1/7 Expediente Nº: E/02702/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ADSALSA PUBLICIDAD S.L., COFIDIS S.A., SUCURSAL EN ESPAÑA en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de marzo de 2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a COFIDIS S.A., SUCURSAL EN ESPAÑA en lo sucesivo la denunciada) por la recepción de información comercial a través de correo postal dirigida a su hija menor de edad. No concreta la fecha de recepción. Y, entre otra, anexa la siguiente documentación: • Copia comunicación recibida de COFIDIS S.A, SUCURSAL EN ESPAÑA, en adelante Cofidis, a nombre de B.B.B. hija menor de edad del denunciante, en adelante la menor. • Copia D.N.I. del denunciante y de la menor. • Copia del libro de familia SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En la copia de la carta de la campaña publicitaria enviada por parte de Cofidis hacia la menor, se indica a pie de página “Los datos personales empleados para la realización de la presente campaña proceden del fichero denominado Adsalsa Members […] responsabilidad de Adsalsa Publicidad S.L.” Como respuesta a la solicitud de información requerida a Adsalsa Publicidad S.L, en adelante Adsalsa, se aporta: En doc. 1 impresión de pantalla de los datos personales de la menor, coincidiendo domicilio con el reflejado en D.N.I. aportado. La fecha de nacimiento que consta es 24/10/1979 y la edad de 37 años. Adsalsa manifiesta que el alta de los datos se realizó el 29/04/2010 desde la IP C.C.C. en la promoción “regalo_mini2”. En doc. 2 y doc.4 se adjuntan las capturas de pantalla de dicha promoción, en las que entre otras se refleja el aviso de aceptación de condiciones y la protección de datos que entre otras incluyen: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Condiciones con las bases del concurso con el siguiente texto: “Este concurso está dirigido exclusivamente a mayores de 18 años…” Política de privacidad, que dispone entre otros: Derechos de información y consentimiento del usuario, que entre otros establece: “…informa al usuario de la existencia de un fichero automatizado de datos creado por adsala y denominado Adsalsa Mebers…la información que usted pueda facilitarnos quedará incluida en el antedicho fichero Adsalsa Members cuyo responsable es Adsalsa…” “…Finalidad del fichero consistente en […] Ofrecer al usuario información y publicidad a través del envío de comunicaciones comerciales […] Financiero: Prestados por entidades financieras, Aseguradoras y de previsión social…”. “…La realización de estas campañas publicitarias supondrá en ocasiones la comunicación de sus datos a las empresas interesadas en realizar sus campañas publicitarias…” “…Adsalsa no acepta usuarios menores de 18 años…”. Actividad de Adsalsa Publicidad – Finalidad de la captación de los datos personales, que dispone entre otros: “…captación y recogida de datos personales de quienes serán los destinatarios finales de las campañas publicitarias y estudios de mercado”. Segundo registro a nombre de la menor con fecha 18/1/2016 a través de la IP D.D.D. en la promoción “mobile_es-smartphone”. En doc.3 y doc. 5 se adjuntan las capturas de pantalla de dicha promoción en las que entre otras se refleja el aviso de aceptación de condiciones y la protección de datos, que entre otras incluyen: Condiciones, teniendo que marcarse la casilla “Declaro ser mayor de 18 años” y con las bases del concurso con el siguiente texto: “Este concurso está dirigido exclusivamente a mayores de 18 años…” Política de privacidad, que dispone entre otros: Derechos de información y consentimiento del usuario, que entre otros establece: “…informa al usuario de la existencia de un fichero automatizado de datos creado por adsala y denominado Adsalsa Mebers…la información que usted pueda facilitarnos quedará incluida en el antedicho fichero Adsalsa Members cuyo responsable es Adsalsa…” “…Finalidad del fichero consistente en […] Ofrecer al usuario información y publicidad a través del envío de comunicaciones comerciales […] Financiero: Prestados por entidades financieras, Aseguradoras y de previsión social…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 “…La realización de estas campañas publicitarias supondrá en ocasiones la comunicación de sus datos a las empresas interesadas en realizar sus campañas publicitarias…” “…Adsalsa no acepta usuarios menores de 18 años…” Actividad de Adsalsa Publicidad – Finalidad de la captación de los datos personales, que dispone entre otros: “…captación y recogida de datos personales de quienes serán los destinatarios finales de las campañas publicitarias y estudios de mercado” Como respuesta a la solicitud de información requerida a Cofidis S.A, Sucursal en España, en adelante Cofidis, manifiesta: Que actualmente no constan datos de carácter personal de la menor en los ficheros de cofidis. Que no ha tenido acceso ni ha realizado ningún tratamiento de los datos personales de la menor. Que el 5 de Octubre de 2016 encargó a Arvato una campaña comercial, en la que Adsalsa como titular del fichero incluyó a la menor. Aporta en Anexo IV copia del modelo sin personalizar de carta de la campaña publicitaria similar a la aportada por el denunciante ante esta Agencia. Aporta en Anexo III poder notarial en virtud del cual Arvato Services Iberia S.A.U, en adelante Arvato, actúa en nombre y representación de Adsalsa para poder suscribir contratos marco de colaboración mercantil con terceras entidades. Aporta en Anexo I contrato de colaboración para acción publicitaria con Arvato en el cual, entre otras, establece: Objeto del contrato: “Arvato como agente del titular del fichero […] intermediará por cuenta del titular del fichero, frente a Cofidis en todas aquellas campañas que el titular desee enviar a sus clientes de productos de Cofidis”. Designación de destinatarios: “El titular del fichero, como responsable del mismo, será el encargado de efectuar la designación de los concretos destinatarios de las campañas publicitarias […] no incluirá a aquellas personas que figuren en la Lista Robinson […] ni aquellas que hayan ejercitado su derecho de cancelación u oposición a recibir publicidad”. Garantías del fichero propiedad del titular que recibirá las campañas de Cofidis: “[…] Que los datos personales de los clientes del titular han sido facilitados por los propios afectados u obtenidos con su consentimiento.”[…] Que el titular ha informado a los afectados que están incluidos en su fichero […] de la posibilidad de recibir publicidad o información de terceras empresas del sector de actividad al que pertenece Cofidis, esto es, Financiero y crédito […]” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Encargados del tratamiento: “[…] los datos de carácter personal de los destinatarios […] no pasarán en ningún momento a estar en posesión de Cofidis ni se le revelará, cederá o comunicará dato de carácter personal alguno […] Cofidis no llevará a cabo tratamiento alguno de los datos personales de los destinatarios de la campaña publicitaria objeto de este contrato, desconociendo los destinatarios de su publicidad”. Ejercicio de los derechos de los interesados: “[…] Cofidis como entidad beneficiaria de la publicidad, expresamente se compromete a hacer constar […] una leyenda informática indicando la identidad del responsable del fichero del que proviene los datos y domicilio al que podrán dirigirse para ejercitar los derechos de acceso, rectificación, cancelación y oposición”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se denuncia a COFIDIS, por la presunta comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. Señala el art. 45 del RDLOPD: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
- a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
- j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. Ha resultado acreditado que los datos del denunciante, referidos a su domicilio completo y fecha de nacimiento, y los datos referidos al nombre y apellidos de la hija de éste, figuraban en el fichero de ADSALSA que fue utilizado para la realización de la campaña publicitaria cuyo beneficiario era COFIDIS. La mera tenencia de dichos datos en el fichero de ADSALSA y la realización de la campaña publicitaria por COFIDIS, se considera tratamiento de datos personales, y en este sentido debe recordarse que a quien realiza el tratamiento, le compete guardar prueba de que cuenta con el consentimiento del afectado, así tal como se recoge ut supra la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. El propio art. 12 del Real Decreto 1720/2007, que desarrolla la LOPD, señala “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. Pues bien, debe indicarse que ADSALSA ha aportado elementos que permiten entender prestado el consentimiento para la recepción de publicidad postal, tal como constaba en la política de privacidad de la página web donde se produjo el registro, si bien es necesario realizar las siguientes indicaciones: En relación con dicho registro ADSALSA aporta determinada información que por sí sola no puede entenderse como prueba de la aportación del consentimiento. Como ya se indicó en la resolución R/01206/2014, confirmada por la Sentencia de la Audiencia Nacional de 15 de julio de 2016, en la que ADSALSA fue sancionada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 (…)respecto a la captura de pantalla aportada en el trámite de Actuaciones Previas de Inspección, obrante en el folio 14, conviene traer a colación lo recogido en la Sentencia de la Audiencia Nacional de 9 de abril de 2008 ( Rec 235/2006), que viene a señalar que los pantallazos o reflejos informáticos no acreditan la prestación del consentimiento: “… no se trata más de un simple “pantallazo” informático, que nada acredita ni aporta ninguna información relevante a la hora de poder acreditar el consentimiento del titular de los datos”.(…) El establecimiento de presunciones o la alusión a la hipotética inscripción voluntaria del denunciante en la web con los elementos probatorios aportados resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular. No obstante lo anterior, en el presente caso concurren indicios razonables que permiten entender que fue el denunciante quien inscribió los datos del nombre y apellidos de su hija ( y los restantes correspondientes a su persona) en la página web, , como es la coincidencia del domicilio que consta en el registro de ADSALSA con el que figura en su denuncia, la geolocalización de las dirección IPs de los registros que coinciden con la localidad del domicilio del denunciante, y fundamentalmente, la fecha de nacimiento que figura en el registro aportado por la entidad, que es la misma que figura en el documento de identidad del denunciante. En conclusión, existen elementos suficientes para entender que fue realmente el denunciante quien realizó la suscripción en la página web para la participación en el sorteo que se promocionaba. Por dichas coincidencias y en aplicación del principio de presunción de inocencia, debe indicarse que existen elementos suficientes para entender que fue el denunciante quien procedió a la inscripción en la página web y que por tanto, ha consentido el tratamiento de datos realizado de acuerdo a su política de privacidad de la página web. III El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Protección de Datos, SE ACUERDA: PRIMERO.- PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO.- NOTIFICAR la presente Resolución a ADSALSA PUBLICIDAD S.L., COFIDIS S.A., SUCURSAL EN ESPAÑA y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es