E-02672-2016

1/7 Expediente Nº: E/02672/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ASOCIACION COMERCIANTES VARA DEL REY Y ADYACENTES (ACOVARA) en virtud de denuncia presentada por Dña. A.A.A. y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 6 de mayo de 2016, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que manifiesta que la ASOCIACION COMERCIANTES VARA DEL REY Y ADYACENTES (ACOVARA,) en lo sucesivo ACOVARA está realizando un sorteo entre los clientes que compran en los establecimientos de los socios y que para participar en el sorteo hay que cumplimentar un boleto donde se recogen datos personales del participante. Una vez realizado el sorteo se facilitan los datos a los socios para enviar publicidad a los clientes y en el boleto no figura donde poder dirigirse para darse de baja u oponerse al registro de los datos. ACOVARA tiene inscritos en el Registro General de Protección de Datos tres ficheros pero ninguno de ellos de clientes o participantes en sorteos. Adjunta a su denuncia copia de un boleto con el siguiente contenido: “AcovarA Sorteo de Primavera Comprando en los comercios asociados: el sorteo se celebrará el 11 de mayo de 2016 Se debe cumplimentar: Nombre, domicilio, teléfono y comercio.” También, aporta cartel: AcovarA Sorteo de Primavera en el que se detalla los comercios participantes. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección E/02672/2016 que se transcribe: “La Asociación AcovarA ha informado a la Inspección de Datos en relación con el Sorteo de Primavera lo siguiente: Los clientes de los establecimientos asociados reciben, en el momento de sus compras, un número variable de “boletos” que voluntariamente cumplimentan y depositan en las “cajas” o “buzones” que se encuentran en los establecimientos, en las que figura una leyenda con información sobre el tratamiento de los datos personales recogidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 El día del sorteo se recogen todas las cajas y se deposita su contenido en una mesa y se extraen quince boletos al azar, una vez puestos en contacto con los agraciados, los boletos se recogen en una caja y son destruidos (incinerados). Por lo que los boletos se utilizan exclusivamente para el sorteo y no se incorporan a ningún fichero manual o informatizado una vez realizado el sorteo, la mayoría de los asociados son comercios de pequeña entidad y la actividad está subvencionada por el Ayuntamiento de Logroño. Ni la asociación ni los socios han realizado comunicaciones publicitarias a las personas que han participado en el sorteo. No les consta que la denunciante hubiera presentado reclamación ante AcovarA o los comercios asociados. Se aporta una muestra de boletos en cuyo reverso no consta información y un reportaje fotográfico (“4” fotografías) en el cual figura una caja con una ranura en la parte superior y un cartel en la parte frontal en el que consta el siguiente texto: “LEY DE PROTECCIÓN DE DATOS En cumplimiento del artículo 5 de la Ley 15/1999 (en adelante LOPD) y normativa complementaria, por el que se regula el derecho de información en la recogida de datos, le comunicamos que sus datos personales serán incluidos en un ficheros cuyo responsable es AcovarA, con el fin de participar en el sorteo promocional. Los datos relativos a las personas físicas únicamente se utilizarán en los términos previstos para la finalidad antes indicada y serán destruidos posteriormente. Tendrá derecho a ejercitar sus derechos de acceso, rectificación o cancelación mediante escrito dirigido AcovarA en la (C/...1) Logroño. Así mismo le informamos que al participar en el sorteo acepta expresamente las condiciones del mismo aquí expresadas”. También, se aporta una fotografía en la que se aprecia una mesa con boletos, cuatro personas y carteles del Ayuntamiento de Logroño, de la Cámara de Comercio de La Rioja y de AcovarA. Por otra parte, AcovarA ha remitido a la Inspección de Datos una “caja”, nº de registro de entrada 427899/2016 el día 27 de diciembre de 2016, según manifiesta dicha Asociación de las utilizadas en los comercios para la recogida de los boletos, una vez realizado reportaje fotográfico ha sido destruida. Se adjunta Diligencia de fecha 10 de enero de 2017 en la que se detallan dichas circunstancias. La Inspección de Datos ha requerido a la denunciante para que facilitara información de los hechos comunicados y, en concreto, el reverso del cupón, acreditación documental de que la asociación AcovarA hubiera facilitado los datos personales de los clientes a los asociados y que éstos hubieran remitido publicidad. El escrito ha sido devuelto a su origen por “desconocido” con fecha de 15 de diciembre de 2016.” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 3 de la LOPD, establece: “A los efectos de la presente Ley Orgánica se entenderá por:
2. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
3. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
4. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
5. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…” El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
6. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 serán de aplicación. El artículo 5.1.
7. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo Real Decreto 1720/2007, de 21 de diciembre), define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
8. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. IV El artículo 5.1 de la LOPD dispone lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
9. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
10. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
11. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
12. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
13. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. El citado artículo 5 de la LOPD se constituye en la premisa necesaria para que el responsable del fichero pueda tratar los datos de carácter personal. Para ello se informa al titular de los datos de modo preciso, expreso e inequívoco de la existencia del fichero así como de su finalidad y de los destinatarios de la información, de la identidad del responsable, del carácter obligatorio o voluntario de las preguntas que les sean formuladas, de las consecuencias de la negativa a suministrar los datos, y de los derechos que reconoce la LOPD al titular de los datos. Por tanto, el principio de información en la recogida de los datos es el presupuesto necesario para que el responsable del fichero pueda tratar los mismos. La razón de esta exigencia viene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 basada en el principio del consentimiento que es el fundamento básico de la normativa de protección de datos. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el “principio de información” como un elemento indispensable del derecho fundamental a la protección de datos al declarar que: “...el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele.” V En el presente caso ha quedado acreditado que la asociación AcovarA realizó un sorteo entre las personas que rellenaron boletos que se les facilitaban cuando efectuaban compras en establecimientos asociados a AcovarA. Los boletos en los que debía rellenarse los datos personales tales como nombre, domicilio y teléfono, eran introducidos en una cajas en las cuales se encontraba adherido un cartel informativo con el siguiente contenido: “LEY DE PROTECCIÓN DE DATOS En cumplimiento del artículo 5 de la Ley 15/1999 (en adelante LOPD) y normativa complementaria, por el que se regula el derecho de información en la recogida de datos, le comunicamos que sus datos personales serán incluidos en un ficheros cuyo responsable es Acorvara, con el fin de participar en el sorteo promocional. Los datos relativos a las personas físicas únicamente se utilizarán en los términos previstos para la finalidad antes indicada y serán destruidos posteriormente. Tendrá derecho a ejercitar sus derechos de acceso, rectificación o cancelación mediante escrito dirigido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Acorvara en la (C/...1) Logroño. Así mismo le informamos que al participar en el sorteo acepta expresamente las condiciones del mismo aquí expresadas”. La finalidad de la recogida de los datos personales es la participación en un sorteo, acreditándose que el día de la celebración del mismo se extraían quince boletos al azar, y una vez puestos en contacto con los agraciados por el sorteo, todos los boletos eran destruidos (incinerados) con lo que cabe entender que el conjunto de los boletos recogidos para participar en el sorteo no constituían un fichero de datos de carácter personal conforme a su definición contenida en el artículo 3.
14. b)de la LOPD: “Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” Por otra parte también se ha acreditado que en el proceso de recogida de los datos personales al rellenar los boletos e introducirlos en las cajas para efectuar posteriormente el sorteo, AcovarA informaba a los usuarios en los términos exigidos por el artículo 5.1 de La LOPD por lo que, en el presnete caso no cabe inferirir la existencia de infracción alguna del citado precepto por parte de AcovarA. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ASOCIACION COMERCIANTES VARA DEL REY Y ADYACENTES (ACOVARA) y a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es