículo 55.2 del RGPD dispone que: “2. Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen con arreglo al artículo 6, apartado 1, letras
7. c)o e), será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el artículo 56.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, el artículo 14 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, en cuanto al “Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes” señala que: “Lo dispuesto en ese capítulo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” A su vez, el artículo 9.3 del mencionado Real Decreto-ley 5/2018, de 27 de julio, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
8. a)Que no se haya causado perjuicio al afectado.
9. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” III En el presente caso, se ha recibido en esta Agencia reclamación presentada por el reclamante contra Don B.B.B. por una presunta vulneración de lo dispuesto en el artículo17 del RGPD, Derecho de supresión («el derecho al olvido»), en relación con el derecho del reclamante a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, estando obligado a suprimirlos sin dilaciones indebidas. Asimismo, habría podido vulnerarse lo previsto en el artículo 21.1 de la LSSI al haberse remitido por parte del INSTITUTO DE ESTUDIOS CELULARES Y MOLECUALES ICM., S.A. una comunicación comercial sin el consentimiento previo y expreso de su destinatario. De conformidad con la normativa expuesta en el anterior Fundamento de Derecho, con carácter previo a la admisión a trámite de dicha reclamación, se dio traslado de la misma, al remitente de la comunicación comercial y a Don B.B.B. para que procediesen a su análisis y dieran respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se les solicitó copia de la comunicación remitida por los mismos al reclamante a propósito de la reclamación, informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Por otro lado, se acusó recibo de la reclamación presentada por el reclamante, informándole también de su traslado y de los requerimientos realizados para que los reclamados informasen a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Asimismo, consta que la representación de ICM y Don B.B.B. contestaron a los requerimientos de información efectuados por esta Agencia con fechas 21 y 28 de diciembre de 2018, respectivamente, y que comunicaron al reclamante la decisión adoptada en relación con los hechos descritos en la reclamación. IV En este caso, a la vista de la documentación presentada por Don B.B.B., se evidencia que éste atendió la solicitud del reclamante suprimiendo la información relativa a su Farmacia contenida en las bases de datos que aquel gestiona, y entre la que se encontraba la dirección de correo electrónico ***EMAIL.2. En lo que respecta a ICE, se valora que dicha empresa, inmediatamente después de recibir el correo electrónico del reclamante, suprimió de la base de datos de farmacias utilizada toda la información de contacto asociada al establecimiento del reclamante, sumándose también la circunstancia derivada de la conformidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 manifestada a ICE, con fecha 21 de diciembre de 2018, por el propio reclamante con la decisión de darle de baja de su lista. Del análisis y concurrencia de dichas circunstancias, y teniendo en cuenta las razones expuestas por Don B.B.B. y por ICE, así como las medidas que han adoptado para atender la reclamación estudiada, se considera que procede acordar el archivo de las actuaciones practicadas Sentado lo cual, conviene precisar que el hecho de que la mencionada cuenta de correo electrónico pueda estar vinculada a la Comunidad de Bienes CATINOS C.B., conforme se desprende del Aviso Legal que figura al pie de los correos electrónicos remitidos por el reclamante, resulta irrelevante a los efectos de la prohibición recogida en el artículo 21.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI), de enviar comunicaciones comerciales por medios de comunicación electrónica sin mediar el consentimiento previo y expreso del destinatario de las mismas para ello, toda vez que conforme a la definición recogida en la letra
10. d)del Anexo de la mencionada norma, el destinatario de los servicios de la sociedad de la información puede ser tanto una persona física como una persona jurídica. Motivo por el cual, se hace hincapié en la obligación del remitente de las comunicaciones comerciales de asegurarse de que ha obtenido el consentimiento previo y expreso de los destinatarios, sean personas físicas o jurídicas, para la remisión de comunicaciones comerciales por medios de comunicación electrónica o, en casos como el que nos ocupa, de que media autorización expresa de dichos destinatarios para el uso de sus datos por terceros a través de tales canales con fines promocionales, excepción hecha de que medie relación contractual previa entre las partes en los términos expresados en el primer párrafo del artículo 21.2 de la LSSI. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante los responsables del tratamiento en caso de que se produzca una reiteración en las conductas puestas de manifiesto en la presente resolución en relación con el envío de publicidad por medios de comunicación electrónica o con la vulneración de los derechos de los interesados o no se apliquen de manera efectiva medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad integridad y disponibilidad de los datos de carácter personal. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación y de las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a Don A.A.A., al INSTITUTO DE ESTUDIOS CELULARES Y MOLECUALES ICM, S.A y a Don B.B.B.. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es