E-03597-2016

1/6 Expediente Nº: E/03597/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades CLICKTRON, S.L., y OCU EDICIONES, S.A., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de junio de 2016, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. en el que expone lo siguiente: que ha recibido en su domicilio una carta de bienvenida de la entidad OCU EDICIONES, S.A., (en adelante OCU) sin haber solicitado ningún servicio. En la carta de bienvenida le informan que la solicitud ha sido realizada, en fecha 6 de mayo de 2016, a través de la web de la entidad, y que remitirán a su cuenta bancaria el abono de la cuota mensual indicando parcialmente el número de cuenta. La denunciante manifiesta que en ningún momento ha proporcionado a la OCU sus datos personales y bancarios y desconoce la forma en que dicha entidad ha tenido acceso a los mismos. Y, entre otra, anexa la siguiente documentación:  Copia del escrito de bienvenida de la OCU de fecha 17 de mayo de

1.  Escrito de reclamación ante la OMIC del Ayuntamiento de San Juan de fecha 6 de junio de 2016 presentado por la denunciante en relación a estos mismos hechos; en el que solicita que cancelen la suscripción, que no le facturen ninguna cantidad, y que cancelen sus datos personales. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 13 de julio de 2016 se remite requerimiento de información a OCU y de la respuesta recibida se desprende lo siguiente:
2. OCU es la empresa editorial de la Organización de Consumidores y Usuarios y tiene como objeto la comercialización de las suscripciones a las revistas que edita. Para ello utiliza diversos canales de captación de clientes, entre ellos, canales de eMarketing.
3. OCU manifiesta que para poder realizar una suscripción a través de la web se deben de aportar una serie de datos personales y bancarios en la dirección https://atencionglobal.ocu.org y, posteriormente, realizar el pago de la cuota mensual de suscripción que se verificará bancariamente.
4. OCU manifiesta que los datos de la denunciante fueron registrados a través de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 web mencionada y desde la dirección IP B.B.B., en fecha 6 de abril de 2016, y aporta impresión de pantalla de CONSULTA DE CLIENTES CANCELADOS donde figuran los datos personales, domicilio postal y correo electrónico de la denunciante junto con una anotación respecto a una contestación a la OMIC y la fecha de cancelación el 30 de junio de
6. OCU manifiesta que el 13 de junio de 2016, llegó una carta de la OMIC del Ayuntamiento de Alcázar de San Juan con la reclamación de la denunciante y que fue respondida en fecha 30 de junio de 2016, donde le informan que el origen de los datos de la denunciante ha sido por cumplimentación del formulario de suscripción realizada a través de la web. No obstante, le informan que se ha detectado en la entidad casos de suscripciones fraudulentas no solicitadas por los titulares por lo que han interpuesto una denuncia ante la Brigada de Delitos Telemáticos de la Guardia Civil. Así mismo, le informan que su suscripción queda dada de baja y los recibos generados han sido anulados. También le indican que proceden a la cancelación de sus datos personales. OCU ha aportado copia del escrito de contestación a la OMIC. OCU ha aportado escrito de contestación a la denunciante en esa misma fecha donde le indican que han procedido a la cancelación de sus datos personales.
7. OCU indica que tienen constancia de suscripciones fraudulentas, unos 343 casos denunciados por los suscriptores, por lo que han procedido a analizar todos estos casos llegando a las siguientes conclusiones:  Todas las altas tienen una dirección de correo electrónico errónea (dominio erróneo), y por ello se devuelve el correo electrónico de bienvenida.  El titular de la suscripción reclama ante la OCU al recibir el recibo bancario y desconocer la suscripción.  Todos los casos analizados han sido realizados por el colaborador de eMarketing CLICKTRON MEDIA y parece ser que se ha utilizado un robot.
8. OCU manifiesta que después de este análisis se procedió a desactivar la colaboración con CLICKTRON MEDIA e incluir un “kaptcha” para inutilizar los posibles accesos a su web a través de robots. Asimismo, se ha interpuesto denuncia ante la Dirección General de la Policía, en fecha 16 de junio de 2016, en relación con las suscripciones fraudulentas realizadas por CLICKTRON MEDIA. Con fecha 29 de noviembre de 2016 se remite requerimiento de información a CLICKTRON S.L. y de la respuesta recibida en fecha 27 de diciembre de 2016 se desprende:
9. CLICKTRON administra una red de servicios de e-Marketing a través de una plataforma (www.addiliate.com) que permite contactar anunciantes y afiliados (titulares de páginas web que publican los anuncios de los anunciantes en sus páginas webs) los cuales obtienen una comisión cuando los usuarios acceden a los anuncios. CLICKTRON contrata con los anunciantes y afiliados de tal forma que cuando un usuario accede (clic) a un anuncio en la web de un afiliado, CLICKTRON es la encargada de realizar el seguimiento de estos accesos por los que se abonará al afiliado una comisión. CLICKTRON manifiesta que el seguimiento de estos accesos (clic) es anónimo y no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 dispone de datos personales de los usuarios, únicamente recogen los datos de fecha y hora del acceso, dirección IP y un código identificador para el abono de la comisión. CLICKTRON manifiesta que la OCU es anunciante de la plataforma.
10. Respecto de los datos personales de la denunciante, CLICKTRON manifiesta que en sus ficheros no consta esta información, ya que los datos son anónimos y que tampoco pueden identificar el origen de los mismos y que son los afiliados los que redirigen a las páginas webs de los denunciantes. Respecto de la dirección IP La dirección IP B.B.B. aportada por la OCU como dirección desde la que se cumplimentó el formulario, en fecha 6 de abril de 2016, a nombre de la denunciante, corresponde al operador ORANGE ESPAGNE, S.A., el cual ha informado a la Agencia, en escrito de fecha 17 de octubre de 2016, que dicha dirección IP estaba asignada a Don D.D.D.. Don D.D.D., en escrito de respuesta a esta Agencia, manifiesta que el domicilio al que se ha remitido el requerimiento de información de la Agencia es su domicilio particular y que no ha tenido nunca relación con OCU o CLICKTRON, y tampoco conoce a la denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 6.1 y 2 de la LOPD, dispone que: “
11. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
12. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso, la afectada denuncia el tratamiento de datos realizado por la entidad OCU, domiciliando el recibo de socio y suscriptor de sus publicaciones en su cuenta bancaria, sin autorización. Consta aportado por la denunciante la carta de bienvenida a la Organización, de fecha 17 de mayo de 2016, en la que le indican las ventajas de ser socio de OCU y las ofertas de la cuota. De la documentación aportada al expediente y de las actuaciones de investigación realizadas por los servicios de inspección de este centro directivo, se desprende que la contratación se efectuó a través de una web, contratada por la OCU para facilitar la relación con las personas interesadas en hacerse socios de dicha Organización. Al acceder el interesado, se cuenta con su consentimiento para el tratamiento de sus datos con los fines de hacerse socio y pagar la cuota correspondiente. Con la finalidad de acreditar la veracidad de los datos, OCU envía a las personas que han contratado un correo de bienvenida. Al recibirlo la denunciante, se puso en contacto con la OMIC de Alcázar de San Juan indicando que ella no había realizado la solicitud y quería que le devolviesen el dinero facturado y cancelasen sus datos personales. La OCU procedió no solo a devolver la cantidad facturada y cancelar sus datos sino que investigó lo que había podido suceder ya que se venían recibiendo reclamaciones por altas fraudulentas. Tras estudiar el patrón que se repetía en esas altas fraudulentas, detectaron que se realizaban a través del canal e-marketing de la entidad Clicktron Media y habían sido procesados por un robot. Inmediatamente desactivaron la colaboración con la entidad mencionada y han puesto un sistema “kaptcha” en los sitios en los que se promocionan para evitar que un robot introduzca altas fraudulentas de forma automática. También denunciaron los hechos ante la Policía Nacional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 OCU en cuanto tuvo conocimiento del alta fraudulenta de la denunciante procedió a darla de baja, cancelar sus datos y devolverle la cantidad debitada por el alta. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, La Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (…) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. También la Audiencia Nacional señala: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” A tenor de las reflexiones precedentes, y toda vez que en el presente caso está acreditado que OCU Ediciones actuó con la diligencia que era procedente -la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan- ya que adoptó las medidas necesarias para identificar a la persona que realiza el alta, pasando una política de seguridad, como así consta en el expediente que excluye la presencia del elemento subjetivo de la infracción, se concluye que la actuación examinada no es subsumible en el catálogo de infracciones de la LOPD. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos que permitan atribuir a OCU Ediciones una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a OCU EDICIONES, S.A., y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es