E-02295-2014

1/5 Expediente Nº: E/02295/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad IMDALO CLINIC, S.L., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 27/01/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo la denunciante) en el que manifiesta que ha recibido una carta de IMDALO CLINIC, S.L., (en lo sucesivo la denunciada o IMDALO), a quien no le consta haber facilitado sus datos personales, comunicándole que según sus archivos su carnet de conducir está a punto de caducar y se pone a su disposición para realizar los trámites oportunos. La denunciante ha aportado a la AEPD, a requerimiento de la Inspección de Datos, una copia del sobre que contenía el escrito publicitario de IMDALO en el que figuran su nombre, apellidos y dirección postal. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha de 27 de enero de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: Hechos denunciados: Que recientemente ha recibido un escrito de IMDALO CLINIC S.L. en el que le ofrecen sus servicios para los trámites a realizar para la renovación de su Carnet de conducir que deberá revisar próximamente. Aporta copia del escrito. La denunciante manifiesta que no le consta haber facilitado sus datos a dicha Clínica. Con fecha 25 de abril de 2014, la denunciante remite a esta Agencia, copia del sobre que contenía el citado escrito, en el que consta: la fecha de 15 de enero de 2014, sus datos de nombre y apellidos y domicilio postal (número y puerta) como destinatario del mismo y el Logotipo de IMDALO CLINIC S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 ACTUACIONES PREVIAS Con fecha 13 de noviembre de 2013, IMDALO CLINIC S.L., ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Aportan copia del formulario suscrito por la denunciante, en el año 2004 de solicitud de certificado para la obtención del Carnet de Conducir. En dicho formulario constan los datos personales de la denunciante, incluido su número de D.N.I. y su domicilio, y la fecha de reconocimiento 7 de febrero de 2004, así como datos asociados a la revisión médica solicitada. 2. En el formulario que aportan, consta una leyenda informativa en la que se especifica que el responsable del fichero en el que se incluyen los datos es IMDALO CLINIC S.L., con la finalidad de prestarle el servicio de revisión médica solicitado y gestionar la tramitación de licencias, así como para remitirle información que pueda ser de su interés, también se informa del ejercicio de los derechos ARCO. 3. El fichero en el que constan los datos de la denunciante es el denominado CLIENTES, inscrito en el Registro General de Protección de Datos, con fecha 1 de septiembre de 2010 y con el código de inscripción no ***CÓD.1. 4. La única relación que la entidad tuvo con la denunciante fue la expedición del certificado médico para la obtención del carnet de conducir en el año 2004. Durante este periodo de tiempo no se ha mantenido relación con la interesada y no se le ha enviado ninguna comunicación informativa o publicitaria por correo postal ni por cualquier medio electrónico.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD bajo la rúbrica “Consentimiento del afectado” consagra en su artículo 6 el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. (…) 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 causa justificada para ello y no se le atribuyan efectos retroactivos.” (El subrayado es de la AEPD) Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos de carácter personal y alude a la necesidad de contar con el consentimiento inequívoco e informado del afectado para que el tratamiento de sus datos sea ajustado a Derecho. Conforme al citado precepto el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho fundamental pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30/11/2000 (Fundamento Jurídico 7), se refiere al contenido esencial del derecho a la protección de datos de carácter personal e indica que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Por lo que concierne, en particular, al tratamiento de los datos personales con fines de publicidad y de prospección comercial el artículo 30.1 de la LOPD indica que “Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.” (El subrayado es de la AEPD) III La denuncia que nos ocupa versa sobre el tratamiento de los datos personales de la denunciante, supuestamente sin su consentimiento, materializado en el envío postal por IMDALO de una comunicación comercial en la que figuran sus datos de identificación y domicilio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 IMDALO ha aportado, en respuesta al requerimiento de la Inspección de Datos, una copia del formulario del “Centro Médico Alcorcón” que la denunciante cumplimentó y firmó en el año 2004. Sobre este particular ha de advertirse que las exigencias introducidas por los artículos 15 y 45.1.
3. b)del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) no estaban vigentes en la fecha en la que la denunciante otorgó el consentimiento. En el documento aparecen, además de la firma de la denunciante (coincidente con la que figura en su denuncia) sus datos personales de identificación y datos médicos. El documento finaliza con una cláusula que informa de que los datos personales obtenidos a partir del formulario serán incluidos en un fichero del que es responsable IMDALO CLINIC, S.L. Informa también de cuáles son las finalidades concretas que persigue el tratamiento de los datos que se recogen –a saber, “prestarle el servicio de revisión médica solicitado”, “gestionar el servicio de tramitación de licencias”, “atender sus consultas” y “remitirle información relacionada con nuestros servicios que pudiera ser de su interés”- y de que IMDALO se compromete a usar los datos recogidos por medio del formulario, “exclusivamente”, con “la finalidad mencionada anteriormente”. La cláusula finaliza señalando que “El interesado declara tener conocimiento del destino y uso de los datos personales recogidos mediante la lectura de la presente cláusula” y ofreciendo un medio para que si lo desea pueda ejercitar los derechos de acceso, rectificación, cancelación y oposición. El tenor literal de la cláusula pone de manifiesto que la denunciante otorgó su consentimiento al tratamiento de sus datos con fines publicitarios relativos a los servicios que presta la empresa. Este consentimiento es independiente del otorgado para la contratación del servicio de expedición del certificado médico exigido para obtener el carnet de conducir, por lo que en tanto no se revoque en los términos del artículo 6.3 de la LOPD continúa vigente. En el presente caso, al haberse acreditado que la denunciante sí facilitó sus datos personales a IMDALO y consintió el envío de publicidad relacionada con los servicios que presta, y en tanto no se conoce que hubiera revocado en la fecha en la que recibió la comunicación comercial el consentimiento para el tratamiento de sus datos con fines publicitarios, debe concluirse que la conducta de IMDALO que se somete a la valoración de este organismo ha sido respetuosa con la normativa de protección de datos debiendo acordar el archivo de las presentes actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a IMDALO CLINIC, S.L. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es