1/7 Expediente Nº: E/03192/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad LA REDOUTE ESPAÑA, S.A.U., en virtud de denuncia presentada por DÑA. H.H.H., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20/04/2017, tuvo entrada en esta Agencia escrito de Dña. H.H.H. (en lo sucesivo el/la denunciante), en el que formula denuncia contra la entidad LA REDOUTE ESPAÑA, S.A.U. (en lo sucesivo LA REDOUTE) por el envío de publicidad postal a su dirección profesional, pese a haber ejercido el derecho de oposición. Según la denunciante, el folleto publicitario fue recibido el 20/04/2017, cuando ya había ejercido el derecho de oposición en dos ocasiones. Con su denuncia, aporta, entre otra, la siguiente documentación: Copia de los correos electrónicos en los que solicita no recibir información comercial por parte del denunciado. Copia de la publicidad postal recibida el 20/04/2017. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. LA REDOUTE manifiesta que existen dos clientes asociados a la denunciante, con el mismo nombre y dirección postal pero diferente número de DNI y correo electrónico. Aporta capturas de pantalla de sus sistemas de clientes en los que se refleja: Cliente número ***CLIENTE.1 Nombre A.A.A. Dirección B.B.B.. Email I.I.I.. DNI N.N.N.. Actualizado el 26/04/2017. Creación 27/05/2016 (consta un pedido realizado en esta fecha a través de la web). Modificación 26/04/2017. Opciones tratamiento seleccionadas “NO Papel marca / NO Papel partner”. LA REDOUTE manifiesta que la actualización de datos fue en fecha 26/04/2017 vinculada a la solicitud de no recibir publicidad en papel. Cliente número ***CLIENTE.2 Nombre A.A.A. Dirección D.D.D.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Email J.J.J.. DNI1: Q.Q.Q.. Actualizado el 14/10/2016. DNI2: P.P.P.. Actualizado el 10/12/2009. Creación 10/12/2009 Modificación 06/03/2017 Opciones tratamiento seleccionadas ninguna. 2. LA REDOUTE manifiesta que el cliente número ***CLIENTE.2 en fecha 06/03/2017 realiza una actualización vía “SMARTPHONE” en la que modifica la dirección postal B.B.B. por D.D.D.. Al realizar una modificación de los datos el cliente acepta la política de privacidad, indicando “El cliente aceptó la recepción de comunicaciones promocionales, a través de la aceptación de la política de privacidad, modificando su criterio anterior de no envío de publicidad que se había realizado en fecha 14/10/2016”. LA REDOUTE manifiesta que el ejercicio del derecho de oposición se estaba ejecutando sobre la cuenta ***CLIENTE.2 con email J.J.J., ya que era la dirección desde la que se estaba realizando las comunicaciones. “La Redoute no detectó que Dª H.H.H. tenía dos fichas de clientes abiertas hasta que en fecha 26/4/2017 se solicitó se remitiera copia de la publicidad que estaba recibiendo y se pudo comprobar que si bien las gestiones de baja las estaba realizando a través de la cuenta J.J.J. en la que constaba la dirección modificada de Calle D.D.D., su solicitud de no recepción de publicidad se refería a la ficha de cliente abierta con la cuenta I.I.I.”. 3. La copia de la publicidad postal enviada por LA REDOUTE aportada por la denunciante no está fechada pero si aparece en la descripción de la publicidad que la promoción es 30/09/2017. El destinatario es: A.A.A. 4. La denunciante envía los siguientes correos electrónicos desde la cuenta de correo J.J.J. a L.L.L., aportados también por la denunciada: 13/10/2016 solicita dejar de recibir publicidad, indicando su NIF O.O.O.. 14/10/2016 se le solicita por parte de la denunciada la dirección postal. La denunciante contesta en la misma fecha indicando: “La dirección donde quiero dejar de recibir publicidad es: B.B.B.”. Contestado por parte de la denunciada “[…] hemos atendido su derecho de oposición a recibir publicidad […]”. 04/11/2016 pone en conocimiento el hecho de seguir recibiendo publicidad en dicha dirección. La denunciada contesta el 07/11/2016 “[…] Es posible que siga recibiendo publicidad durante el proceso de gestión de su petición debido a las acciones comerciales ya en curso”. 5. La denunciada aporta en Anexo IV los siguientes correos electrónicos intercambiados entre las direcciones J.J.J. y L.L.L. 20/04/2017, la denunciante comunica: “[…] solicito por tercera vez que dejen de enviar publicidad o cualquier otra información suya o de terceros a mi dirección en B.B.B. […]”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 24/04/2017, la denunciada solicita dirección completa para realizar las comunicaciones. 26/04/2017, la denunciante envía imagen de la publicidad postal. Sin fecha establecida: contestación por parte de la denunciada: “[…] hemos atendido su derecho de oposición a recibir publicidad en la siguiente dirección: B.B.B.”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general, y que solo encuentra como excepciones al consentimiento del afectado, aquellos supuestos que, por lógicas razones de interés general, puedan ser establecidos por una norma con rango de ley. El artículo 6 de la LOPD establece lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento vulnera el derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. De conformidad con lo expuesto, el tratamiento de los datos personales debe contar con el consentimiento inequívoco del titular de los mismos, entendido éste de conformidad con la definición contenida en el apartado
- h)artículo 3 de la LOPD: “
- h)Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento inequívoco del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 En el presente caso, se analiza la utilización de los datos personales de la denunciante para la realización de acciones publicitarias por parte de la entidad LA REDOUTE. En relación con estos tratamientos, también resulta de aplicación en este caso lo dispuesto en el artículo 30 de la misma Ley Orgánica y los artículos 45 y 46 de su Reglamento de desarrollo, al haber realizado dicho tratamiento de datos sin haber obtenido previamente el consentimiento de los afectados y sin que exista causa que lo dispense. El artículo 30 de la LOPD determina, respecto de los “Tratamientos con fines de publicidad y de prospección comercial”, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. 3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15. 4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. Por su parte, el artículo 45 del RLOPD determina: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
- a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
- j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. 2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse. A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos”. Y el artículo 46.1 del RLOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 “1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre”. Así pues, tanto la LOPD como, más en concreto, su RLOPD, establecen que el tratamiento de datos personales con fines comerciales sólo es posible cuando exista consentimiento del afectado para ese tipo específico de tratamiento, y conocimiento de los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad o, en su caso, sean datos personales procedentes de fuentes accesibles al público, y siempre que los afectados no hayan manifestado su oposición a dicho tratamiento. IV En el presente caso, se denuncia a la entidad LA REDOUTE el envío de publicidad postal a la dirección profesional de la denunciante, en fecha 20/04/2017, pese a haber ejercido el derecho de oposición con anterioridad (octubre y noviembre de 2016). He resultado acreditada la realización de un envío postal dirigido al domicilio profesional de la denunciante para la promoción de los productos y servicios de LA REDOUTE, así como la oposición a la recepción de estos envíos manifestada por ésta mediante correos electrónicos remitidos todos ellos a la citada entidad desde la dirección de correo J.J.J.. Sin embargo, según la información que consta en los sistemas de clientes de LA REDOUTE, se acredita que existen dos registros de cliente asociados a la denunciante, con el mismo nombre pero distinto DNI y distinta dirección de correo electrónico (en uno de ellos consta la dirección de correo I.I.I. y la dirección J.J.J. en el otro registro de cliente). El registro correspondiente a la primera dirección de correo electrónico citada se crea en fecha 27/05/2016, con motivo de un pedido realizado a través de la web de LA REDOUTE en el que se facilitaron tales datos. En este registro figura como dirección postal el domicilio profesional de la denunciante en el que se recibió el envío publicitario objeto de la denuncia. La ficha de cliente en la que consta la dirección J.J.J. tuvo asociado el mismo domicilio profesional de la denunciante, si bien fue modificado en fecha 06/03/2017, con anterioridad al envío promocional. Ello permite entender que los datos personales utilizados para dicho envío corresponden a la ficha de cliente anterior, en la que consta la dirección de correo electrónico I.I.I., sobre la que no se ejercitó el derecho de oposición. Se entiende que este derecho se refiere a la ficha de cliente en la que figura la dirección J.J.J., teniendo en cuenta que los correos dirigidos a LA REDOUTE por la denunciante manifestando su negativa a la recepción de publicidad fueron remitidos desde esta dirección. Estas circunstancias pudieron motivar que la denunciante recibiera la publicidad denunciada. Por otra parte, es necesario considerar la diligencia mostrada por LA REDOUTE, tanto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en la atención del derecho de oposición ejercitado por la denunciante, que fue respondido por parte de dicha entidad informando a la misma que el derecho había sido atendido, como en la gestión de la incidencia producida con posterioridad. Una vez recibido el envío postal de 20/04/2017, en esta misma fecha la denunciante remitió un correo electrónico a LA REDOUTE advirtiendo sobre el derecho ejercitado por la misma con anterioridad mediante correo electrónico, el cual fue inmediatamente respondido por la denunciada solicitando información al respecto y copia de la publicidad enviada. El resultado de esta actuación se refleja en la ficha de cliente en la que consta la dirección postal profesional de la denunciante, en la que figura anotada una modificación de 26/04/2017 vinculada a la solicitud de no recibir publicidad en papel. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a LA REDOUTE ESPAÑA, S.A.U. y a DÑA. H.H.H.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es