E-02528-2015

1/15 Expediente Nº: E/02528/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades COFIDIS, S.A., SUCURSAL EN ESPAÑA; ARVATO SERVICES IBERIA S.A.U.; EGENTIC GMBH y PLANET 49 GMBH, en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 04/02/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que COFIDIS, S.A., SUCURSAL EN ESPAÑA, (en lo sucesivo, COFIDIS o la denunciada) le ha remitido publicidad postal de un producto financiero sin su consentimiento, pues no ha cumplimentado ninguna solicitud ni ha formalizado ningún contrato que habilitara a la denunciada para el envío de la comunicación comercial. Aporta la publicidad recibida de COFIDIS, dirigida a su nombre y a su domicilio, que consta de una carta de presentación del producto –el “Credit Sin by Cofidis”- en la que figura su nombre, dos apellidos y domicilio, y de una “Solicitud de crédito simplificada” en la que sus datos personales ya están impresos. En el reverso de la carta de presentación del producto publicitado se incluye esta leyenda: “El listado de direcciones utilizado para la realización de esta campaña publicitaria ha sido elaborado por la entidad Planet 49 GmbH, responsable del fichero (creado a partir del sitio web www.libre-eleccion.es, www.eleccion-libre.es, www.iniciativa-espana.es, www.ganador-elegido.es, www.premio-instantaneo.es, www.win-iphone.es, www.tu-a3.com, www.vale1000.com y www.eleccion-exclusiva.com ) la que también se ha encargado de la realización del presente envío. Para ejercer los derecho de acceso, rectificación, cancelación u oposición puedes dirigirte al teléfono gratuito 900****** (…) o por escrito al email “....@planet49.es” SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección A. Dado que en la publicidad enviada al denunciante se indica que el origen de los datos utilizados es un fichero de la entidad PLANET 49 GmbH creado a partir de datos facilitados a través los sitios web anteriormente citados, se requirió al denunciante para que informara si había registrado sus datos personales en los formularios que figuran en los mencionados sitios web para participar en los concursos que ofrecen, contestando que no se había registrado en ninguna de esas páginas. B. Se verificó en fecha 15/07/2015 que los datos del denunciante no figuran en los repertorios de abonados al sistema telefónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 C. Se requirió a COFIDIS información y documentación sobre los hechos denunciados. Los representantes de la entidad respondieron: 1. SOBRE LOS DATOS QUE FIGURAN EN SUS FICHEROS RELATIVOS AL DENUNCIANTE. “Actualmente no consta en los ficheros de COFIDIS, S.A. SUCURSAL EN ESPAÑA (en adelante, “COFIDIS”) ningún dato de carácter personal perteneciente al Sr. A.A.A..” 2. SOBRE LOS TRATAMIENTOS DE DATOS DE CARÁCTER PERSONAL QUE LA COMPAÑÍA HA CONTRATADO A TERCEROS PARA LA REALIZACIÓN DE LA CAMPAÑA PUBLICITARIA A LA QUE CORRESPONDE LA PROMOCIÓN EN CUESTION. “En fecha 01 de mayo de 2014, COFIDIS suscribió un contrato de colaboración para realizar acciones publicitarias con la entidad ARVATO SERVICES IBERIA, S.A.U. (en adelante, “el CONTRATO”), […] En dicho CONTRATO, se indica, tal y como se puede apreciar en la comparecencia del mismo, que la entidad ARVATO SERVICES IBERIA, S.A.U. actúa en nombre y representación de la entidad mercantil EGENTIC GMBH de conformidad con un contrato de agencia que ambas entidades (ARVATO y EGENTIC) tienen suscrito desde la fecha 30 de septiembre de 2009. Asimismo, en la misma comparecencia del CONTRATO, se continúa diciendo que la entidad EGENTIC GMBH actúa a su vez en nombre y representación de la sociedad mercantil PLANET 49 GMBH, la cual es en última instancia la RESPONSABLE O TITULAR DEL FICHERO utilizado para la realización de la campaña publicitaria (en adelante, “el FICHERO”). En este sentido, igualmente se menciona en el CONTRATO que entre EGENTIC GMBH y PLANET 49 GMBH existe un contrato de comercialización del FICHERO de conformidad con el acuerdo que entre ambas entidades, esto es, EGENTIC y PLANET 49, tienen suscrito desde la fecha 03 de abril de 2012. Sin entrar en el estudio ni en el análisis pormenorizado del CONTRATO, cuya copia se aporta a tales efectos junto al presente escrito, cabe destacar en concreto lo establecido en la estipulación “PRIMERA.- OBJETO DEL CONTRATO” la cual establece lo siguiente: “ARVATO como agente de EGENTIC y autorizada por éste en virtud del Contrato de Agencia referenciado anteriormente intermediará, por cuenta de EGENTIC, frente a COFIDIS en todas aquellas campañas que EGEN TIC desee enviar a sus clientes de productos de COFIDIS, y que se concretarán en cada ocasión mediante la correspondiente hoja de encargo a suscribirse por ambas Partes, que, a todos los efectos, será considerada como un Anexo al presente Contrato”. La estipulación transcrita viene a reflejar las siguientes dos cuestiones que denotan que COFIDIS ha actuado correctamente y de conformidad con la normativa vigente sobre protección de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 1. Que los datos personales de los destinatarios de la/s campaña/s publicitaria/s no son datos personales titularidad de COFIDIS ni han sido tratados por COFIDIS ni forman parte de ningún fichero propiedad de COFIDIS. Tal y como se indica en la estipulación “CUARTA.ENCARGADOS DEL TRATAMIENTO” del CONTRATO, “COFIDIS únicamente tendrá acceso y sólo introducirá en sus ficheros, previo conocimiento inequívoco e informado de los titulares, los datos de las personas que directamente respondan a la campaña publicitaria objeto de este Contrato y se interesen por sus productos/servicios y, a tal efecto, le soliciten directamente, por cualquier medio, la formalización de un pedido o la solicitud de información adicional’. En este sentido, en el presente caso, el Sr. A.A.A., no llegó a contactar con COFIDIS, motivo por el cual no constan registrados sus datos en los ficheros de COFIDIS. 2. Que todas las diferentes campañas que en el marco del CONTRATO se pueden realizar, se formalizan adjuntando al CONTRATO diferentes “hojas de encargo”. En este sentido, se acompaña como ANEXO II al presente escrito, copia de la hoja de encargo de la campaña del mes de enero 2015, la cual forma parte integrante del CONTRATO, y en el marco de la que entendemos que el RESPONSABLE O TITULAR DEL FICHERO realizó el tratamiento de los datos personales del Sr. A.A.A., sin que COFIDIS EN NINGÚN MOMENTO participase en el tratamiento de los datos personales del Sr. A.A.A. ni en el del resto de los destinatarios de la campaña. En consecuencia, COFIDIS sólo se ha limitado a contratar única y exclusivamente con la entidad ARVATO SERVICES IBERIA, S.A.U. la realización de una campaña publicitaria en la que precisamente COFIDIS no ha tenido acceso ni ha realizado ningún tratamiento con los datos de carácter personal del Sr. A.A.A. ni con los del resto de los destinatarios de dicha campaña.” 3. SOBRE LOS PARÁMETROS IDENTIFICATIVOS DE LOS DESTINATARIOS DE LA CAMPAÑA Y SI LOS MISMOS FUERON FIJADOS POR COFIDIS O POR LOS TERCEROS A LOS QUE SE ENCARGÓ SU REALIZACIÓN. “COFIDIS, no ha designado ni ha participado en la determinación de los parámetros identificativos que delimitan al público objetivo de la campaña publicitaria. En este sentido, el propio CONTRATO cuya copia se adjunta como ANEXO l al presente escrito de alegaciones, en su estipulación “SEGUNDA.DESIGNACIÓN DE DESTINATARIOS”, establece lo siguiente: “1. El TITULAR DEL FICHERO como responsable del mismo, será el encargado de efectuar la designación de los concretos destinatarios de las campañas publicitarias, respetándose, en todo caso, el número de registros acordados para cada concreta campaña, según hoja de encargo anexa. En consecuencia, será el TITULAR DEL FICHERO la única entidad que determinará los parámetros identificativos de los destinatarios de la campaña publicitaria objeto de cada concreta campaña, no determinándolos, en ningún caso, COFIDIS ni ARVATO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 [...]” D. COFIDIS aportó copia del CONTRATO celebrado con ARVATO SERVICES IBERIA, S.A.U. (en adelante, ARVATO), la hoja de encargo del mes de enero 2015 correspondiente a la campaña publicitaria y la factura generada por ARVATO y girada contra COFIDIS por los servicios contratados. En el contrato entre COFIDIS y ARVATO se establece que ARVATO actúa en nombre y representación de EGENTIC GMBH (con domicilio en Alemania), en virtud de un contrato de agencia que se declara vigente y que fue suscrito entre las compañías el 30/09/2009. También se verificó que EGENTIC GMBH (en lo sucesivo, EGENTIC) actúa en nombre y representación de PLANET 49 GMBH (con domicilio también en Alemania), siendo EGENTIC la responsable de la comercialización del fichero, en virtud del acuerdo que se declara suscrito entre ambas entidades el 03/04/2012. En el contrato suscrito con COFIDIS, ARVATO, en nombre y por cuenta de EGENTIC, certifica los siguientes extremos: • Que el fichero del PLANET 49 GMBH se encuentra actualizado y contiene todos los datos necesarios para su utilización en campañas de marketíng directo. • Que los datos personales de los clientes de PLANET 49 GMBH, han sido facilitados por los propios afectados u obtenidos con su consentimiento. • Que PLANET 49 GMBH ha informado a los afectados de que están incluidos en su fichero, de conformidad con la vigente normativa de protección de datos, de la posibilidad de recibir publicidad o información de terceras empresas del sector de actividad al que pertenece COFIDIS, esto es, sector Financiero dando la oportunidad a los afectados de oponerse a ello en los plazos legalmente establecidos, siendo responsable de cualquier incumplimiento al respecto. • Que PLANET 49 GMBH respeta escrupulosamente los derechos de sus clientes, por lo que si recibe solicitudes de éstos, oponiéndose a la posibilidad de recibir ofertas de terceros o de que sus datos sean cedidos, no les remite oferta alguna de terceros. • Que PLANET 49 GMBH controla la efectiva recepción de tales documentos por los clientes, controlando las devoluciones de documentos, y no remitiendo a los clientes publicidad u ofertas de terceros si primeramente no se asegura de que han recibido los formularios o documentos conteniendo su leyenda de protección de datos. • Que PLANET 49 GMBH ha eliminado de su fichero a todo aquel afectado que se haya opuesto a que sus datos fueran cedidos o que no quisiera recibir publicidad de terceros, y a toda persona que se haya inscrito en la lista “Robinson” gestionada por ADIGITAL. • Que EGENTIC responde del cumplimiento de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en adelante, LOPD) y demás normativa de aplicación al efecto y en particular en lo relativo a lo certificado por ésta en el presente Pacto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 E. Se ha verificado que en los sitios web www.libre-eleccion.es, www.eleccion-libre.es, www.iniciativa-espana.es, www.ganador-elegido.es, www.premio-instantaneo.es, www.win-iphone.es, www.tu-a3.com, www.vale1000.com y www.eleccion-exclusiva.com se encuentran formularios de recogida de datos informando del responsable del fichero (PLANET 49 GMBH) y de la posibilidad de informar de servicios y productos de terceros de diversos sectores, entre ellos del sector financiero. Se informa de la posibilidad de oposición a la recepción de dicha información. F. Se solicitó a ARVATO, dado que actúa en nombre y representación de EGENTIC GMBH y ésta en nombre y representación de PLANET 49 GMBH, información y documentación sobre el origen de los datos, manifestado sus representantes que una de las áreas de ARVATO es el listbroking y que en este contexto, en relación a la campaña en cuestión, ARVATO actuó en último término en nombre y por cuenta del responsable del fichero ( PLANET 49 GMBH ) frente a la empresa beneficiaria de la publicidad ( COFIDIS ) para la remisión de envíos publicitarios. Se informó que con posterioridad a la firma del contrato de agencia entre ARVATO Y PLANET 49 GMBH, se produjeron una serie de cambios societarios en el grupo EGENTIC, al que pertenece PLANET 49 GMBH, que fueron recogidos en anexos al contrato. Que en la misma fecha se firmaron sendos anexos concretando el proceso de obtención del consentimiento de los interesados para las campañas objeto del contrato. En fecha 18/01/2012 la entidad conocida como PLANET 49 GMBH cambió su denominación social por la de EGENTIC GMBH y, posteriormente, en fecha 14/03/2012 se constituyó una entidad distinta de la anterior llamada PLANET 49 GMBH. PLANET 49 es la titular de la base de datos y EGENTIC es la responsable de la comercialización de dicho fichero. Los representantes de ARVATO indican que se han puesto en contacto con dichas empresas que han manifestado su plena voluntad de colaborar con la Agencia Española de Protección de Datos y que a su entender debe ser el responsable del fichero el que, como tal, facilite la concreta acreditación del consentimiento del afectado para la acción publicitaria de COFIDIS que le fue remitida. Aportan copia del contrato entre ARVATO y PLANET 49 GMBH, de fecha 30/09/2009, los anexos y la hoja de encargo, que constan en las presentes actuaciones de inspección. En el contrato PLANET 49 GMBH certifica a ARVATO, entre otros, los siguientes extremos: • Que el fichero de PLANET 49 GMBH se encuentra actualizado y contiene todos los datos necesarios para su utilización en campañas de marketíng directo. • Que los datos personales de los clientes del PLANET 49 GMBH, han sido facilitados por los propios afectados u obtenidos con su consentimiento. • Que PLANET 49 GMBH ha informado a los afectados de que están incluidos en su fichero, de conformidad con la vigente normativa de protección de datos, de la posibilidad de recibir publicidad o información de terceras empresas del sector de actividad al que pertenece COFIDIS, esto es, sector Financiero dando la oportunidad a los afectados de oponerse a ello en los plazos legalmente establecidos, siendo responsable de cualquier incumplimiento al respecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 • Que PLANET 49 GMBH respeta escrupulosamente los derechos de sus clientes, por lo que si recibe solicitudes de éstos, oponiéndose a la posibilidad de recibir ofertas de terceros o de que sus datos sean cedidos, no les remite oferta alguna de terceros. • Que PLANET 49 GMBH controla la efectiva recepción de tales documentos por los clientes, controlando las devoluciones de documentos, y no remitiendo a los clientes publicidad u ofertas de terceros si primeramente no se asegura de que han recibido los formularios o documentos conteniendo su leyenda de protección de datos. • Que PLANET 49 GMBH ha eliminado de su fichero a todo aquel afectado que se haya opuesto a que sus datos fueran cedidos o que no quisiera recibir publicidad de terceros, y a toda persona que se haya inscrito en la lista “Robinson” gestionada por ADIGITAL. • Que EGENTIC responde del cumplimiento de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en adelante, LOPD) y demás normativa de aplicación al efecto y en particular en lo relativo a lo certificado por ésta en el presente Pacto. En uno de los anexos se estipula que la leyenda informativa a incluir en la publicidad que cita que el responsable del fichero utilizado es PLANET 49 GMBH, el cual es creado a partir de sitios web ( www.planet49.es, www.libre-eleccion.es, www.iniciativa-espana.es, www.eleccion-libre.es, www.premio-instantaneo.es, www.winiphone.es, www.tu-a3.com, www.vale1000.com y www.eleccion-exclusiva.com ). G. Se solicitó a PLANET 49 GMBH información y documentación sobre el origen de los datos, manifestando sus representantes lo siguiente: La entidad está ubicada en Alemania y se rige por la Ley federal de Privacidad Alemana, siendo su actividad monitorizada por el Commissioner de Protección de Datos del correspondiente Länder o región de Alemania. No obstante, de acuerdo con su deseo de colaboración con esta Agencia, proveen la documentación solicitada. El usuario en cuestión se registró en una rifa ofertada en el sitio web www.valeadictos.com . Se le informó en la política de privacidad de la posibilidad de informar regularmente sobre productos y servicios de terceros de sectores determinados. Cuando se registró para la rifa en el referido sitio web, el usuario declaró su aceptación de los términos de la rifa así como de la política de seguridad clicando en una casilla dispuesta al efecto (checkbox) con el siguiente literal “He leído y acepto las condiciones de participación y la política de protección de datos. Acepto ser contactado en caso de resultar ganador y recibir información comercial de los patrocinadores. Puedo ejercer aquí mis derechos de rectificación y cancelación”. Se aporta como documento impresión del registro de los datos del usuario que se produjo en fecha 03/07/2014 a las 19:58:06 con la dirección IP ***IP.1. El usuario facilitó el nombre, apellidos y dirección, que coinciden plenamente con los que figuran en la publicidad que aporta como recibida. El usuario aportó también otros datos en el registro, como número de móvil, dirección de correo electrónico y fecha de nacimiento, verificándose que coincide con la que figura en su DNI, aportado junto a su denuncia a esta Agencia. Se aporta también copia íntegra de las condiciones de participación y de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 política de privacidad del sitio web. En la política de privacidad se puede leer: “El proveedor efectúa investigaciones internas respecto de demografía, intereses o el comportamiento de los usuarios en base a las informaciones que voluntariamente han sido puestas a nuestra disposición por los mismos a través del registro, de las preguntas que se hacen al final del juego o de nuestros datos protocolizados del servidor. Esto nos permite poder saludarlo personalmente cada vez que retorne a nuestra página y que tengamos en cuenta sus preferencias específicas. De esta manera comprendemos mejor a nuestros usuarios y podemos optimizar nuestra oferta de servicios. El hecho de conocer sus preferencias nos facilita hacerle llegar las ofertas más interesantes y adecuadas a su persona. Si, por ejemplo, hay ofertas económicas para dueños de mascotas, el proveedor estará en condiciones de actuar de forma dirigida particularmente para participantes con mascotas. De esta manera no facilitamos en ningún caso sus datos personales a expertos en publicidad. Además nosotros le podremos informar regularmente sobre los servicios y productos de terceros. Usted puede decidir con absoluta libertad en el momento de registrarse si está interesado en esta información. Y también tiene pleno derecho de cambiar de opinión en cualquier momento y solicitar dejar de recibir esa información si en el momento de su registro mostró su voluntad de recibirla, o, al contrario, comunicar su deseo de recibirla, si en el momento del registro optó por la negativa. Si un jugador expresa su deseo de recibir nuestro boletín, también deberá aceptar que en el boletín estén contenidas informaciones acerca de los productos. La finalidad de las ofertas es la de mantener las relaciones de esta empresa con nuestros usuarios y poder trasladar, a través nuestro o de otras entidades, publicidad y ofertas de otras empresas comerciales y de servicios relacionados con los sectores de: Telecomunicaciones: Productos y Servicios de telecomunicaciones y tecnología. Financiero: Prestados por entidades financieras, Aseguradoras y de Previsión social. Ocio: Editorial, Turismo, Deportes, Coleccionismo, Fotografía, Pasatiempos, Juguetería, Transporte, Jardinería, Hobbies, Loterías, peñas de loterías, Comunicación y entretenimiento. Gran consumo: Electrónica, Informática, Textil, Imagen y Sonido, Complementos, Hogar, Bazar, Cuidado personal (Cosmética, Perfumería, Parafarmacia, especialidades Farmacéuticas publicitarias) Mobiliario, Alimentación y Bebidas, Material de oficina. Moda y decoración. Automoción: Productos y Servicios relacionados con el Automóvil, Motocicletas, Camiones. Energía y agua: Productos relacionados con la Electricidad, Hidrocarburos, Gas y Agua. ONG: Productos y Servicios relacionados con ONG's. Educación. Esta comunicación se realizará a través de todos los canales proporcionados por Usted: e-mail, SMS, teléfono o por vía postal.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD proclama en su artículo 6, bajo la rúbrica “Consentimiento del afectado”, el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “ cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos y alude a la necesidad de contar con el consentimiento inequívoco e informado del afectado para que el tratamiento de sus datos sea ajustado a Derecho. Conforme al citado precepto el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos que en palabras del Tribunal Constitucional Sentencia 292/2000, de 30 de noviembre, F.J. 7- “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” La LOPD se ocupa en el artículo 30 del tratamiento de datos con fines de publicidad y prospección comercial y dispone: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. Añade el apartado 4 que “los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud” El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/207 (RLOPD) se ocupa del tratamiento de datos para fines de publicidad y prospección comercial entre otros, en los artículos 45 y 46, que dicen: Artículo 45: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
3. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
4. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
5. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.(…)” El artículo 46 del RLOPD se refiere al tratamiento de datos en campañas publicitarias y dispone: “1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre. 2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 tratamiento de determinados datos, se aplicarán las siguientes normas:
6. a)Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
7. b)Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.
8. c)Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento. 3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. 4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma.” (El subrayado es de la AEPD) III La denuncia que nos ocupa versa sobre el tratamiento de los datos personales del denunciante -nombre, apellidos y domicilio- realizado presuntamente por COFIDIS sin su consentimiento y materializado en el envío postal a su nombre y a su domicilio de una comunicación comercial del producto “Credit SIN by Cofidis”. Corresponde examinar, en primer término, si COFIDIS, es responsable del tratamiento de los datos personales del denunciante. A raíz de las actuaciones de investigación practicadas por la AEPD ante COFIDIS y Arvato Services Ibéria, S.A.U., (en adelante, ARVATO) quedó acreditado que ambas entidades suscribieron el 01/05/2014 un contrato de colaboración para que ARVATO realizara las campañas publicitarias de la denunciada. El contrato de colaboración mencionado, cuya copia se remitió a la AEPD por COFIDIS, en el apartado destinado las manifestaciones, recoge que “COFIDIS es una entidad dedicada principalmente al sector Financiero y, para la promoción de su actividad, precisa la realización de campañas publicitarias de sus productos, hallándose interesada en realizar campañas de sus productos dirigidas a clientes del Titular del Fichero”. Y añade que “ARVATO, en su calidad de Agente de EGENTIC, se halla autorizada (…) para suscribir el presente contrato con COFIDIS, con la finalidad de que sean remitidos envíos publicitarios de productos de COFIDIS al Fichero del Titular …” (El subrayado es de la AEPD) Llegados a este punto, y visto que COFIDIS celebró con ARVATO un contrato de colaboración para la publicidad de sus productos, se ha de estar a lo dispuesto en el artículo 46 del RLPOD que fija los criterios para determinar quién es responsable del tratamiento de los datos personales efectuado en el curso de una campaña publicitaria. La hipótesis que contempla el apartado 2 del artículo 46 del RLOPD coincide C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 con la que aquí se plantea: que una entidad, en este caso COFIDIS, encargue a un tercero, ARVATO, la realización de una campaña publicitaria encomendándole el tratamiento de determinados datos. Recordemos que en el contrato suscrito entre ambas entidades se indica que COFIDIS está “interesada en realizar campañas de sus productos dirigidas a clientes del Titular del Fichero”. Sobre esas premisas procede analizar si a tenor del artículo 46.2 del RLOPD el responsable del tratamiento de los datos personales del denunciante sobre el que versa la denuncia fue COFIDIS –que es quien contrata la campaña-, o EGENTIC GMBH (en adelante, EGENTIC), representada por ARVATO, –que es quien contrató con la denunciada-, o ambas entidades. Con arreglo al artículo 46.2 del RLOPD el criterio que determina quién es el responsable del tratamiento de los datos personales llevado a cabo en el marco de una campaña publicitaria es el de la “fijación de los parámetros identificativos de los destinatarios de la campaña”. El artículo 46.4 del RLOPD ofrece un concepto legal de “parámetros identificativos de los destinatarios” que define como “las variables utilizadas para identificar al público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma”. Centrándonos de nuevo en el contrato que suscribieron COFIDIS y ARVATO han de hacerse las siguientes precisiones. La primera, que en dicho contrato se recoge que ARVATO interviene en nombre y representación de EGENTIC, en virtud del contrato de Agencia suscrito entre ambas en el año 2009 y que se declara vigente. También, que EGENTIC actúa en nombre y representación de la sociedad PLANET 49 GMBH, que es la titular del fichero (en adelante, PLANET o El Titular del Fichero), en virtud de un acuerdo suscrito en 2012 por el que EGENTIC asume la responsabilidad de comercializar el fichero del que PLANET es titular. Por lo que concierne a los parámetros identificativos de los destinatarios, el contrato que COFIDIS celebró con EGENTIC con la mediación de ARVATO dedica la estipulación segunda a la “Designación de los destinatarios” y dispone: “1.El TITULAR DEL FICHERO como responsable del mismo, será el encargado de efectuar la designación de los concretos destinatarios de las campañas publicitarias, respetándose, en todo caso, el número de registros acordados para cada concreta campaña, según hoja de encargo anexa. En consecuencia, será el TITULAR DEL FICHERO la única entidad que determinará los parámetros identificativos de los destinatarios de la campaña publicitaria objeto de cada concreta campaña, no determinándolos, en ningún caso, COFIDIS ni ARVATO” (El subrayado es de la AEPD) A la luz de esta estipulación del contrato de colaboración publicitaria suscrito con EGENTIC se pone de manifiesto que COFIDIS no sólo no interviene en la designación de los destinatarios de la publicidad, sino que en ningún caso interviene en la determinación de los parámetros identificativos que delimitan el público objetivo de la campaña publicitaria. A lo anterior hay que añadir que conforme a la estipulación primera del contrato suscrito, cada campaña a efectuar en el marco de aquél se debe concretar mediante la correspondiente hoja de encargo que las partes deben suscribir y que a todos los efectos es considerada Anexo al contrato. Pues bien, COFIDIS ha aportado a la AEPD la hoja de encargo del mes de enero de 2015 que corresponde a la campaña publicitaria en cuyo marco se remitió por correo postal una comunicación comercial al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 En esta hoja de encargo se indica que el fichero que interviene en la campaña es el fichero “Planet 49 GmbH”; que su responsable es Planet GMBH y que el número total de registros es de 240.641. Otra de las cuestiones a analizar es la obligación impuesta por el artículo 46.3 del RLOPD a “la entidad que encargue la realización de la campaña publicitaria”, por lo que aquí interesa a COFIDIS, conforme a la cual ésta deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada “ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento”. En este sentido hay que mencionar la estipulación Tercera del contrato, “Garantías del Fichero propiedad del Titular que recibirá las campañas de COFIDIS”, en la cual ARVATO, en nombre y por cuenta de EGENTIC, certifica a COFIDIS los siguientes extremos: Que el fichero del Titular (PLANET) se encuentra actualizado y contiene todos los datos necesarios para su utilización en campañas de marketíng directo; que los datos personales de los clientes de PLANET, han sido facilitados por los propios afectados u obtenidos con su consentimiento; que PLANET 49 GMBH ha informado a los afectados de que están incluidos en su fichero de conformidad con la vigente normativa de protección de datos, de la posibilidad de recibir publicidad o información de terceras empresas del sector de actividad al que pertenece COFIDIS, esto es, sector Financiero, dando la oportunidad a los afectados de oponerse a ello en los plazos legalmente establecidos, siendo responsable de cualquier incumplimiento al respecto; que PLANET respeta escrupulosamente los derechos de sus clientes, por lo que si recibe solicitudes de oposición al envío de ofertas publicitarias no les remite oferta alguna; que PLANET controla la efectiva recepción de tales documentos por los clientes, controlando las devoluciones de documentos, y no remitiendo a los clientes publicidad u ofertas de terceros si primeramente no se asegura de que han recibido los formularios o documentos conteniendo su leyenda de protección de datos; que ha eliminado de su fichero a todo aquel afectado que se haya opuesto a que sus datos fueran cedidos o que no quisiera recibir publicidad de terceros, y a toda persona que se haya inscrito en la lista “Robinson” gestionada por ADIGITAL. Y añade finalmente que EGENTIC responde del cumplimiento de la LOPD y demás normativa de aplicación al efecto y en particular en lo relativo a lo certificado por ésta en el presente Pacto. Los términos de la estipulación precitada, en los que ARVATO certifica a COFIDIS los extremos que se han detallado a fin de garantizar a la denunciada que las campañas publicitarias serán respetuosas con las disposiciones de lo LOPD y el RLOPD, permiten afirmar que COFIDIS cumplió la obligación impuesta por el artículo 46.3 del RLOPD De cuanto antecede se concluye que, de conformidad con lo prevenido en el artículo 46.2.
9. b)del RLOPD, habida cuenta de que en la determinación de los parámetros que identificaban a los destinatarios de la campaña publicitaria de los productos de COFIDIS, entre quienes figuraba el denunciante, en ningún caso intervino esta entidad, ninguna responsabilidad es exigible a la denunciada por los hechos sobre los que versa la denuncia: el tratamiento de los datos personales del denunciante con fines publicitarios, presuntamente, sin su consentimiento. IV Corresponde analizar seguidamente si el tratamiento de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 del denunciante ha sido respetuoso con el principio del consentimiento. El responsable de este tratamiento es, como se indicó en el Fundamento precedente y de conformidad con el artículo 46.2.
10. b)del RLOPD, la entidad con la que COFIDIS contrató la campaña publicitaria, en última instancia, PLANET. ARVATO no intervino en su propio nombre en el contrato celebrado con COFIDIS, sino en representación de EGENTIC a la que estaba vinculado por un contrato de Agencia, quien a su vez actuó en nombre de PLANET, titular del fichero, existiendo entre ambas un contrato de comercialización del citado fichero. En el Hecho Primero de la Resolución (último párrafo) se reproduce la leyenda incluida en la publicidad recibida por el denunciante que dice que “El listado de direcciones utilizado para la realización de esta campaña publicitaria ha sido elaborado por la entidad Planet 49GMbH, responsable del fichero (…) la que también se ha encargado de la realización del presente envío. (El subrayado es de la AEPD) Según la leyenda informativa el fichero del que proceden los datos personales del denunciante fue creado por PLANET a partir de las diferentes páginas webs que en ella se relacionan. Por tanto, PLANET tuvo que haber recabado el consentimiento inequívoco del titular para tratar sus datos con fines publicitarios (ex artículo 6.1 LOPD) y estar en condiciones de acreditarlo (ex artículo 12 del RLOPD de acuerdo con el cual “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho) El tratamiento de datos personales con fines publicitarios exige el consentimiento inequívoco de su titular en los términos del artículo 6.1 de la LOPD y 45.1.b, del RLOPD, precepto que requiere que el afectado que consienta el tratamiento conozca que sus datos serán tratados “para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial” y haya sido “informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” La vulneración de estas disposiciones constituye una infracción del principio del consentimiento tipificada en el artículo 44.3.b, de la LOPD que establece: “Son infracciones graves: (…)b, Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La AEPD requirió a PLANET para que acreditara que el denunciante había sido informado en los términos exigidos por los artículos 6.1 LOPD y 45.1.
11. b)del RLOPD cuando se dio de alta en el sitio web www.valeadictos.com. La entidad declaró que al darse de alta había marcado la casilla con el texto “he leído y acepto la política de privacidad” y que en ella se le informaba de que recibiría publicidad de diferentes sectores, entre ellos el financiero. PLANET ha facilitado a la AEPD el documento número 3, “Condiciones de participación. Condiciones de participación de la acción promocional de Planet 49 GmbH”, en el que se distinguen dos apartados: “Bases” y “Declaración de protección de datos” siendo el punto 5 de este último apartado el que recoge la información sobre los envíos publicitarios: “…nosotros le podremos informar regularmente sobre los servicios y productos de terceros. Usted puede decidir con absoluta libertad en el momento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 registrarse si está interesado en dicha información. Y también tiene pleno derecho de cambiar de opinión en cualquier momento y solicitar dejar de recibir esa información si en el momento de su registro mostró su voluntad de recibirla (…)”. Además en él se detallan los sectores de actividad sobre los que se enviará publicidad figurando entre ellos el financiero, que es al que pertenece COFIDIS, y los diferentes medios a través de los cuales se realizarán las comunicaciones publicitarias, entre otros la vía postal. Esa cláusula es idéntica a la que se incluyó en el Anexo II al contrato que COFIDIS suscribió con EGENTIC por mediación de ARVATO, en el cual, al objeto de que COFIDIS pudiera verificar que la recogida de los datos personales de los destinatarios de la publicidad había sido acorde con la normativa de protección de datos se incluía la “Declaración de protección de datos” que contenía la información que se facilitaba a todos los usuarios que se daban de alta en los sitios web de los que proceden los datos personales incluidos en el fichero del que es titular PLANET. Así pues, a tenor de la documentación recabada por la Inspección de Datos de la AEPD ha quedado acreditado que los datos del denunciante sí se dieron de e alta en julio de 2014 en el sitio web www.valeadictos.com; que se aceptó la Política de privacidad y que en ella se informaba de que sus datos serían tratados para comunicaciones sobre productos de terceros pertenecientes a los sectores de actividad que se detallaban, entre ellos del sector financiero al que pertenece COFIDIS, y que la información podría enviársele por cualquier medio incluido, como así aconteció, el postal. Se concluye de las consideraciones precedentes que, habida cuenta de que ninguna responsabilidad es exigible a COFIDIS en los hechos denunciados, pues fue ajena al tratamiento de los datos personales del denunciante materializado en el envío a su nombre y a su domicilio de publicidad de sus productos (ex artículo 46.2.b, RLOPD) y de que el tratamiento de éstos con fines publicitarios llevado a cabo por PLANET fue respetuoso con las disposiciones de la LOPD (artículos 6.1 y 30.1) y del RLOPD (artículo 45.1.b), se acuerda el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. A.A.A. y a COFIDIS, S.A., SUCURSAL EN ESPAÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es