E-03740-2013

1/9 Expediente Nº: E/03740/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la(

1. s)entidad(
2. es)AFFINION INTERNATIONAL S.L., SIDECU S.L. en virtud de denuncia presentada por Doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de junio de 2013, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo el/la denunciante) frente a la Entidad SIDECU S.L. en lo sucesivo (el/la denunciado/
3. a)en el que denuncia de manera sucinta lo siguiente: “Después de haber recibido unas llamadas para ofertar sus servicios y ante mi repetida negativa me he encontrado con esta documentación en el buzón y mis datos que se los ha proporcionado el Centro Deportivo sin mi consentimiento y sin pertenecer a dicho Centro en León (...)”—folio nº 1-SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Los representantes de AFFINION realizan las siguientes manifestaciones relacionadas con los productos Disfruta y Ahorra, y Mi Asesor: 1.1. La actividad de la compañía se centra en el diseño de campañas de fidelización de clientes para otras entidades (colaboradores) y en poner a disposición de esas otras entidades, productos de fidelización que estos a su vez puedan ofrecer a sus clientes finales. En la actualidad cuentan con 500.000 clientes. La primera actividad no lleva asociado el tratamiento de datos personales. Para recabar los datos personales de sus clientes suscriben contratos de colaboración con diversos colaboradores entre los que se encuentran Movistar, Venca, Club Cortefiel y Centro Deportivo Supera. Affinion acuerda con cada uno de estos colaboradores el argumentario con las cuestiones y los datos necesarios para ofrecer el producto a los potenciales clientes de Affinión y recabar el consentimiento para la contratación. Los colaboradores ofrecen los productos de Affinión a sus propios clientes contactando telefónicamente con ellos. Para ello suscriben un contrato de prestación de servicios con Call Center que actúan como encargados del tratamiento. Affinion por su lado también suscribe un contrato de prestación de servicios con cada uno de los Call Center contratado por sus entidades colaboradoras. De este modo, si el cliente del colaborador acepta la contratación de los servicios de Affinion, el Call Center que realiza la llamada verifica lo datos con el cliente y recaba es el consentimiento para transferir los datos de los clientes a Affinion para formalizar la venta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 El responsable de la custodia de las grabaciones de las contrataciones son los Call Center contratados con la salvedad del utilizado por Movistar, que debido al volumen, desde diciembre remiten periódicamente a Affinion algunas de las grabaciones que custodia. El personal del Call Center graba los datos de cada nueva contratación en los ficheros de Affinion. Al día siguiente se hace una verificación de la voluntad de contratación a un intervalo comprendido entre el 50% y el 60%. Según indican los representantes de AFFINION, las entidades de telemárketing contratadas son las siguientes:  Para clientes de TELEFÓNICA MÓVILES, la entidad TRANSCOM y EXTELL, si bien TELEFÓNICA tiene tres call center contratados para la campaña de Disfruta y Ahorra: TRANSCOM, EXTELL y ATENTO, a los reclamantes se les contactó desde las dos primeras. Como con TRANSCOM ya existía un contrato marco previo, para la campaña con TELEFONICA únicamente se firmó un anexo. Como con EXTELL no habían trabajado con anterioridad, se firmó un contrato de prestación de servicios amplio que pueda dar cabida a varios servicios y luego se firma el anexo de campaña de TELEFÓNICA especifico.  Para clientes de SIDECU (CENTROS SUPERA), la entidad FIDELIZA actúa como encargado de tratamiento de SIDECU y a su vez tiene contratado a STD que es el call center para la realización del Telemarketing.  Para clientes de CIFDSA (VENCA), la entidad TRANSCOM.  Para clientes de CORTEFIEL, la entidad TRANSCOM En relación a clientes de TELEFÓNICA MÓVILES, se aporta la siguiente documentación:  Copia del contrato de colaboración suscrito entre TELEFÓNICA MÓVILES ESPAÑA S.L.U. y AFFINION para que la primera entidad promocione entre sus clientes productos de la segunda.  Copia de la adenda al acuerdo de prestación de servicios suscrito entre TRANSCOM y AFFINION para la verificación de llamadas de clientes de TELEFÓNICA que acepten la contratación de productos de AFFINION  Copia del contrato de prestación de servicios de telemarketing suscrito entre EXTELL y AFFINION, con su correspondiente Anexo de Campaña de TELEFÓNICA, para la verificación de llamadas de clientes que acepten la contratación de productos de AFFINION. En relación a clientes de SIDECU (CENTROS SUPERA), se aporta la siguiente documentación:  Copia del contrato de colaboración suscrito entre FIDELIZA Y AFFINION para la comercialización de productos de la segunda entidad a clientes finales  Copia del contrato Marco de prestación de servicios suscrito entre STD y AFFINION con su correspondiente Anexo de Campaña de Sidecu para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 la verificación de llamadas de clientes de SIDECU que acepten la contratación de productos de AFFINION. En relación a clientes de documentación: CIFDSA (VENCA), se aporta la siguiente  Copia del contrato de colaboración por el que CIFDSA (VENCA) acuerda ofrecer a sus clientes, a través de una campaña de márketing telefónico realizada por TRASCOM, campañas de descuento en productos de ocio y seguros comercializados por AFFINION. En relación a clientes de CORTEFIEL, se aporta la siguiente documentación:  Copia de la adenda al acuerdo celebrado entre TRASCOM y AFFINION encaminado a la promoción y contratación del producto “disfruta y ahorra” entre clientes de CORTEFIEL.  Copia del acuerdo de colaboración suscrito entre CORTEFIEL y AFFINION para promocionar entre los clientes de la primera los productos de la segunda. 1.2. Los inspectores actuantes solicitan escuchar grabaciones aleatorias de contratos de servicios aceptados por clientes de Movistar, verificando: El interlocutor indica al cliente que llama de parte de Movistar para ofrecer un producto de Affinion Explica detalladamente los términos y condiciones del servicio ofertado. Si el cliente acepta confirman su identidad preguntándole el número de DNI y algún dato más como su segundo apellido, o domicilio. Cuando el cliente pasa la política de seguridad, le consultan el medio de pago dándole la opción de utilizar el mismo con el que pagan las facturas que emite Movistar o aportar otro número de cuenta corriente o tarjeta. Los representantes de Affinion manifiestan que no se confirman datos de la cuenta corriente con los clientes de Movistar para que no se quede grabada esta información ya que Movistar es muy precavida con estos datos, de modo que si en interesado indica que sí desea que se carguen las facturas de Affinion en el medio de pago utilizado con Movistar, se transfiere directamente este dato. Cuando se contacta con el cliente se verifica la dirección postal y se le solicita una dirección de correo electrónico 1.3. Cuando un cliente contrata el servicio Disfruta y Ahorra, dispone de un plazo de 30 días gratuitos. Este periodo comienza a contar 15 días después de la contratación, que es el plazo estimado para la recepción de la documentación en el domicilio del cliente (Wellcome Pack) o en la dirección de correo electrónico facilitada (Wellcome Email) Tanto el Wellcome Pack como el Wellcome Email se consideran copias del contrato ya que en ambos documentos se encuentra toda la información contractual obligatoria. El cliente no debe de devolver nada firmado ya que el consentimiento para la contratación se obtiene durante la llamada, además estos documentos contienen información para utilizar las promociones y descuentos del servicio, pero no se anexa ningún tipo de documento que deban C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 devolver firmado. En estos documentos se dan instrucciones para darse de alta en la página web de la entidad, pero esta alta es con la finalidad de solicitar los descuentos a que tienen derecho como clientes, no para confirmar la contratación. También se ha establecido un sistema de control de correos devueltos. De modo que cuando un Wellcome Pack es devuelto se verifica que la dirección es correcta, se intenta contactar telefónicamente con el cliente hasta 3 veces y si no se consigue se le da de baja en el servicio. 2. Se solicita el acceso al sistema de información donde realizan las siguientes comprobaciones en relación con la contratación de los servicios de Disfruta y Ahorra, y Mi Asesor por parte de Dña A.A.A., DNI ***DNI.1: 2.1. Se verifica que en el sistema de información, en la pantalla de Datos de Cliente figura nombre y apellidos, DNI, teléfono, fecha de nacimiento y correo electrónico 2.2. Se consultan las suscripciones de este cliente verificándose que se ha dado de alta en dos servicios: 2.2.1.Servicio Mi Asesor Plus asociado al número de cliente ***TEL.1 con fechas de alta y baja 24/05/2013 y 12/06/2013 respectivamente El origen de los datos es Centros Supera. En los contactos mantenidos con el cliente figura que ha solicitado la baja por correo electrónico en periodo de prueba en fecha 09/03/2013. 2.2.2.Servicio Disfruta y Ahorra asociado al número de cliente ***TEL.2, con las mismas fechas de alta y baja que el servicio anterior. También fue dado de baja en periodo de prueba como consecuencia de un correo electrónico de fecha 09/03/2013. No se han generado facturas debido a que la solicitud de baja se ha realizado en periodo de prueba. 2.2.3.Se escucha la grabación de la contratación a nombre de A.A.A. verificándose: Que el interlocutor solicita el consentimiento para ceder sus datos a AFFINION con la finalidad de contratar el producto “disfruta y ahorra” Le informan de que dispone de un periodo de prueba de 30 días Verifican los 4 últimos dígitos de la cuenta corriente en que se va a realizar el pago La interesada confirma su nombre completo, que es mayor de 18 años y reside en España, la dirección postal y aporta su correo electrónico. También confirma su DNI Se aporta copia de la grabación de la contratación de los citados servicios 3. Los representantes de SIDECU S.L. (CENTRO DEPORTIVO SUPERA) aportan copia de la hoja de inscripción al Centro de Deporte y Ocio Heras de Renueva firmado por B.B.B. en la que figura como inscrita también A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Así mismo aportan copia de una solicitud de baja a nombre de A.A.A. de fecha 18/09/2012 en la que se refleja “en el supuesto que el abonado no consienta el tratamiento o comunicación de sus datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá marcar la siguiente casilla: “. Esta casilla se encuentra sin marcar en el documento aportado. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
4. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD—05/06/13—en dónde la epigrafiada pone de manifiesto lo siguiente en orden a su adecuación a la LOPD. “Después de haber recibido unas llamadas para ofertar sus servicios y ante mi repetida negativa me he encontrado con esta documentación en el buzón y mis datos que se los ha proporcionado el Centro Deportivo sin mi consentimiento y sin pertenecer a dicho Centro en León (...)”—folio nº 1-Los hechos anteriormente descritos pueden suponer una presunta vulneración del contenido del art. 6.1 LOPD al tratar los datos de la afectada sin su consentimiento. En fecha 11/06/14 se recibe en esta AEPD escrito de alegaciones sobre los “hechos” objeto de denuncia por parte de la Entidad—SIDECU S.L—en dónde manifiesta lo siguiente: “Que aporta copia del contrato con la fecha de alta y baja en el Centro Deportivo —Centro de Deporte y Ocio Eras de Renueva—firmado por Don B.B.B.—“. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En dicho documento contractual consta expresamente la siguiente clausula “Conozco, acepto y me comprometo a acatar la normativa de uso de la instalación y autorizo a que mis datos personales figuren en la base de datos de la Empresa Sidecu Castilla y León siendo utilizados por el Centro de Deporte y Ocio Eras de Renueva con fines informativos”. A mayor abundamiento, se establecen expresamente como otros miembros de la Unidad familiar a la denunciante: Doña A.A.A.. Entre la documentación aportada consta la baja realizada por Doña A.A.A. en fecha 18/09/12 con carácter efectivo en fecha 01/10/12 en el documento aportado consta un recuadro en dónde se dispone claramente lo siguiente: “En el supuesto de que el abonado no consienta el tratamiento o comunicación de su datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual deberá marcar la siguiente casilla”, no estando el mismo marcado en legal forma. De lo expuesto, cabe señalar que los datos de la afectada son tratados en legal forma en virtud de relación contractual—documento de fecha 12/06/2009—en dónde se aportan los datos de la afectada por un miembro de su Unidad familiar, que ostentaba la condición de abonado del Centro de Deporte y Ocio Eras de Renueva; que en el momento de realizar la baja de los datos de la afectada por el titular—Don B.B.B.— , la solicitud no fue cumplimentada en legal forma, motivo por el que se reciben productos asociados a los datos de carácter personal de la denunciante. De manera que “El abonado presta su consentimiento para que sus datos personales puedan ser comunicados con idénticos fines a las Sociedades que en cada momento integran el Grupo Sidecu S.L a remitirle comunicaciones comerciales, promociones o publicitarias….”. Por tanto, cabe concluir que la cuestión de fondo—recepción de un producto no contratado—sería una cuestión propia de sus derechos como consumidora –RDL 1/2007, 16 de noviembre--. No obstante lo anterior, en la documentación que recibe en su domicilio en la denominada letra pequeña se le indica lo siguiente “Dispones de un periodo de prueba de 30 días para disfrutar del producto de forma gratuita y durante el cual podrás ejercer tu derecho a desistimiento”. El art. 68 RDL 1/2007-- Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias- dispone lo siguiente: “1. El derecho de desistimiento de un contrato es la facultad del consumidor y usuario de dejar sin efecto el contrato celebrado, notificándoselo así a la otra parte contratante en el plazo establecido para el ejercicio de ese derecho, sin necesidad de justificar su decisión y sin penalización de ninguna clase. Serán nulas de pleno de derecho las cláusulas que impongan al consumidor y usuario una penalización por el ejercicio de su derecho de desistimiento. 2. El consumidor tendrá derecho a desistir del contrato en los supuestos previstos legal o reglamentariamente y cuando así se le reconozca en la oferta, promoción publicidad o en el propio contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 3. El derecho de desistimiento atribuido legalmente al consumidor y usuario se regirá en primer término por las disposiciones legales que lo establezcan en cada caso y en su defecto por lo dispuesto en este Título”. Desde el punto de vista de protección de datos, cabe indicar que los datos son tratados con fines comerciales en virtud del contrato firmado por D. B.B.B.—que consiente en la cesión de los mismos a la Entidad—Centro Deporte y Ocio Eras de Renueva con fines informativos—como es el caso que nos ocupa. Los datos personales de la afectada fueron establecidos para su tratamiento por otro miembro de la Unidad familiar abonado (relación contractual) con la Entidad-Centro de Deporte y Ocio Eras de Renueva—como lo acredita la documentación presentada, pasando los mismos a figurar en la base de datos de la Empresa: SIDECU Castilla y León. A su vez la compañía –Affinion International S.L (Affinion)—se trata de una Sociedad mercantil válidamente constituida dedicada a la comercialización, entre otros productos, de programas de descuentos en productos de ocio y tiempo libre. En relación a los “clientes” de la Entidad—SIDECU—la misma realizó una campaña de marketing telefónico para el descuento en productos de ocio y seguros comercializados por Affinion. A mayor abundamiento, se aporta copia de la grabación a nombre de la denunciante en dónde la afectada otorga el consentimiento para ceder sus datos a Affinion con la finalidad de contratar el producto “Disfruta y Ahorra”, confirmando la afectada sus datos de carácter personal. Cuando un cliente contrata el servicio “Disfruta y Ahorra” dispone de un plazo de 30 días gratuitos. Este periodo comienza a contar 15 días después de la contratación, que es el plazo estimado para la recepción de la documentación en el domicilio del cliente (Wellcome Pack) o en la dirección de correo electrónico facilitada (Wellcome Mail). En los sistemas de información de la Entidad-Affinion—consta “que no se han generado facturas debido a que la solicitud de baja se ha realizado en periodo de prueba”. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. De manera que examinada la documentación presentada y las alegaciones de las partes cabe concluir que no se aprecia vulneración de la normativa vigente en materia de LOPD. La afectada de estimarlo oportuno, en orden a evitar este tipo de situaciones en el futuro, puede ejercitar derecho de cancelación y/o oposición frente a la Entidad responsable del fichero-- Sidecu S.L—o cualquier otra, mediante carta certificada con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 acuse de recibo, que acredite en Derecho la recepción, acompañada de fotocopia visible de su DNI, solicitud en forma clara de lo que solicita, domicilio a efectos de notificaciones y la fecha y firma legible de la misma, a la siguiente dirección: (C/..............1)—A Coruña en el caso de la primera Entidad reseñada. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a las Entidades AFFINION INTERNATIONAL S.L. y --SIDECU S.L.-- y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es