1/4 Expediente Nº: E/02790/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad A.A.A. en virtud de denuncia presentada por DÑA. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: En relación con la entidad A.A.A. (en lo sucesivo la denunciada), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00413/2015, que concluyó mediante resolución nº R/01326/2015, de fecha 31/05/2016, en la que se tuvieron por probados los siguientes hechos: <<1. La denunciante es titular de la línea de telefonía móvil C.C.C.. 2. Con fecha 01/01/2015, la entidad BB KIDS envío a la línea de telefonía móvil C.C.C. un SMS con el mensaje “Centro Infantil BB Kids les desea un Feliz año 2015!!! Gracias por confiar”. 3. La denunciante ha manifestado que no ha existido relación contractual previa con la entidad BB KIDS. 4. La entidad BB KIDS no ha aportado documentación alguna que acredite el origen del dato personal de la denunciante sometido a tratamiento, concretamente el relativo a la línea de telefónica móvil utilizado para el envío del SMS reseñado en el Hecho Probado Segundo>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 31/05/2016 se acordó lo siguiente: <<1.- APERCIBIR (A/00413/2015) a la entidad CENTRO INFANTIL BB KIDS, CB con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. 2.- REQUERIR a la entidad CENTRO INFANTIL BB KIDS, CB, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6 de la LOPD. En concreto se insta a la denunciada a revisar el fichero utilizado para el envío de mensajes de texto con fines promocionales o de otro tipo y proceda a eliminar los datos personales de la denunciante a fin de que no reciba nuevos SMSs>>. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 E/02790/2016. CUARTO: En relación con lo instado en la resolución mencionada, se recibió escrito de la entidad denunciada en el que señaló que ha revisado y modificado el fichero utilizado para el envío de mensajes de texto y ha procedido a eliminar todos los datos personales de la denunciante para que la misma no reciba ningún otro mensaje del Centro. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento A/00413/2015 se imputó a la denunciada el incumplimiento del principio del consentimiento regulado en el artículo 6 de la LOPD. El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 el cumplimiento de la ley”. El procedimiento A/00413/2015 tuvo por objeto el examen de la denuncia formulada por el tratamiento realizado por la entidad BB KIDS de los datos personales del denunciante, concretamente el relativo a la línea de telefónica móvil utilizado para el envío del SMS, de fecha 01/01/2015, con el mensaje “Centro Infantil BB Kids les desea un Feliz año 2015!!! Gracias por confiar”, el cual, según la denunciante, se realizó sin que existiera una relación contractual previa. La entidad BB KIDS no aportó documentación alguna que justificase el origen del dato personal sometido a tratamiento y la legitimidad para su utilización con la finalidad expresada. Por tanto, la entidad BB KIDS no contaba con el consentimiento de la denunciante para el tratamiento de datos personales realizado, en concreto, la utilización de su línea de telefonía móvil para el envío de un mensaje de texto, por lo que se consideró infringido el artículo 6.1 de la LOPD por parte de la entidad denunciada, que fue la responsable de dicha infracción. Por otra parte, se tuvo en cuenta que la citada entidad no ha sido sancionada o apercibida con anterioridad, por lo que, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la misma a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 6 de la LOPD, y se acordó requerirla para que adoptase nuevas medidas que impidan que en el futuro pueda producirse una infracción de naturaleza similar. Teniendo en cuenta las circunstancias puestas de manifiesto en el procedimiento A/00413/2015, se instó a la citada entidad que eliminase de sus ficheros los datos personales de la denunciante. Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento de que la denunciada ha atendido el requerimiento efectuado en la resolución de 31/05/2016. Dicha entidad ha revisado y modificado el fichero utilizado para el envío de mensajes de texto y ha procedido a eliminar todos los datos personales de la denunciante para que la misma no reciba ningún otro mensaje del Centro. La adopción de estas mejoras conlleva el archivo de las actuaciones previas de referencia, iniciadas para el seguimiento de las medidas a adoptar. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a A.A.A. y a DÑA. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es