E-01965-2014

1/8 Expediente Nº: E/01965/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante www.mejorsinfumar.com, cuyo titular es E.E.E., en virtud de la denuncia presentada por G.G.G. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 17/01/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de G.G.G. (en lo sucesivo, el denunciante) en el que manifiesta que “la página web prestadora de servicios www.mejorsinfumar.com carece del preceptivo “Aviso Legal” donde conste los medios de rectificación, cancelación, etc de los datos personales de sus clientes”. Y añade que no puede eliminar sus datos de dicho servicio “porque no sé dónde o cómo poder hacerlo”. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << D.D.D. 1 La Inspección de Datos ha comprobado que en la página web <www.whois.es> consta que el titular del dominio <www.mejorsinfumar.com> es H.H.H., con fecha de creación el 17 de septiembre de 2009 y de expiración el 17 de septiembre de 2014. Dichas circunstancias se detallan en la Diligencia de fecha 11 de marzo de 2014. 2 La Inspección de Datos ha verificado que en la página web <www.mejorsinfumar.com> consta un impreso denominado Formulario de contacto en el que se recaban los siguientes datos personales: nombre, teléfono, ciudad de tu sesión, e-mail, ¿cuál es tu sesión? Perder peso o dejar de fumar. También, se ha verificado que figura información relativa al responsable y que a continuación se detalla: Dirección de Hipnoterapia: H.H.H. Jaime III Gabinete de Psicología e Hipnoterapia C.C.C.. A.A.A. – A.A.A. <...@mejorsinfumar.......> Dichas circunstancias han sido comprobadas el día el día 12 de febrero y el día 17 de octubre según se detalla en la Diligencia de fecha 17 de octubre de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 3 La Inspección de Datos ha requerido al denunciante documentación acreditativa de su relación con <mejorsinfumar> y si había ejercido el derecho de cancelación, ante la dirección postal o teléfono o dirección de correo electrónico que consta en la página web, habiendo sido entregado el escrito en destino el día 24 de octubre de 2014, no constando respuesta hasta la fecha. 4 D. E.E.E. ha comunicado a la Inspección de Datos, con fecha de 7 de noviembre de 2014, en relación con los hechos manifestados por el denunciante lo siguiente: Que es el titular del sitio web <www.mejorsinfumar.com>. Que ha procedido a inscribir el fichero en el Registro General de Protección de Datos. Que el mismo día que recibió el requerimiento de la AEPD procedió a incluir en la página web la información sobre los derechos de acceso, rectificación, cancelación y oposición que por desconocimiento no lo había hecho. Que los datos que facilitan los clientes en el Formulario de contacto solo se utilizan para concertar las citas o enviar información previamente solicitada. Nunca han utilizado los datos de los clientes con otro fin ni se han cedido a otras personas o empresas. Que el denunciante fue cliente y realizó una reclamación pero no relativa a la posibilidad de ejercer los derechos establecidos en la Ley Orgánica 15/1999, sino solicitando la devolución del importe abonado. Que en los mensajes remitidos al denunciante, por correo electrónico, se especificaba cómo ejercer los derechos por lo que la queja de no poder solicitar la cancelación de sus datos no es cierta, ya que no han recibido ningún escrito al respecto o llamada telefónica por el denunciante o por tercera persona en su representación. Según consta en la impresión del cuerpo de un mensaje, remitido por correo electrónico, desde la dirección <...@mejorsinfumar.......> a una dirección <hotmail>, el día 4 de octubre constando información del artículo 5 de la Ley Orgánica 15/1999. 5 La Inspección de Datos ha verificado que en la página web <www.mejorsinfumar.com> consta un impreso denominado Formulario de contacto y los datos de titularidad del sitio, nombre, apellidos, dirección postal, teléfono y dirección de correo electrónico, coincidentes con lo que constaba en febrero y octubre de 2014. También, se ha añadido el siguiente texto: Mejorsinfumar.com le informa que todos los datos que se reciban mediante correo electrónico o por cualquier otro canal, serán incorporados en un fichero del cual E.E.E. es responsable y que serán tratados con estricta confidencialidad y únicamente para los servicios solicitados, de acuerdo con la Ley Orgánica 15/1999. En ningún caso serán cedidos a terceros los datos de dicho fichero. Le informamos que tiene derecho a ejercitar los derechos de oposición, acceso, rectificación y cancelación en avenida (C/.................1) Palma de Mallorca. Dichas circunstancias se detallan en la Diligencia de fecha 13 de noviembre de 2014. 6 En el Registro General de Protección de Datos figura inscrito el fichero denominado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 “CLIENTES Y/O PROVEEDORES”, con el código ***CÓD.1, siendo responsable D. E.E.E., cuya finalidad es “gestión de clientes o proveedores”. Dichas circunstancias constan en la Diligencia de fecha 13 de noviembre de 2014.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 5, “Derecho de información en la recogida de datos”, dispone: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante (...) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” (El subrayado es de la AEPD) La obligación que impone el artículo 5 de la LOPD es, por tanto, la de informar al titular de los datos en el momento de recabarlos en los términos que detalla el apartado 1 del precepto. Sólo así se garantiza que el “consentimiento” que presta el titular de los datos responda a la definición del artículo 3.
7. h)de la LOPD conforme al cual se entiende por consentimiento “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernan”. (El subrayado es de la AEPD) La LOPD se refiere de modo particular al supuesto en el que los datos se recaban a través de cuestionarios y refuerza para tal caso el derecho de los afectados a recibir la información a la que se refiere el artículo 5.1 al exigir que esa información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 conste de manera “claramente legible”. El incumplimiento de la obligación impuesta por el artículo 5 de la LOPD constituye una infracción leve tipificada en el artículo 44.2.
8. c)de la Ley Orgánica 15/1999 en los siguientes términos: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado” III La denuncia que nos ocupa versa sobre una presunta vulneración del artículo 5 de la LOPD concretada en que la página web www.mejorsinfumar.com , que incluye un formulario para la recogida de datos personales, no informaba a sus titulares de la posibilidad de ejercitar los derechos de cancelación y rectificación. La Inspección de la AEPD accedió a la citada página web el 12/02/2014 y 17/10/2014 y pudo comprobar que en ella se incluía un “Formulario de Contacto” con la siguiente leyenda: “Para reservar tu cita debe enviarnos los siguientes datos: tu nombre, tu teléfono, la ciudad en que quieres asistir a tu sesión, si la sesión concertada es de control de peso o para dejar de fumar, y si tienes un cupón de acceso debes adjuntarlo a la reserva”. Seguidamente aparecían las casillas destinadas a recabar datos personales pero no constaba, ni en el formulario ni en la página web, información sobre la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición (ARCO). No obstante, la Inspección pudo comprobar además que la página web sí contenía información relativa al responsable del fichero, pues se indicaba lo siguiente: “Dirección de Hipnoterapia: H.H.H.. Jaime III Gabinete de Psicología e Hipnoterapia. A.A.A. ...@mejorsinfumar.......” En respuesta al requerimiento informativo que la Inspección de Datos dirigió al responsable de la página web, H.H.H. (en lo sucesivo, el denunciado), del que acusó recibo el 23/10/2014, éste comunicó a la AEPD que desconocía que tuviera la obligación de informar en su página en los términos del artículo 5.1 de la LOPD y añadió que sí informaba cumplidamente a los destinatarios de los correos electrónicos que enviaba de que podían consultar o rectificar sus datos en el momento en que lo desearan y que podían hacerlo tanto a través del correo electrónico como a su dirección postal. En prueba de tal manifestación el denunciado aportó copia de un mail supuestamente enviado al denunciante, de fecha 04/10/2013, en el que figura como dirección de destino la del denunciante, F.F.F., y en cuyo pie final se incluye la siguiente leyenda: “Mejorsinfumar.com le informa que todos los datos que se reciban mediante correo electrónico serán incorporados a un fichero del cual mejorsinfumar.com es la responsable y que serán tratados con estricta confidencialidad y para los fines previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Le informamos que tiene derecho a ejercitar los derecho de oposición, acceso, rectificación y cancelación en Avenida Jaime III 25 2º B 07012 Palma.” Lo cierto es, sin embargo, que la copia del citado mail no puede servir de base para afirmar, como el denunciado pretende, que el denunciante fue informado a través de los correos electrónicos que intercambió con él de la posibilidad de ejercitar los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 derechos ARCO pues no existe prueba alguna de que el mensaje electrónico cuya copia aporta con sus alegaciones hubiera sido recibido por el denunciante. En definitiva, del resultado de la investigación llevada a cabo por la Inspección de la AEPD se desprende la posible comisión de una infracción del artículo 5.1 de la LOPD toda vez que cuando el denunciante cumplimentó el formulario de recogida de sus datos personales de la página web www.mejorsinfumar.com no se incluía en ella la información que exige el artículo 5.1.
9. d)de la LOPD. También se ha constatado, y es digno de destacar, que una vez que el denunciado conoció que la omisión de información vulneraba la normativa de protección de datos, rectificó su conducta con gran rapidez y procedió a incluir en su página web la información a la que hace referencia el artículo 5.1 de la LOPD así como a inscribir el fichero en el Registro de Ficheros de la AEPD. Así, obra en el expediente una Diligencia de la Inspectora de Datos de fecha 13/11/2014 en la que constata que la página web www.mejorsinfumar.com incluye a continuación del formulario de recogida de datos un texto con la siguiente indicación: “Mejorsinfurmar.com le informa que todos los datos que se reciban mediante correo electrónico o por cualquier otro canal, serán incorporados a un fichero del cual E.E.E. es responsable y que serán tratados con estricta confidencialidad y únicamente para los servicios solicitados, de acuerdo con la Ley Orgánica 15/1999.En ningún caso serán cedidos a terceros los datos de dicho fichero. Le informamos que tiene derecho a ejercitar los derechos de oposición, acceso, rectificación y cancelación en Avenida B.B.B.” También en Diligencia de fecha 13/11/2014 la Inspectora de Datos dejó constancia de la inscripción en el Registro General de Ficheros de la AEPD la inscripción con fecha 07/11/2014 del fichero denominado “Clientes y/o proveedores” cuyo responsable es E.E.E. y cuya finalidad es la gestión de clientes o proveedores. IV En el presente caso, habida cuenta de que ha resultado probado que la página web www.mejorsinfumar.com, de la que el denunciado es titular, no informaba de la posibilidad de ejercitar los derechos ARCO con carácter previo a la recogida de los datos personales a través del formulario, como exige el artículo 5.1 de la LOPD, la conducta denunciada podría ser constitutiva de una infracción leve tipificada en el artículo 44.2.
10. c)de la Ley Orgánica 15/1999. Dicho lo cual hay que añadir que el denunciado no ha sido sancionado o apercibido por la AEPD anteriormente. A lo que se suma que concurren en el presente caso varias de las circunstancias que se relacionan en el artículo 45.5 de la LOPD precepto que dispone: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 supuestos:
11. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
12. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
13. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
14. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
15. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". Se aprecia en los hechos que examinamos la concurrencia de la circunstancia descrita en el apartado
16. a)del artículo 45.5 de la LOPD en relación con el artículo 45.4, pues se cumplen las previsiones de los siguientes apartados de este último precepto: d), por el escaso volumen de negocio del infractor; e), por la ausencia de intencionalidad en la conducta infractora, como lo demuestra el hecho de que la información que se había omitido en la página web de la que es titular el denunciado fue incorporada a ella nada más conocer su titular la existencia de una posible infracción de la normativa de protección de datos. Se aprecia, asimismo, la circunstancia descrita en el artículo 45.5,
17. b)de la LOPD, pues el sujeto infractor regularizó la situación creada con gran diligencia al conocer, a través del requerimiento informativo de la AEPD, que podía haber vulnerado el deber de información previsto en el artículo 5.1 de la Ley Orgánica e incluyó en la página web www.mejorsinfumar.com la información a la que viene obligado sobre el ejercicio de los derechos ARCO. El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
18. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
19. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “leve”; que el denunciado no ha sido sancionado o apercibido por este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos el denunciado adoptó con diligencia las medidas correctoras necesarias para adecuar su conducta a las exigencias de la LOPD, incluyendo en la página web www.mejorsinfumar.com información sobre la posibilidad de ejercitar los derechos ARCO, sobre la finalidad del tratamiento y acerca de que los datos recogidos no serían objeto de cesión, e inscribió el fichero en el Registro de Ficheros de la AEPD. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que el denunciado ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a E.E.E. y a G.G.G.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es